新規口座詐欺（NAF）は、従来の本人確認システムに深刻な脅威を与えています。詐欺師は個人情報を容易に取得・偽造し、二要素認証（2FA）を突破して新しい口座を開設し、違法活動を行います。この結果、特にデジタル化の進んだ産業において経済的損失や信頼の危機を引き起こします。特に金融業界では、詐欺師が偽造身分でローンやクレジットカードを申請し、資金洗浄を行い、金融機関に重大な損害を与えます。電子商取引やオンライン決済プラットフォームも、不正な購入やプロモーションの乱用リスクにさらされています。詐欺師は偽の口座を利用して違法取引を行い、経済的損失や市場の混乱を引き起こします。AARPの報告によると、2023年の新規口座詐欺による損失は53億ドルを超え、2022年の39億ドルを大きく上回りました。
新規口座詐欺（NAF）とは？
新規口座詐欺（NAF）とは、詐欺師が偽造または盗まれた個人情報を使用して金融機関、電子商取引プラットフォーム、その他のデジタルプラットフォームで新しい口座を開設し、それらの口座を悪用する詐欺行為のことです。AIやディープフェイク技術の進化により、詐欺師はより簡単に本人確認システムを突破できるようになり、新規口座詐欺はデジタルセキュリティの領域で深刻な脅威となっています。
従来の詐欺手段の限界
以前、詐欺師はダークウェブを通じて偽造された身分証明書や個人データを購入していましたが、これらの資料は品質が不均一で、通常はスキャンされた書類でした。このような偽造書類は、初歩的な本人確認システムには通用しましたが、最新の本人確認技術の進展により、これらの詐欺手法は次第に効果を失っています。特に顔認証が求められる場合、従来の静止画像やスキャン書類では動的な生体認証を通過するのが難しくなっています。
ディープフェイク技術の台頭：ProKYCのディープフェイクツール
より進化した本人確認システムに対応するため、詐欺師はディープフェイクなどの高度な技術を乱用し始めています。ProKYCは、暗号通貨取引所などのプラットフォームの2FAを回避するために設計されたディープフェイクツールで、サイバー犯罪の地下市場で販売されています。このツールは、高品質な政府発行の身分証明書デジタルファイルを偽造し、さらに顔認証過程における動作（例：左右の首振り）を模倣したディープフェイク動画を生成します。
ProKYCが使用された動画では、詐欺師がByBit暗号通貨取引所の本人確認システムを攻撃する手順を示しています。この詐欺のプロセスは次のように進行します。
- 虚偽の個人情報を生成：詐欺師はAIツールを使用して虚偽の顔写真を生成します。この技術は現在広く普及しており、thispersondoesnotexist.comなどのサイトでは、まるで実在するかのような仮想の顔を生成できます。
- 偽造身分証明書を作成：生成した偽の顔を政府発行の身分証明書（パスポートや運転免許証）に適用します。ProKYCツールは数秒以内に高品質の偽造書類を生成し、公印や透かしなどの詳細も追加され、偽造書類のリアリティを高めています。
- ディープフェイク動画を生成：次に、詐欺師は生成した偽の写真を用いて、顔認証要件に適合した動画を作成します。例えば、首を左右に振るなどの動作を模倣します。動画には多少の欠陥があり得ますが、通常の本人確認システムではこれらの細かなエラーは検出されません。
- 顔認証を回避：詐欺師は偽造されたパスポートを暗号通貨取引所の本人確認システムにアップロードし、システムがウェブカメラでの顔認証を要求した際、ディープフェイク動画を入力して生体認証を回避します。
- 口座開設の成功：偽造書類と動画が確認されると、システムは新しい口座が開設されたことを通知します。この時点で、詐欺師は口座を利用して資金洗浄や違法取引などの犯罪活動を行えるようになります。
NAFが各業界に与える影響
NAF詐欺は通常、以下の4段階で進行します。
- データ収集：詐欺師はフィッシング、データ漏洩、またはブラックマーケットで個人情報を購入し、新しい口座を偽造するために十分な情報を収集します。
- 偽造身分の作成：詐欺師は偽造または盗まれた個人情報や身分証明書を使用し、ディープフェイク技術を活用して偽の顔写真や書類を生成します。
- 犯罪活動：詐欺師は偽造した身分を使用して口座を開設し、資金洗浄、クレジットカードやローンの申請、不正な購入やプロモーションの乱用を行います。
- 口座の放棄：詐欺師は犯罪活動を完了した後、すぐに口座を放棄し、追跡を避けます。
NAF詐欺は、多くの業界に深刻な影響を与え、特にデジタル化の進んだ業界ではリスクが高まります。
- 銀行および金融サービス業：詐欺師は偽造身分を使用してローンやクレジットカードを申請し、資金洗浄などの違法活動を行います。これにより、金融機関の資産が直接損害を受けるだけでなく、経済的損失や長期的な評判への悪影響ももたらされます。さらに、複数の偽造口座を開設して資金移動を行うことで、金融機関のリスク管理が一層困難になります。
- 電子商取引およびオンライン決済プラットフォーム：詐欺師は偽の口座を利用して不正な購入やプロモーションの乱用を行い、プラットフォームに損失を与えます。さらに、これらの口座を利用して違法な資金移動を行うこともあり、市場秩序を乱し、プラットフォームの管理コストとリスクを増大させます。
- 通信業：詐欺師は新しい携帯電話契約を開設し、デバイスを取得後
