ロイヤルティポイントプログラムを不正から守るための5つの重要なヒント

Angel Grant

多くの人が、待ちに待った休暇の旅行計画をようやく立て始めています。パンデミックが始まって以来、初めて本格的に旅行できる機会かもしれません。ロイヤルティプログラムで長い間使わずにいた航空会社のマイルやホテルのポイントを利用しようと考えている方もいるでしょう。しかし、ロイヤルティアカウントがサイバー犯罪者による不正行為や侵害を受け、ポイントが抜き取られていたとしたら、どれほど驚くことでしょう。

ロイヤルティポイントプログラムは以前から存在し、顧客の獲得と維持に非常に有効な手段です。しかし現在、こうしたプログラムを狙ってアカウントを侵害する犯罪者が急増しています。その理由は、未使用のロイヤルティポイントが大量に存在するためです。Loyalty Security Associationによると、米国だけでもアカウントの45%が休眠状態とみなされており、会員アカウントには約48兆ドル相当の未使用ポイントが残されています。その大半は監視されておらず、忘れられている可能性もあります。こうした放置されたポイントはサイバー犯罪者にとって格好の標的であり、容易に侵害して私的利益のために換金できると考えられています。

犯罪者がロイヤルティプログラムを狙う理由

サイバー犯罪者にとって、ロイヤルティポイントのアカウントは容易に侵害できる標的です。こうしたアカウントには数千ドル相当の価値が蓄積されている場合がありますが、多くの消費者は、銀行などの金融機関の口座ほど注意深く監視していません。多くのアカウントは単純なユーザー名とパスワードの組み合わせで保護されており、パスワードを使い回す消費者も多いため、窃取した認証情報を持つ犯罪者は、自動化されたボット攻撃によってロイヤルティアカウントにクレデンシャルスタッフィングを仕掛けることが比較的容易です。ポイントを掌握すると、犯罪者はそれを換金したり、ギフトカードなど追跡困難な商品に交換したり、ダークウェブで売却して金銭を得たりできます。しかも、詐欺を行う側のリスクは低く抑えられます。さらに犯罪者は、ロイヤルティアカウントを侵害することで、短期的な金銭的利益だけでなく、個人を特定できる情報、旅行や宿泊のデータ、購買パターンなどを利用した個人情報の窃取をはじめ、さらなる不正行為に役立つデータや情報も入手できることを認識しています。

実際、注意すべき相手はサイバー犯罪者だけではありません。警戒すべきロイヤルティプログラムに関する不正には、次の3つのタイプがあります。

• 二重取り： 正規会員が「二重取り」、つまり電話とオンラインで同時にポイントを交換し、プログラムを不正利用する手口です。また、実際には購入していない商品に自身のロイヤルティアカウント番号を紐付け、不正にポイントを獲得する場合もあります。さらに、大量のリワードポイントを獲得するために商品を購入し、そのポイントを現金特典に交換してから取引をキャンセルすることもあります。正規の消費者やロイヤルティプログラム会員が、プログラムの抜け穴を突いてポリシーやビジネスロジックを悪用するケースもあります。たとえば、クーポンやプロモーションコードの共有、加盟店ポリシーへの違反、同じリワードプログラムに紐付く多数のクレジットカードへの申し込みによる不正な特典獲得などです。
• 内部犯行：組織の内部関係者や従業員が関与する不正です。未使用または未請求のポイントを別の会員アカウントに付与したり、アカウント間でポイントを不正に移行したりすることで、ロイヤルティプログラムを操作します。
• サイバー犯罪者：ロイヤルティプログラム詐欺の最大の原因は、圧倒的にサイバー犯罪です。最も一般的な攻撃では、クレデンシャルスタッフィング、フォームジャッキング、単純なフィッシングなどの自動化ツールを介してアカウント乗っ取り（ATO）を行い、蓄積されたポイントや保存済みのクレジットカード情報にアクセスします。クレデンシャルスタッフィングとは、攻撃者が大量の侵害済み認証情報（別のサイトから流出したユーザー名やパスワードなど）を別のサイトのログイン画面で試す手法です。複数のアカウントでパスワードを使い回す人がいるため、こうした手口によってロイヤルティアカウントへの不正アクセスに成功する可能性は非常に高く、攻撃者はユーザー名やパスワードを変更してアカウントを乗っ取ることができます。フォームジャッキングも、ハッカーがアカウントを乗っ取る別の経路となります。これは、ロイヤルティプログラムのWebフォームをハイジャックし、利用者が個人情報を入力する際にそのデータを収集して送信する手法です。これにより、攻撃者はアカウントを自由に操作できるようになり、好きなときにポイントを奪ったり、その他の不正な目的にアカウントを利用したりできます。

ロイヤルティポイントプログラムの防御と保護

不正行為からお客さまとロイヤルティプログラムを守ることは極めて重要です。適切に対処しなければ、消費者からの信頼やブランドの評判が大きく損なわれるおそれがあります。

しかし、従来のサイバー防御では、ロイヤルティプログラムを狙う高度な攻撃を阻止するには、もはや十分ではありません。短いセッションタイムアウト、ジオブロッキング、多要素認証、会員へのCAPTCHAの強制といった、時代遅れの保護対策や不必要に制限の厳しいポリシーは、ユーザーにストレスを与えるうえ、容易に回避される可能性があります。

