FingerprintがFraud Scoreを発表、顧客テストで不正検出数が約50%増加

Fingerprintは、各顧客固有の不正利用の実績データで学習した機械学習モデルとデバイスインテリジェンスを組み合わせた、不正を予測するシグナル「Fraud Score」を発表した。同社によると、ある顧客の既存の社内モデルと直接比較した評価で、正当なユーザーをブロックする数を増やすことなく、不正を約50%多く検出した。

今回の発表は、リスク管理チームがよく直面する課題に応えるものだ。シグナルを収集するよりも、それらを信頼できる判断につなげるほうが難しい。複数のアカウントに関連付けられたデバイスは、プロモーションの不正利用を示している可能性がある。一方、既存アカウントへのログインを試みる見慣れないデバイスについては、別の調査が必要になることもある。Fraud Scoreは、組織の実際のユーザー、トラフィック、確認済みの結果からこうした違いを学習するよう設計されている。

報告された検出率の向上が示すもの

Fingerprintが示した主な成果は、ある顧客の社内モデルとの比較に関するものだ。同社によると、正当なユーザーをブロックする割合が同じ条件で、Fraud Scoreは不正を約50%多く検出した。この条件が重要なのは、単により多くのトラフィックを拒否すれば、不審な行為をより多く検知できるシステムもあるためだ。しかし、その結果、正当な顧客まで締め出してしまう可能性もある。

この結果は、ある顧客の社内モデルとの直接比較で得られたものだ。正当なユーザーをブロックする割合を維持しながら、その企業の不正利用のパターンから学習することの価値を示している。

この向上は、追加で検出された不正の量を示す。その金銭的価値は、対象となる取引や、企業が各予測をどのように活用するかによって異なる。

不正の種類ごとに異なるモデルを用意

Fraud Scoreの設計の中核となるのは、不正の種類ごとに予測を特化させることだ。Fingerprintは、対応対象として決済詐欺、アカウント乗っ取り、複数アカウントの不正利用、偽アカウントの作成、プロモーションの不正利用、プラットフォームの不正利用、コンテンツの不正利用を挙げている。

これらのカテゴリは、異なる行動と事業上のコストを表している。決済詐欺モデルは加盟店による注文の評価に役立つ可能性がある一方、プロモーションの不正利用を検知するモデルは、複数のアカウントを使って同じ特典を繰り返し獲得しようとする行為を探すことができる。アカウント乗っ取りへの対応では、目的がまた異なる。正当なアカウント所有者に不必要な支障を与えずに、不正アクセスを検知することだ。

顧客から提供される結果が、モデルの学習に必要なフィードバックとなる。Fingerprintは、すべての組織に予測レイヤーの構築と運用を求めるのではなく、企業が提供するラベルと自社のデバイスシグナルを組み合わせ、モデルの学習と保守を担う。顧客のトラフィックや不正利用のパターンが変化するにつれて、新たな結果がその後の再学習に反映される。

そのため、フィードバックの質が重要となる。確認済みの結果で学習したモデルは、不審な事象を区別せずに並べたリストで学習したモデルよりも、有用な教師データを得られる。組織が付与するラベルに漏れやばらつきがある場合、生成される予測にもそうした制約が反映される可能性がある。

デバイスインテリジェンスがアカウント情報を超える文脈を提供

Fingerprintのデバイスインテリジェンスプラットフォームは、永続的な識別機能と、ウェブやモバイル上のアクティビティに関する文脈情報を組み合わせる。その役割は、セッションをまたいだアクティビティの関連付けや、アカウント情報だけでは分からないパターンの分析を企業が行えるよう支援することだ。

同社のSmart Signalsのカタログには、自動化、ブラウザーの改変、仮想マシン、プロキシ、VPN、デバイスの異常に高いアクティビティを示す指標が含まれる。これらのシグナルは分析のための文脈情報となるが、プライバシー保護ツールの利用や見慣れない環境だけで、不正の意図があるとは判断できない。

Fraud Scoreは、顧客データで学習した予測レイヤーをこうした情報に加える。環境を識別することと、その環境におけるパターンが特定の企業の不正利用の実績とどう関連するかを評価することは異なる。チームは予測をそのまま利用することも、ほかの情報とともに既存の判断システムへ取り込むこともできる。

このアプローチは、不正利用との関連がすでに確認されている識別子をブロックするだけにとどまらない。学習済みモデルは、過去の事例に関連するシグナルの組み合わせを調べ、次の取引が完了する前に、類似した行動を企業が見つける手助けとなる可能性がある。

ダッシュボード、API、S3を通じたフィードバックループ

Fingerprintの発表資料によると、顧客は同社のダッシュボード、API、またはS3を通じて不正利用の結果を提供できる。顧客はラベルを管理してモデルの性能を分析でき、予測結果はFingerprintのAPIレスポンスを通じて提供される。

このアーキテクチャは、既存のリスク管理ワークフローに適合する。意思決定エンジンは、ほかのチェック項目とともに予測を活用し、操作を承認する、追加の本人確認を求める、または審査に回すといった判断を行える。

継続的な再学習は、変化する不正利用にサービスを対応させることを目的としている。ただし、フィードバックサイクルは、事象の発生後に組織が把握する情報に左右される。結果が判明するまでに時間がかかる場合もある。そのため、モデルの性能を経時的に監視することも、システム運用の一環であり続ける。

Flinkが訪問者IDのブロックだけでは不十分と考えた理由

この発表には、FlinkのプリンシパルソフトウェアエンジニアであるDavid Fennesseyのコメントも含まれています。同氏は、より巧妙な不正行為に対しては、訪問者IDをブロックするだけでは不十分だと述べました。また、注文が行われる前に将来の不正行為を防ぐため、Flink社内の不正分析に基づくモデルの開発にFingerprintと取り組んだと説明しました。

Flinkの経験は、このサービスを支える連携のあり方を示しています。企業が社内の不正分析を提供し、Fingerprintはそのフィードバックを活用して、同社の不正行為のパターンに合わせたモデルを構築・維持します。

Fraud Scoreは、個々のシグナルやルールの維持から、企業自身の成果から学習することへと重点を移します。Fingerprintがモデルの学習と再学習を担う一方、不正対策チームは、予測を意思決定にどう活用するかを引き続き管理できます。この製品は、FingerprintのFraud Scoreのページから利用できます。