オンラインバンキング不正アクセスを阻止する不正検知プラットフォームの現在

　すっかり人々の生活に定着したオンラインバンキングだが、一方で、サイバー攻撃が日に日に高度化・巧妙化するなかにあって、その不正利用も増加の一途にある。特に水面下に流出しているID／パスワードを悪用した、なりすまし等によるオンラインバンキングへの不正送金被害が増えており、もはや個々の銀行による対策では限界にきている状況だ。

　そうしたなか、機械学習を活用したユーザーに関するさまざまな情報の分析により、不正アクセスを未然に検知する取り組みを進めているのが、セブン銀行とカウリス（Caulis）である。取り組みの概要と期待される効果について両社に話を聞いた。（以下、本文敬称略）

スタートアップの独自技術＆ノウハウを活用したセキュリティ強化

実施内容の要約	独自の不正アクセス検知技術を活用したオンラインバンキングのセキュリティ不正防止（セブン銀行、カウリス）
関わり方や提供物	金融向け不正検知サービス「FraudAlert」の提供と技術・コンサルティング全般の支援（カウリス） 自社のオンラインバンキングサービスでの不正検知（セブン銀行）
求める成果・ゴール	銀行間の共通した本人確認プラットフォームの確立（セブン銀行、カウリス）
将来	インターネットだけでなくATMセキュリティへの展開（セブン銀行） 業界を越えた本人確認プラットフォームの確立（カウリス）

機械学習によるふるまい分析で不正なアクセスを検知

──はじめに、セブン銀行におけるオープンイノベーションの取り組みの経緯やカウリスとの協業のきっかけなどについて聞かせてください。

西井　最初のきっかけは、2014年後半頃、現在の一般社団法人Fintech協会の前身となるスタートアップコミュニティに初めて顔を出したことです。その際にスタートアップとの連携についてぼんやりながらも考え始めるようになりました。その後、具体的な取り組みとして2016年1月に協業アクセラレータプログラムを開催し、そこから徐々に本格化していくこととなりました。当時、すでに海外ではアクセラレーターの仕組みが普及しており、日本でも少しずつ活発化していった時期になります。

　そしてこのに協業アクセラレータプログラムが終了した際に、自前主義だけでなく、自分たちもまたスタートアップとのオープンイノベーションに取り組むべきでは、という考えのもと「セブン・ラボ」というチームを立ち上げたのです。ここでは、2016年終盤ぐらいから当社としては初となるスタートアップへの出資をスタートし、約1年後の2017年12月に2社目の出資先としてカウリスさんとのお付き合いが始まりました。

──カウリスの事業内容について簡単に紹介してください。

島津　当社は2015年12月に創業した法人向け不正アクセス検知サービスを展開するスタートアップ企業です。当社の代表的なプロダクト「FraudAlert」は、ユーザーのIPアドレスや位置情報など50以上の要素から「その人らしさ」や「ふるまい」をベースに機械学習を用いてリアルタイムにアクセス解析を実施する金融向け不正検知サービスです。2016年10月に提供を開始しました。不正が疑われるログイン試行を未然に検知することで、不正送金やチャージバック等の被害を予防することができ、既に大手金融関や通信事業者等で導入が進められております。

──セブン銀行との協業事業においてもその技術が活かされているのですね。

島津　その通りです。かねてよりFraudAlertを用いて口座の保有者の本人確認や身元確認に活用できないかという話をいろいろな金融機関の会社様と進めていたのですが、最初に用いられることとなったのがセブン銀行さんだったのです。FraudAlertは、口座開設の申請時やその認証時、毎回のログイン時など、さまざまな場面において不正なアクセスを検知し、常に変化し続けるサイバー攻撃から、企業のサイトを保護します。

西井　当社が出資を開始して2カ月ぐらいの段階でPoCとしてスタートして、その後に本格導入することとなりました。

協業により日本のセキュリティ市場の拡大も視野に

──両社によるコラボレーションはどのように進展していったのでしょうか。

島津　まずセブン銀行さん側に、システムを運用するチームとモニタリングをするチームの2つのチームを設けてもらい、それぞれどの範囲でどう運用するのかについて話し合いました。オンラインバンキングへのログインというのは、多種多様なインターネットサービスの中でも際立ってリスクの高いログインになりますので、どのような犯罪対策を行うべきかなどについて、犯罪対策チームとも話し合った結果、導入時はこれで行こうという方向性が定まりました。

