2022年9月8日9:00
アプラスは、ルールベースの不正検知に加え、「AI（機械学習モデル）」を用いたスコアベースとなるSXスコアエンジンを導入し、クレジットカードの不正対策に役立てている。これまでよりも高精度に不正な取引を見分けることができるようになるもので、不正被害の抑制はもとより、従来よりも利用阻害（利用者本人による真正な利用に対する取引の保留）の低減も期待でき、クレジットカード利用における利用者の満足度の向上にも繋がると考えているそうだ。2022年7月19日開催の「決済セキュリティセミナー2022」では、アプラス 執行役員 業務管理部長 業務リスク管理室長 セキュリティ対策部長 瀬上毅一氏がAIを用いた不正対策の取り組みについて紹介した。
国内で増加する不正取引
対応への業務負荷が高まる
アプラスは、2010年にアプラスクレジット（現アプラス）およびアプラスパーソナルローンを設立した。その前身は1956年設立の大阪信用販売となる。それから20年後の1978年に大信販に商号を変更し、1992年にアプラスに商号を変更して現在に至る。
主なビジネスとして、オートクレジットなどのショッピングクレジット事業、クレジットカードや提携カード、プリペイドカード等のクレジットカード事業、オートネットサービス、コンビニ集金サービスなどのペイメント事業を展開している。
アプラスのセキュリティ対策部では、金融犯罪対策とC-SIRT（シーサート）の事務局を運営している。金融犯罪対策はクレジットカードやプリペイドの不正利用対策が含まれる。また、システムリスク管理室と連携してセキュリティ部門を担当している。C-SIRTの主な業務は平時がセキュリティ対策強化の立案と進捗管理、有事がインシデント対応の司令塔となる。
日本クレジット協会のデータでは、2021年の国内の不正利用総額は330億円と過去最高となった。さらに、2022年度の1月～3月は100億を超え、前年同月比率35％の増加となっている。中でも番号盗用の被害が全体の約95%を占めており、これにはフィッシング、スミッシングが含まれている。
アプラスにおいても不正被害が増加しており、関連部署の業務量の負荷が高まっている。具体的には、カード利用者本人かの確認をする必要があり、仮に不正利用された場合はクレジットカード番号を再度発行する手続きや、事後処理として店舗や加盟店とのやり取りが発生する。
ルールやスコアでは不正取引以外の検知も
不正者は日々新たな手口で攻撃
クレジットカードの取引全体で、不正取引を検知するルールとスコアの関係として、図1「ルールとスコア」のグレーの部分が不正取引、ブルーはルールで不正を検知した取引、ピンクの部分はスコアで検知した取引となる。ポイントは2つあり、1つ目はルールやスコアでは不正取引以外も検知している点だ。つまり、真正な取引を止めてしまうと利用阻害となる。もう1つはルールとスコアが重なる部分となる。この不正取引とルールとスコアの関係は、不正を検知しようとすればするほど利用阻害率も上がってしまうため、運用についてはどのカード会社も苦労している。また、ルールやスコアの精度は高まっているが、一方で不正取引をする人も日々新たな手口で攻撃してきており、常にイタチごっこが繰り返されている状況だ。
ルールでは、取引通貨、加盟店国、業種、などルールを作成する項目がある。不正被害を受けて、加盟店や取引金額を特定して、その特徴を見極めてルールを作成する。不正者は加盟店を次々と変えてアタックしてくるため、その都度ルールを作成し設定する必要がある。
12種類のアルゴリズムで機械学習
AIスコアで不正被害や利用阻害の削減、業務効率化
AIスコアモデルは、セカンドサイトアナリティカの協力を得て開発した。統計・機械学習技術を用いて、複数モデルを構築して合成したものだ。12種類のアルゴリズムで機械学習させ、その中で優良な複数モデルを合成させることでさらなる精度向上を図っている。「例えば、利用者や加盟店の過去のデータと比較して、目の前に出ているオーソリがどの程度過去の実績から乖離しているのかを数値化できる」（瀬上氏）。つまり、不正被害があってから同じような不正被害を受けないようにルールを設定するのとは異なるアプローチである。
AIスコアにより、不正被害や利用阻害の削減、業務効率化につながる。スコアは0点から100点まであり、100点に近づくほど不正の割合が高くなる。また、オーソリ件数は真ん中の数値に取引が寄っており、取引量は不正の割合が高いほど減っていく。例えば、スコアが80点以上であれば何らかの措置を取ることが可能だ。ルールのようにヒットするかしないではなく、例えば、その特徴をとらえてオペレーターの業務を組み立てていくことを考えている。現状はルール全体に対して、ある一定値のスコアを設定し、これと既存のルールを合わせて見ている。今後、ルールごとに最適なスコア値を設定することで、利用阻害の低減と、不正検知の精度を高めていきたいとした。例えば、スコアが極端に高ければ人を介さず利用者にコンタクトすることを目指している。