に請求を支払わず、すぐに口座を放棄します。この詐欺行為により、通信会社は直接的な財務損失を被り、特にハードウェアのコストが回収不能となります。
- 保険業：詐欺師は虚偽の保険申請を行い、不正に保険金を詐取します。これにより、保険会社の賠償リスクが増大し、管理および調査コストも増加します。この種の行為は保険会社のリスク管理メカニズムに挑戦を与え、経済的な効率を損ないます。
- シェアリングエコノミープラットフォーム：シェアリングエコノミープラットフォーム（例：レンタルサービスやオンラインライドシェア）は信頼を基盤に運営されています。詐欺師は偽の身分を用いて口座を作成し、違法取引やその他の犯罪活動を行い、プラットフォームの信頼環境を破壊し、ユーザー体験やプラットフォームの長期的な発展に悪影響を与えます。
NAF詐欺攻撃を防ぐ方法
詐欺師はAIやディープフェイク技術を使用して高品質の偽造書類や動画を生成しているため、従来の本人確認システムは容易に突破されます。しかし、厳しすぎる生体認証システムは多くの誤検知（false-positive）を引き起こし、ユーザー体験に悪影響を与えます。逆に、緩い認証システムでは詐欺師に隙を与えてしまいます。バランスを取ることが重要です。以下は効果的なNAF防止対策です。
1. 多要素認証（MFA）
多要素認証は、パスワード、デバイス認証、生体情報など複数の認証方式を組み合わせることでセキュリティを強化する技術です。この技術は、ユーザーが複数の異なるレベルの認証を通過することを要求し、単一の認証層が突破されるリスクを低減します。例えば、パスワードに加え、システムはユーザーに携帯電話からの認証コード入力や指紋・顔認証を求める場合があります。このような多層の保護により、新規口座詐欺の成功率を効果的に低減できます。
2. AIおよび機械学習（ML）技術
AIおよびML技術は、ユーザーの行動パターンを分析して潜在的な詐欺行為を検出できます。これらの技術は、通常のユーザーとは異なる口座操作パターンや、IPアドレスの変更、ログイン位置の異常などを識別し、詐欺リスク警告の精度を高めます。機械学習技術は、新たな詐欺パターンを自ら学習し、タイムリーに更新することも可能です。
3. NFCチップ認証技術
NFCチップ認証技術は、身分証明書の検証において強力なツールです。NFCチップによって書類内の情報は改ざんや偽造が不可能となり、書類の真実性を確保します。静的な画像に依存する認証システムとは異なり、NFCチップは信頼性の高い認証方式を提供し、偽造書類が認証を通過するのを防ぎます。
4. 行動生体認証
行動生体認証技術は、ユーザーのキーボード入力速度、マウス操作パターン、タッチスクリーンの押圧力などの操作特性を分析して、ユーザーが本物の身分保有者であるかどうかを判断します。この技術は、詐欺師が真のユーザーの行動を模倣しようとする際に現れる異常な特性を効果的に識別し、本人確認の信頼性を強化します。
5. データ分析プラットフォーム
データ分析プラットフォームは、異なるソースからのデータを統合し、リアルタイムのリスク評価を提供します。複数のデータポイントをクロス参照することで、システムは異常な活動を迅速に検出し、潜在的な詐欺行為に迅速に対応できます。これらのプラットフォームは、進化する詐欺手法に対応するため、リスクモデルをタイムリーに更新することも可能です。
6. システムの脆弱性修正
新規口座詐欺を防ぐためには、システムの脆弱性を修正することが不可欠です。特にSQLインジェクションなどのインジェクション攻撃を防ぐことで、詐欺師がシステムの弱点を利用して違法な操作を行うのを防止できます。企業は定期的にセキュリティテストを実施し、既知の脆弱性を迅速に修正してシステムの安全性を確保する必要があります。
Authmeが提供する本人確認ソリューション
新規口座詐欺（NAF）の脅威が増す中、本人確認を強化することがデジタルセキュリティの防御網を構築するための最重要課題となっています。Authmeは、偽造身分や不正な口座開設のリスクを軽減するためのワンストップ本人確認ソリューションを提供しています。
- NFCチップ認証技術：Authmeは、NFCチップ認証技術を使用して身分証明書の真正性を確保しています。この技術により、身分証明書内の情報が改ざんや偽造されることを防ぎ、ユーザーが自分で書類をアップロードする際に発生し得るリスクを根本的に排除します。
- APP認証：ウェブ認証に比べ、ユーザーにはAppを通じた本人確認を推奨します。この認証方式は、SQLインジェクションなどの注入攻撃のリスクを大幅に軽減し、ウェブサイトの脆弱性を介した攻撃の可能性を排除します。ProKYCの動画では、ウェブ認証の脆弱性が示されていますが、Appはより安全な認証環境を提供します。
- カメラ権限管理：AuthmeのSDKは、携帯電話のカメラ権限を直接取得できるため、ユーザーが手動で身分証明書をアップロードする必要がありません。これにより、操作の簡略化だけでなく、プロセス全体の安全性も向上し、途中でのデータ改ざんや偽造のリスクを軽減します。
- 偽造防止技術の継続的な更新：当社は、ますます複雑化する詐欺手法や技術的課題に対応するため、技術ソリューションを常に更新・最適化し、企業やユーザーに高度なセキュリティ保護を提供し、本人確認システムが簡単に突破されないようにしています。
