デバイスベースのリスクスコアリングは、パスワードやMFAだけでは防げないアカウント乗っ取り（ATO）の試みを捕捉します。TRACIOは信頼できるデバイスを認識し、未知のデバイスには目に見えない形でチャレンジを課します。
2024年にアカウント乗っ取り不正で失われた金額。前年の127億ドルから増加しました。ATOは今や最も急成長している個人情報不正のカテゴリです。
Javelin Strategy & Research, 2025 Identity Fraud Study
アカウント乗っ取りは、最も急成長している個人情報不正のカテゴリです。攻撃者は、インフォスティーラーのログから有効な認証情報を購入し、電話番号をSIMスワップし、リアルタイムのフィッシングキットでワンタイムコードを傍受します。認証情報が正規のものであるため、ログインは正当に見えます。
MFAはすべてのユーザーに摩擦を加えますが、高度な攻撃者を遅らせるにとどまります。セッションハイジャック、MFA疲労攻撃、そしてフィッシングプロキシ（EvilProxyやEvilginxなど）は、第2要素を完全に回避します。ひとたび侵入すると、攻撃者は数分以内にリカバリー用メールアドレスを変更します。
偽装できないシグナルは、デバイスそのものです。ログインの試みが認識されていないデバイスから発生していると分かれば、認証情報が正規であっても、被害が生じる前にチャレンジまたはブロックできます。
TRACIOは、正規ユーザーのユーザー体験を変えることなく、認証フローにデバイス信頼の層を追加します。
すべてのログインの試みが、そのアカウントの既知のデバイスリストと照合されます。信頼できるデバイスは静かに通過し、余計な摩擦はありません。
認識されていないデバイスはリスク評価をトリガーします。VPNの利用状況、ボットシグナル、シークレットモード、デバイスの利用歴、地理的な妥当性がリアルタイムで評価されます。
リスクの高いログインはステップアップ認証（MFA、メール認証、CAPTCHA）をトリガーします。リスクの低い新しいデバイスには、確認メールによる緩やかなチャレンジが課されます。
ログイン後も、TRACIOはセッションの異常を監視します。セッション中のデバイス切り替え、突然のIP変更、権限昇格の急速な試みなどです。
いずれの手口も、認証情報ベースの認証における異なる弱点を突きます。TRACIOはデバイスインテリジェンスでそのすべてをカバーします。
ボットは、流出した数百万組のユーザー名とパスワードのペアを次々に試します。デバイスレベルのレート制限は、攻撃者が何千ものレジデンシャルプロキシを切り替えても、それらを阻止します。
盗まれたセッショントークンにより、攻撃者はログインを完全に飛ばせます。TRACIOは、セッションが途中で別のデバイスに移動したことを検知し、再認証を強制します。
リアルタイムのフィッシングプロキシ（EvilProxy、Evilginx）は、認証情報とMFAトークンを透過的に中継します。TRACIOはそのプロキシデバイスを未認識と判定し、中継されたセッションをブロックします。
攻撃者は、プッシュ通知でユーザーを攻め立てたり、SMSコードを傍受したりします。TRACIOのデバイスチェックはMFAの前に実行されます。未知のデバイスにはチャレンジが課されるか、そのままブロックされます。
結果は業界ベンチマークと公開された調査に基づいています。
アクセス前に阻止されるATOの試み
Aite-Novarica / Datos Insights, 2024
アカウント侵害に関するサポート問い合わせの減少
Javelin Strategy & Research, 2025
正規ログインに対する誤検知率
Experian Fraud Research, 2024
一律MFAと比べたMFA摩擦の削減
Forrester IAM Research, 2024
結果は、業種、攻撃量、既存のセキュリティスタックによって異なります。数値は公開された調査で観測されたレンジを示すものであり、保証ではありません。
ログイン履歴から自動的に構築される、アカウントごとのデバイス許可リスト。既知のデバイスは摩擦をスキップし、未知のデバイスは認証をトリガーします。
すべての認証の試みに対する50ms未満のリスク評価。デバイスの信頼度、IP Intelligence、velocity（取引頻度）、行動シグナルを組み合わせます。
ヘッドレスブラウザ、Selenium、Puppeteer、自動化フレームワークを検知します。クレデンシャルスタッフィングのボットが認証エンドポイントに到達する前に検出します。
アクティブなセッション内でのデバイス切り替えを検知します。セッショントークンが別のブラウザ、OS、ハードウェアプロファイルに移動した場合に検出します。
同一のデバイスが複数のアカウントにアクセスした場合を識別します。ATOのグループや認証情報の売買を示す、デバイス共有のパターンを浮かび上がらせます。
地理的にありえない場所からのログインが短時間に連続した場合を検出します。IPジオロケーションとデバイスの継続性を組み合わせ、高い信頼度でアラートを出します。
数行のコードと、必要なものすべてが揃った1つのAPIレスポンス。
import { Tracio } from '@tracio/sdk'// Initialize on page loadconst tracio = Tracio.init({ publicKey: "5ca175fc..." })// Read the identification result at loginconst result = await tracio.getResult()// Send to your auth backendconst res = await fetch("/api/auth/login", { method: "POST", body: JSON.stringify({ visitorId: result.visitorId, botDetected: result.bot.detected, email: form.email, password: form.password, }),})