消費者によるデジタル経済への支出額は、今年、推定「8,430億～8,590億ドルに達し、年末商戦の総売上高がわずか4,164億ドルだった2002年の2倍を超える」と見込まれています。
最終的に、これらの取引はすべて金融サービス機関を経由します。Apple Pay、Venmo、PayPal、デビットカードのいずれで決済される場合でも、必ず金融サービス機関の口座が関与します。
当然ながら、これにより悪意のある攻撃者は、特にFinTechを介してこれらの口座へのアクセスを試みるようになります。たとえば、Zelleユーザーが被害に遭った詐欺や、Robinhoodのカスタマーサービス担当者が被害に遭った詐欺のほか、クレデンシャルスタッフィングやブルートフォースによる直接的な攻撃もあります。こうした攻撃を執拗に続ける者は、多額の利益を得る可能性があります。
現在報告されている侵害のうち、成功したものの多くは、Webアプリ、テキストメッセージ、メールといった金融サービス機関のユーザーインターフェースを直接狙って実行されています。そう考えると、デジタル金融エコシステムを支えるAPIの爆発的な増加がもたらし得る影響と、それに伴うサードパーティリスクが懸念されます。犯罪組織は、このリスクが利益につながる攻撃経路であることを急速に認識しつつあります。
APIは犯罪組織にとってますます魅力的な標的に
今日の消費者は、年末年始の買い物に利用できる決済手段がますます多様化しています。
- 今シーズンのホリデーショッピングでは、Z世代の買い物客の3人に2人以上が、Instagram、WhatsApp、ライブ配信など、従来とは異なるチャネルを利用する予定です。
- According to an 2021年6月に実施されたNPDの調査によると、50%を超える消費者がInstagramまたはFacebookで商品を購入したことがあると回答しています。そのうち15%は、商品を見つけて情報を得るソーシャルメディアプラットフォームとしてTikTokを挙げています。（出典：2021年ホリデーショッピングのEコマースに関する統計とトレンド）
活発な決済エコシステムでは、デジタル金融取引を円滑に進めるためにAPIの活用が欠かせません。標準化は、待つことを好まない消費者に対応する迅速かつセキュアな取引と、デジタルビジネスの適応・成長を支えます。現在の主要な標準はFDX（Financial Data Exchange）であり、2021年9月時点で、オープンファイナンスのデータ共有にFDX APIを使用する消費者アカウントは2,200万件に達しています。特に、これに伴ってAPIコール数が大幅に増加し、月間約20億件に達しています。（出典：FinExtra）
F5のOffice of the CTOが最近公開したレポート「継続するAPIスプロール：API主導型経済における課題と機会」では、APIの急速な増加と、それに伴うガバナンスおよびセキュリティ上のリスクが指摘されています。
デジタル決済からエンターテインメントサービスまで、あらゆるものを支え、活発な市場を実現するAPIは、現在約2億に上ることが明らかになりました。2030年までには、その数が17億に達する可能性があります。
さらに、F5 Labsの調査では、FinTechなどのサードパーティに関連するものを含め、APIセキュリティインシデントの件数が年々増加していることが示されています。金融機関が懸念すべきことは、差し迫った規制措置の可能性や競争圧力だけではありません。
デジタル経済を守る
APIのセキュリティを確保し、消費者や企業を不正行為から保護することは、あらゆる業界のデジタル企業にとってますます重要な課題となっています。特に金融サービス業界では、その重要性が高まっています。
さらに、次のように述べています。「複数のアプリケーションを担当する各開発チームは、多くの場合、それぞれ異なるツールセットを使用しています。そのため、従来のセキュリティチームには、セキュリティを適用するための一元的な制御ポイントがない場合があります。APIの開発および管理プロセスに適切な制御を組み込むには、標準化されたツールセットが必要です。」（出典：F5 CTO（最高技術責任者）兼セキュリティ担当Renuka Nadkarni、オープンバンキングのデータを守るためのFDX APIの保護）
The F5 open banking solutionsガイドでは、オープンバンキング向けF5ソリューションへの包括的なアプローチを紹介しています。さらに、Nadkarniは次のように述べています。「FDXは、消費者のアカウント情報とサービスの完全性に対する脅威やリスクから保護するために実装すべき制御について、包括的なガイダンスを公開しています。」これらの制御には、以下が含まれます。
- ソフトウェアセキュリティ—OWASP Top 10をはじめとするソフトウェアの脆弱性に対する制御（Web Application Firewall（WAF）の導入を含む）
- ネットワークとシステムのセキュリティ
- 運用セキュリティ
- 物理的セキュリティ
- 事業継続と災害復旧
- サプライヤーのセキュリティ
- クレデンシャルスタッフィング対策を含むauthN/authZの設計パターンクレデンシャルスタッフィング
- セキュアゲートウェイアーキテクチャ（SGA）の設計パターン（APIゲートウェイに組み込まれたAPIセキュリティ制御を含む）
最後に、デジタルが標準となる経済において、転送中か保存中かを問わず、金融データを保護する重要性がますます高まっている点に留意する必要があります。企業にとって不正行為のリスクは確かに大きいものの、消費者にとってのリスクはさらに深刻です。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
SOAS 2025：足並みの乱れが凡庸さを招く
AI導入における方針の不一致は、非効率を招きます。セキュリティ、自動化、導入の各戦略を整合させ、AIの可能性を最大限に引き出す方法をご紹介します。
WebAssemblyが重要な理由
WebAssembly（Wasm）は、あらゆるプラットフォームで高性能なアプリケーションを実現する、ポータブルで高速かつセキュアなバイナリ命令セットです。
インフラストラクチャは依然として格好の攻撃経路
クラウドコンピューティングでは、APIやドラッグ＆ドロップ式の設定ツールを活用し、ネットワークやインフラストラクチャを敬遠する人がそれらを直接扱わずに済むようにすることで、インフラストラクチャへの対応を不要にすることが長年追求されてきました。しかし、インフラストラクチャを無視することも、攻撃の主要な標的であるという事実を見過ごすこともできません。
堅牢なデータアーキテクチャがもたらす戦略的メリット
適切に構築されたデータアーキテクチャがもたらす効果は、業務プロセスの改善にとどまりません。戦略的な業務効率の向上、より深いビジネスインサイトの獲得、隣接するビジネス機会への展開にもつながり、これらすべてをより俊敏に実行できるようになります。
デジタルワークフローにおける不正検知には、データだけでは不十分
2019年には、業界全体でクレジットカード詐欺の試みが約25万件確認されました。これは約2分に1件の割合です。今日、不正を検知するには、デジタルワークフロー上のできるだけ多くのポイントから収集したデータを相互に関連付け、手作業によるデータ処理をはるかに上回る速度で分析する能力が求められます。