攻撃者は、わずか数ドルを費やすだけで、低コストのCAPTCHA解読サービスを利用して基本的なボット対策を回避し、特定の地域を標的とした、より精度の高い認証情報リストを購入できます。防御側が犯罪行為を阻止しようとすると、犯罪組織は戦術や手法を迅速に変更できます。そのため、専用ツールと専門のセキュリティチームがなければ、攻撃者の先手を取り続けることはほぼ不可能です。

ロイヤルティプログラムを不正から守るための5つのベストプラクティス

ロイヤルティプログラムは、企業にとって特に価値の高いお客さまに特典を提供し、より強固な関係の構築に役立ちます。攻撃が増加する中、こうしたプログラムと、そこで管理されるお客さま向け特典を保護することが、これまで以上に重要になっています。以下の5つのベストプラクティスは、正規会員によるポイントの確認や交換に過度な負担をかけることなく、最も一般的な攻撃シナリオへの対策に注力するうえで役立ちます。

1. 新規アカウント詐欺を防止する。新規アカウント詐欺とは、詐欺行為者が盗用した個人情報、合成ID、その他の虚偽の身元情報を使用し、多くの場合は大規模にロイヤルティアカウントを作成する行為です。犯罪者はこうした不正アカウントを利用してポイントを蓄積・転売し、ポイント交換プログラムを悪用する可能性があります。自動化ツールや高度な手動手法を用いて複数の偽アカウントを作成しようとする攻撃者を検知できるサイバー防御ソリューションを導入してください。
2. アカウント乗っ取りの試みを軽減する。ポイントの窃取や、保存されている顧客の個人データの悪用を狙う犯罪者によるアカウント乗っ取りの試みを、防御策で検知できるようにします。防御策には、攻撃パターンの変化に適応し、リアルタイムで対策を再構成できることが必要です。ロイヤルティプログラムのトラフィックを監視し、テレメトリ信号を使用して入力パターンを把握し、異常な挙動を検知することで、悪意のあるボットによるトラフィックか、人間によるものかを判別できるようにします。
3. 特典の換金取引を保護する。各取引の信頼性と、それに関連する顧客の本人確認を正確に行い、ロイヤルティ特典の交換や、アカウントに紐付けられたクレジットカードによる支払いが正当なものであることを確認します。人工知能と機械学習を活用して取引行動を監視するツールでプログラムを保護するとともに、ログイン試行のリスクに応じて適切な認証プロセスを選択する適応型認証を導入します。たとえば、パスワードの変更や大量のポイントの換金など、リスクの高い操作には、より厳格なセキュリティ確認が必要になる場合があります。 ​
4. ポリシーの不正利用を監視する。あらゆる接点で信頼性を評価し、クーポンやプロモーション、割引、紹介ボーナスの悪用や不正操作による金銭的損失を抑えるための防止策を講じてください。
5. 内部脅威を把握する。ロイヤルティプログラムは、内部関係者による脅威にもさらされる可能性があります。異常を監視するため、サイトスタッフの活動を追跡・測定するとともに、従業員によるロイヤルティプログラムデータへのアクセスを制限してください。

お客さまのロイヤルティポイント詐欺防止を支援

ロイヤルティプログラムとその資産を保護するだけでなく、以下のヒントを共有し、プログラム会員がポイントや特典を不正利用から守れるよう支援してください。

• 会員は、他の金融口座と同様にロイヤルティプログラムを確認する必要があります。 ロイヤルティプログラムには数千ドル相当の価値が蓄積される場合があるため、不正に操作されていないことを確認できるよう、お客さまにはアカウントを定期的に確認してもらう必要があります。
• 強化されたセキュリティオプションを活用する。多要素認証などの追加のセキュリティ機能が利用可能な場合は、会員にその利用を促してください。セキュリティ層を追加するたびに、不正行為者によるアカウントの侵害がより困難になります。
• 旅行キャンペーンに関するメールやソーシャルメディアの投稿に注意する。キャンペーン情報をどのような方法で、どこから発信しているかをお客さまに周知してください。条件が良すぎると思われる旅行特典は、実際には偽りである可能性が高いことも理解してもらう必要があります。依頼していないのに届くメールの特典情報や、フィードに表示されるキャンペーン情報は、ログイン認証情報やクレジットカード番号などの個人データを盗むことを目的としたフィッシングである可能性があります。返信したり情報を提供したりする前に、会員は送信元のメールアドレスが正規のものであることを確認するか、受信したメールやソーシャルメディアの投稿を経由せずにロイヤルティプログラムへ直接問い合わせ、特典や依頼が正規のものであることを確認してください。

F5は、組織によるロイヤルティプログラム詐欺への対策を支援しています

F5が、会員アカウントを狙って価値ある特典ポイントやマイルを不正に取得し、ブランドを損なう可能性のある自動化攻撃や不正行為から、多くの組織を継続的に保護している方法をご覧ください。こちらの導入事例をご覧ください。Distributed Cloud Bot Defenseが、大手グローバル航空会社のマイレージアカウントを侵害していたWebサイトへの自動化攻撃の阻止にどのように貢献したかをご紹介します。

ロイヤルティポイント、ギフトカードの残高、その他のストアドバリューを犯罪者から守り、お客さまの顧客が引き続き利用できるようにするために、F5がどのように支援できるかをご覧ください： https://www.f5.com/solutions/ecommerce

著者について

Angel Grant

Angel Grantのその他のブログ記事