2020年以降、eコマースの取引量がかつてないほど急増する中、世界中で毎日行われるデジタル決済の件数は爆発的に増加し、昨年は約6.6兆ドルに達し、2年間で40%増加しました。世界中の決済システムには膨大な資金が流れているため、サイバー犯罪者がそれを狙うための革新的な方法を模索する理由はますます増えています。
今日の決済セキュリティを確保するには、高度なゲーム理論のスキルが不可欠です。高度なゲーム理論のスキルを駆使し、サイバーセキュリティ被害を通じて最大10兆5000億ドルもの「戦利品」を盗み出そうとする、高度に洗練された犯罪ネットワークを出し抜き、出し抜く必要があります。これは、Argus Researchの最近のレポートで明らかになっています。世界中の決済処理業者は、顧客の資金を守るために、常に詐欺師と戦い、「ゲーム」を進化させています。標的は常に変化し、詐欺師はますます巧妙化しています。詐欺に先手を打つためには、企業はセキュリティモデルと技術を常に変化させ続ける必要があり、そこに終わりはありません。
参照：パスワード侵害：ポップカルチャーとパスワードが混ざらない理由（無料PDF）（TechRepublic）
真実は変わりません。オンラインビジネスを完全に停止しない限り、不正行為をゼロにする確実な方法は存在しません。しかしながら、不正行為を削減する鍵は、インテリジェントなビジネスルールの適用、機械学習による補完、データモデルの定義と改良、そして現行のセキュリティ対策の有効性に常に疑問を抱く知的好奇心旺盛なスタッフの採用といった、両者のバランスを慎重に保つことにあります。
ディープフェイクの時代の到来
ディープラーニングやニューラルネットワークといった高度なツールをベースに、新しく強力なコンピュータベースの手法が進化・反復されるにつれ、その用途も善意と悪意の両方において多岐にわたります。最近、マスメディアの見出しを賑わせている手法の一つが「ディープフェイク」という概念です。これは「ディープラーニング」と「フェイク」を組み合わせた造語です。銀行業界と決済業界の両方において、セキュリティ侵害や損失の可能性が懸念されています。検出が難しいディープフェイクは、ユニバーシティ・カレッジ・ロンドンの研究者によると、将来最も危険な犯罪の一つに数えられています。
ディープフェイクとは、被写体を他人の肖像に見事に置き換えた人工的に操作された画像、動画、音声のことで、欺く可能性が高くなります。
これらのディープフェイクは、被写体をほぼ完璧に複製しているため、一部の人々を恐怖に陥れています。
広く報道された2つの衝撃的なディープフェイクには、クリス・ユーム（VFXおよびAIアーティスト）とマイルズ・フィッシャー（有名なトム・クルーズのモノマネ芸人）によって世に送り出されたトム・クルーズのディープフェイクと、シャムーク（ディープフェイクアーティスト兼YouTuber）とグラハム・ハミルトン（俳優）によって「The Book of Boba Fett」の最近のエピソードで作成された若き日のルーク・スカイウォーカーのディープフェイクがある。
これらの例は、驚くほど正確に対象を模倣していますが、現在の技術では、説得力のある偽物を作り上げるには、対象の抑揚や癖を訓練された熟練した模倣者が必要であることに留意することが重要です。
類似した骨格と被写体の特徴的な動きや言い回しがなければ、今日の最先端の AI でもディープフェイクを信憑性のあるものにするのは困難だろう。
例えば、ルーク・スカイウォーカーの場合、ルークの 1980 年代の声を再現する AI である Respeecher は、映画撮影当時のオリジナルの俳優マーク・ハミルの声を何時間も録音したものを利用したが、それでもファンはそのスピーチを「Siri のような…中身のない再現」の一例とみなし、恐怖を抱かせるはずだ。
一方、複製される人物の重要なニュアンスを事前に知らなければ、ほとんどの人間はこれらのディープフェイクを本物の人物と区別することが難しいでしょう。
幸いなことに、機械学習と最新の AI は、このゲームの両側で機能し、詐欺との戦いにおける強力なツールとなります。
現在、支払い処理のセキュリティにギャップはありますか?
