セキュリティと不正対策の連携でサイバー犯罪者の先手を打つ

F5

不正行為への対応は、時にいたちごっこのように見えます。犯罪者はたいてい攻撃的で攻勢に出る一方、企業は自社を守ろうと防戦を強いられています。企業にとって、この攻防はますます困難になっています。犯罪組織が使うツールは高度化し、攻撃も複雑化しています。金融サービス企業や加盟店にとって、急速に進化する攻撃に対応できるよう、セキュリティ対策と不正対策を継続的に適応させることは容易ではありません。対応が追いつかなければ、後れを取ることになります。その結果、損失の増加、取引の中断、顧客満足度の低下といったリスクが高まります。金銭と顧客の両方を失うことは、決して望ましい状況ではありません。

不正防止へのアプローチを見直す時です。しかし、「人員も予算も不足しているのに、より機動力があり、資金も潤沢な犯罪組織にどう対抗すればよいのか」という声が聞こえてきそうです。この厳しい環境では、がむしゃらに取り組むのではなく、より賢く取り組む必要があります。この課題を解決した加盟店や金融サービス企業は、社内と社外の両方に目を向けることで成果を上げています。

内側に目を向ける

社内に目を向けると、成功している企業は、セキュリティと不正対策が非効率であることを認識しています。一般に、サイバーセキュリティ部門は、コンピューティングネットワークや外部公開アプリケーションを侵入、エクスプロイト、サービス拒否攻撃から保護し、不正対策部門は、オンライン／デジタル取引、イベント相関、インシデント対応に注力しています。その結果、責任が分断され、使用するツール、データセット、パフォーマンス指標、人員、予算が異なる2つの部門が存在することになります。これが企業にどのような悪影響を及ぼすのかを見ていきましょう。

データ侵害や認証情報の流出により、ユーザー名とパスワードの組み合わせを含む、個人を特定できる情報が数十億件も漏えいしています。一般的な攻撃では、攻撃者は広範囲に分散したボットネットを使用してクレデンシャルスタッフィングを実行し、これらの組み合わせを大規模に試すことで、現在も有効なものを特定します。有効な組み合わせを入手した攻撃者は、お客さまのオンラインアカウントを乗っ取り、金銭の引き出し、ロイヤルティポイントの資金洗浄、不正購入などを行うサイバー犯罪者へと容易に転じます。サイバー犯罪者は、直面するセキュリティ対策に応じて、ネットワークスクリプトやボットネットから、人間の行動を模倣するツール、さらには人力クリックファームにAPIを呼び出してCAPTCHAを解かせるフレームワークまで、さまざまなツールを使用して攻撃手法を変えることがあります。

この種の攻撃は、セキュリティチームと不正対策チームの双方の責任範囲にまたがります。両チーム間、またはそれぞれが使用するツール間で情報が共有されていない場合、脅威インテリジェンスやコンテキストが失われ、攻撃の全体像を把握することが困難になり、場合によっては不可能になります。その結果、不正行為者を見逃し、企業とその顧客に金銭的損失が生じます。

今こそ、組織のサイロ化を解消するときです。チーム間の連携とテクノロジーの統合は、組織の一体化や収益の向上、ひいては企業の成功を後押しします。さらに、リソースとデータを集約することで可視性が向上し、正規のお客さまにはスムーズな利用環境を提供しながら、犯罪組織を排除できるようになります。Aite-Novarica Groupがフィンテック企業110社を対象に実施した最近の調査では、統合型不正対策システムを導入している企業は、個別に分離された不正対策システムを使用している企業と比べて、不正管理が「ある程度容易」または「非常に容易」と回答する割合が2倍に上りました。

統合プラットフォームには、データを集約して継続的に分析することで、不正行為の全体像をより広く把握できるというメリットがあります。データセットが大きくなり、不正の兆候をより多く捉えられるようになるため、予測能力と精度に優れた機械学習モデルを構築できます。精度の向上によって認証を迅速化できるため、よりプロアクティブで実用的なインテリジェンスが得られるだけでなく、不正を増加させることなく、お客さまがシームレスに取引できるようになり、ユーザーエクスペリエンスも向上します。

外部に目を向ける

効果的な不正対策エコシステムを構築するには、社外にも目を向けることが重要です。金融サービス企業や小売事業者では、ツールを購入して社内で不正対策を行い、担当者が不正防止のためにツールを設定するのが一般的です。不正攻撃は時間の経過とともに変化するため、企業はそれに対抗できるよう不正対策を適応させ、認証ルールを調整し、誤検知を調査する必要があります。つまり、将来の攻撃を防止できるようになる前に、新たな不正攻撃を実際に受け、金銭的損失を被らなければなりません。このような事後対応型の戦略では、社内部門がセキュリティ上の不備を調査して是正している間、企業はリスクにさらされたままになります。

プロアクティブに対処してはどうでしょうか。商用ソリューションを提供するベンダーは、幅広い経験と可視性を活用することで、個々の顧客が自社だけで対策する場合よりも効果的に顧客を保護できます。なぜでしょうか。複数の地域や業界にわたって多数の顧客を抱えるベンダーは、不正行為を非常に広い視野で把握できます。特に、共同防御ネットワーク全体で脅威インテリジェンスを共有している場合は、その効果が高まります。新たな不正攻撃ベクトルが出現した場合、ベンダーは不正対策を迅速に変更し、すべての顧客を保護できます。

三者すべてにメリットをもたらすソリューション

犯罪組織とその攻撃がますます巧妙化する中、先手を打ち続けることは容易ではありません。人員やリソースが不足している場合は、なおさらです。今こそ、組織の内外に目を向けるときです。サイバーセキュリティと不正管理を統合チームに集約し、外部の専門知識を活用することで、主に3つのメリットが得られます。サイバーセキュリティと不正管理を簡素化し、損失を抑え、より快適なオンライン体験をお客さまに提供できます。三方よしのソリューションです。

David Mattei（Aite-Novarica Group、戦略アドバイザー）

_____

さらに詳しい見解については、Aiteレポートをご覧いただき、不正による損失を最小限に抑えるための新たな戦略をご確認ください。

著者について

F5

F5のその他のブログ記事