　実際に運用を開始した後、さまざまなフィードバックをもらうことができたので、他の導入を検討してくれている金融機関などにも情報提供できていますし、セブン銀行さんから当社の顧客に直接ノウハウを提示してくれたりもして、とても助かっていますね。

西井　こうした取り組みが、2019年7月に当社と電通国際情報サービスとのジョイントベンチャーであるACSiON（アクシオン）の設立にもつながっていきました。ACSiONでは、当社が培ってきた不正検知ノウハウと、電通国際情報サービスの持つFintechを活用したソリューション構築力を掛け合わせて構築した、金融・非金融を横断して不正利用データを蓄積・共有する不正検知プラットフォーム「Detecker」を提供しています。

　現在はACSiONとカウリスさんが連携しながら日本のセキュリティ市場を拡大していけるのではないか、といった話も継続的に進めています。

島津　いま我々が取り扱っているデータをセブン銀行さんへと還元できれば、セブン銀行さんの顧客に対して、「この番号は危ない」と伝えられるようなサービスができるといいな、とも話し合っています。いずれにせよ、1つの会社だけで完結できるわけではないので、協力関係が重要だと考えています。

犯罪かどうかの境目を見分けられる強み

──両社のパートナーシップの強みはどこにあると考えますか。

島津　犯罪かどうかの分岐点、もっと広げて言えば正しい行為と不正な行為との境目を、両社の協業によって見極めることができるのが最も大きなメリットであり強みでもあると認識しています。特に不正アクセスというのは毎年大きく手口が変わってきますから、新たな手口について協議させてもらえるのはありがたいですね。「何かありましたか？」と尋ねれば、「今朝こういうことがあった」などすぐに教えていただいたりと、活発で頻繁なやり取りができる関係を築けたのは本当に大きな成果だと実感しています。

西井　カウリスさんおよび関西電力さんと2019年3月から6月にかけて、経済産業省の「新技術等実証制度（規制のサンドボックス制度）」を活用して不正な銀行口座の開設を未然に防ぐことを目的にした実証実験を行いました。これは金融と電力のデータを組み合わせる国内初の試みです。もし正式に銀行の情報と電力会社の情報をマッチングしていいとなれば、提携している金融機関にも展開できるようになり、全国26000台のATMのセキュリティにも大いに貢献できるはずです。自前だけなら電力事業者の情報にアクセスまではしませんから、そこはカウリスさんとの協業が鍵となってくると期待しています。

島津　マイナンバーカードもまだ十分に普及していない中にあって、本人確認書類というのはオンラインだと偽造されるリスクも生じてきます。国がそこを担保しきれないのであれば、ある意味、セブン銀行さんが担うこともできるのではないでしょうか。セブン銀行さんのATMから他の銀行の口座開設もできるとなってくれば、セキュリティを軸にした各銀行共通の本人確認プロセスというのも実現できるはずなので、ぜひ我々がそこを手掛けたいと考えています。

“怪しさ度合い”の格付けサービスの展開も

──最後に、今後の展開について現時点での構想などお聞かせください。

島津　まずは不正を検知する精度を上げていきたいですね。銀行もクレジットカード会社も悪質利用者に関する情報を個々に持ってはいますが、業界全体の情報を流通するプラットフォームを作らない限り、ガバナンスとセキュリティに係るコストが上がり続けてしまい、それは利用者にとってもよくありませんから。

　我々の競合は「不正を行う人」だと考えているので、悪質な行為やユーザーなどの情報を企業や業界間の垣根を越えて少しでも多く集めることで、良い悪いの判断がより的確にできるようにしていきたいです。

西井　これまでの不正検知に関するデータをもう1回集約して、この3月から“怪しさ度合い”の格付けを行うシステムを開始しています。こうしたアプローチを進めていくと、またカウリスさんと協力していけるのではと期待しています。