アカウント乗っ取り（ATO）の仕組み
アカウント乗っ取りは、攻撃者が有効な認証情報を入手するところから始まります。最も一般的な入手源はデータ侵害です。あるサービスから漏洩したユーザー名とパスワードの組み合わせが、多くの他サービスに対して使い回され、人々がパスワードを再利用するという事実を悪用します。攻撃者はまた、フィッシングページ、ブラウザに保存されたパスワードを抜き取るインフォスティーラー型マルウェア、そしてアカウント復旧プロセスへのソーシャルエンジニアリングによっても認証情報を収集します。
認証情報を手にした攻撃者は、大規模にログイン試行を自動化します。クレデンシャルスタッフィングのツールは数百万組の認証情報を次々と試し、多くの場合、単一のIPアドレスで異常なログイン率が見えないよう、大規模なレジデンシャルプロキシのプールに分散させます。ログインに成功すると、そのセッションはただちに利用されるか、有効な認証情報が転売されます。多要素認証を突破するために、攻撃者はSIMスワップ、リアルタイムのフィッシングプロキシ、あるいはMFA疲弊を狙ったプロンプト爆撃によって、ワンタイムコードを傍受することがあります。
内部に入り込むと、攻撃者は本来の所有者が気づく前に、アクセスを素早く収益化しようと動きます。典型的な行動には、蓄積された残高やロイヤルティポイントの引き出し、所有者を締め出すための登録メールアドレスとパスワードの変更、新しい支払先の追加、受け取り用の住所への注文、あるいは信頼されたアカウントをさらなるフィッシングの足がかりとして利用することが含まれます。侵害されたアカウントの履歴と評判により、これらの行動は下流のシステムにとって正当なものに見えます。
巧妙なATOキャンペーンは、検知のしきい値を下回り続けるために被害者の通常の行動を模倣しようとし、いつものデバイスの種類、おおよその位置、ログインのタイミングを一致させます。だからこそ、静的なルールだけでは対処が難しいのです。認証情報は正しく、個々の行動はそれぞれもっともらしく見えるからです。
不正防止においてアカウント乗っ取り（ATO）が重要な理由
アカウント乗っ取りは、企業がすでに実在の顧客に対して与えている信頼を悪用するため、オンライン不正の中でも最も損害の大きいカテゴリの一つです。直接的な損失には盗まれた資金、不正な購入、悪用されたロイヤルティ残高が含まれますが、間接的なコストはしばしばそれを上回ります。チャージバック、サポートと是正の作業負荷、個人データにアクセスされた場合の規制上のリスク、そして人々が自分のアカウントは安全でないと感じたときの顧客信頼の持続的な損耗などです。侵害されたアカウントは通常の認証を通過してしまうため、ATOは明らかに偽の登録を止めることだけを目的に設計された防御をしばしばすり抜けます。
TRACIOでの扱い方
TRACIOは、認証情報だけを信用するのではなく、各ログインの背後にあるデバイスと環境を認識することで、アカウント乗っ取りの検知を支援します。Identification製品は130を超えるデバイスシグナルから安定した訪問者IDを割り当てるため、これまでどのアカウントにも関連付けられたことのないデバイスからのログインや、それまで安定していたアカウントでデバイス・ブラウザ・ネットワークが突然変化することが、強力なリスク指標となります。Bot Detectionはクレデンシャルスタッフィングの実行を支える自動化フレームワークやヘッドレスブラウザを検知し、Smart Signalsは攻撃者が試行を分散させるために使うレジデンシャルプロキシ、VPN、Tor出口ノードを明らかにします。デバイスグラフ上のベロシティチェックは、単一のデバイスが多数の異なるアカウントに到達しようとしている様子を明らかにします。これらのシグナルは認証時に低レイテンシで提供できるため、リスクが本物であるときにのみ追加の認証チャレンジが発動します。