ディープフェイクは顔認識を含む認証技術にとって大きな脅威となりますが、決済処理の観点から見ると、今日では詐欺師が詐欺を働く機会は少なくなっています。決済処理業者は、顧客を詐欺から守るために独自の機械学習、ビジネスルール、モデルを実装しているため、サイバー犯罪者は決済システムの防御における潜在的な弱点を見つけるために多大な努力を払う必要があります。そして、各加盟店が顧客との関係を積み重ねるにつれて、これらの弱点は小さくなっていきます。
サイバー犯罪の増加を受けて、金融会社やプラットフォームが「顧客を知る」能力はこれまで以上に重要になっています。決済処理業者が過去の取引や行動についてより多く知るほど、自動システムは次回の取引が適切なパターンに合致し、本物である可能性が高いことを検証しやすくなります。
こうしたケースで自動的に詐欺を識別するには、取引履歴、取引額、場所、過去のチャージバックなど、多数の変数に基づいて行われますが、ディープフェイクが関係するような方法で個人の身元を調べることはありません。
決済処理業者にとってディープフェイクによる詐欺のリスクが最も高いのは、特に取引額が高い場合の手動レビューの運用です。
手動による確認では、詐欺師はソーシャルエンジニアリングの手法を使用して、デジタル操作されたメディアを通じて、取引者が取引を行う権限を持っていると人間の確認者を騙す機会を利用する可能性があります。
そして、ウォール・ストリート・ジャーナルが報じているように、残念ながらこの種の攻撃は非常に効果的であり、詐欺師はディープフェイク音声を使用してCEOになりすまし、英国に拠点を置くある企業から25万ドル近くを詐取した事例もある。
リスクが高いため、一般的に詐欺の隙間を制限し、同時に詐欺師によるディープフェイクハッキングの試みを先取りする方法がいくつかあります。
ディープフェイクによる損失を防ぐ方法
ディープフェイクを暴く高度な方法が存在し、さまざまなテストを利用してエラーを特定します。
例えば、平均的な人は目を閉じた自分の写真を保存していないため、ディープフェイクを作成するAIの学習に用いられる元画像の選択バイアスにより、作成された被写体は瞬きをしない、通常の速度で瞬きをしない、あるいは瞬きの合成表情を単に間違えてしまう可能性があります。このバイアスは、ネガティブな表情など、ディープフェイクの他の側面にも影響を及ぼす可能性があります。なぜなら、人々はソーシャルメディア（AI学習教材の一般的な情報源）にネガティブな感情を投稿しない傾向があるからです。
今日のディープフェイクを識別する他の方法としては、照明の問題、被写体の想定される場所に対する屋外の天候の違い、問題のメディアのタイムコード、さらには、使用されたカメラ、録音機器、コーデックの種類と比較した場合のビデオやオーディオの撮影、録音、エンコードによって作成されたアーティファクトの差異を見つけることなどがあります。
これらの技術は現在では有効ですが、ディープフェイクの技術と手法は、この種の検証さえも欺くことができるレベルに急速に近づいています。
ディープフェイクに対抗するための最良の方法
ディープフェイクが他の AI を騙せるようになるまで、ディープフェイクに対抗する現時点での最善の選択肢は次のとおりです。
- ディープフェイクをより正確に見分けるには、手動レビュー担当者のトレーニングを強化するか、認証AIを導入するなどの対策が考えられます。ただし、これはエラーがまだ検出可能なうちは短期的な対策に過ぎません。例えば、点滅エラー、アーティファクト、ピクセルの重複、被写体が否定的な表情をしているといった問題などを探してください。
- KYCをより有効に活用するために、加盟店に関する情報を可能な限り多く入手しましょう。例えば、顧客に影響を与える可能性のあるデータ漏洩をディープウェブでスキャンし、不正行為の可能性がないか確認するアカウントにフラグを設定するサービスを活用しましょう。
- 多要素認証方式を推奨します。例えば、Three Domain Server Security、トークンベースの認証、パスワードと使い捨てコードの使用を検討してください。
- セキュリティ方法を標準化して、手動レビューの頻度を減らします。
3つのセキュリティ「ベストプラクティス」
これらの方法に加えて、いくつかのセキュリティ対策がすぐに役立つはずです。
- 知的好奇心旺盛なスタッフを雇用し、現在のモデルの有効性を厳格にテスト、再テストし、絶えず疑問視する環境を作り、安全なシステムを構築するための最初の基盤を確立します。
- 不正行為対策の影響を測定し、「安心感」を与え、現在の対策が有効であるという相対的な統計的確実性を提供するために、コントロール グループを設定します。
- 段階的な導入と継続的なA/Bテストを実施し、効果が実証されるまでモデルの使用を少しずつ増やしていきます。この継続的なテストは、強固なシステムを維持し、コンピューターベースのツールを使って詐欺師を巧みに打ち負かすために不可欠です。
エンドゲーム（今のところ）対ディープフェイク
今日、ディープフェイクによる不正行為を削減する鍵は、主に、操作されたメディアが取引の検証に影響を与える状況を制限することです。これは、不正対策ツールを進化させ、手作業によるレビューを削減するとともに、資金力のある世界的なサイバー犯罪シンジケートに先んじるために、ツールセットの継続的なテストと改良を日々積み重ねることで実現されます。
EBANX のオペレーションおよびデータ担当副社長である Rahm Rajaram 氏は、American Express、Grab、Klarna などの企業で幹部職を務めた後、セキュリティと分析の分野で幅広い専門知識を持つ、経験豊富な金融サービス専門家です。
