決済不正の仕組み
決済不正は幅広い手口の一群を含みますが、そのオンライン版のほとんどは共通の形をとります。すなわち、それを使う人物に正当に帰属しない決済情報が、決済時に送信されるのです。その情報は、闇市場で購入された盗難カード番号かもしれず、侵害されたウォレットや銀行のログイン情報かもしれず、あるいは有効なものが見つかるまで生成・テストされたカードかもしれません。カード所有者が物理的に居合わせないため、詐欺師に必要なのはデータだけであり、物理的な決済手段は不要です。
カード非提示型の攻撃では、詐欺師は決済ページに盗んだ情報を入力しますが、多くの場合その前に自動化を使って多数のカードの有効性をテストします。発行会社や加盟店の防御を作動させないために、プロキシで発信元を隠し、請求地域を一致させ、さらに一貫性があるように見えるメールアドレスや電話番号といった裏付けデータを捏造することもあります。成功した取引はその後、価値へと変換されます。転売価値の高い商品を管理下の住所へ発送する、デジタルギフトカード、あるいは暗号通貨などです。
他の決済不正の経路は、生のカードそのものではなく、アカウントとフローを悪用します。アカウントを乗っ取った攻撃者は、蓄積された残高を使ったり、保存されたカードを利用したりできます。決済指図を傍受・改ざんする、返金やキャンセルのロジックを悪用する、検証の甘い代替決済手段を悪用するなど、取引そのものを操作する不正もあります。いずれの場合も、目的は取引が承認済みに見えるようにしながら、金銭や商品を動かすことです。
不正防止において決済不正が重要な理由
決済不正は収益ラインを直接襲い、そのコストは積み重なります。失われた商品や資金の価値を超えて、加盟店はチャージバック手数料、より高い処理レート、そして紛争と手動レビューの運用負担を負担します。過度な不正率とチャージバック率は、加盟店とカードネットワークとの関係を危うくしかねません。同時に、あまりに攻撃的な防御は優良な顧客を拒絶しコンバージョンを下げるため、効果的な決済不正防止とは、悪い取引を止めることと、正規の決済を摩擦なく保つこととのバランスなのです。
TRACIOでの扱い方
TRACIOは、各取引にデバイスとネットワークのコンテキストを加えることで決済不正の防御を強化します。これはまさに、カードデータだけを確認するときに欠けているコンテキストです。Identification製品は永続的な訪問者IDを提供するため、単一のデバイスが多数のカードを試しているとき、過去に良好な履歴のないデバイスから決済が来ているとき、あるいはデバイスがそのアカウントが通常使うものと一致しないときを把握できます。IP Intelligenceは、不正な注文の前面によく立つデータセンタープロキシやVPNといった匿名化インフラを検知し、Bot Detectionは自動化されたカードテストを捕捉します。低レイテンシでリスク判定に投入されることで、これらのシグナルは、認識済みで低リスクの顧客を摩擦なく決済させながら、高リスクの注文をレビューや追加検証に振り分けることを可能にします。