揺らぐ不正の境界線

不正利用の高度化によって、従来の本人確認だけでは、正規顧客と攻撃者を十分に見分けられなくなっています。不正利用そのものは以前から存在していましたが、不正が潜む場所や、その手口は大きく変化しています。

過去10年間の大半において、リスク管理チームの運用モデルは、「通常とは異なる挙動を検知する」という比較的シンプルなものでした。新しいデバイス、通常と異なる場所、一致しない認証情報などがその対象でした。このシグナルは、従来の不正の手口に対しては、依然として有効です。しかし、現在急増している不正利用の多くは、こうしたシグナルを一切発しません。それらは、認証済みのアカウント、認識済みのデバイス、そしてあらゆるチェックポイントをクリアする正規の行動を装って行われるからです。

Adyenは、世界最大級のコマース環境における決済処理を行っています。その膨大なデータから読み取れるのは、不正リスクの性質そのものが変化しているという事実です。今日の不正利用は高度に自動化・高速化されており、多くの場合、単一のトランザクションを見るだけでは正規の顧客行動と区別がつきません。時間軸とコンテキストの両方を俯瞰して初めて、その実態が明らかになるのです。

リスク管理チームは今、判断の誤りが事業に直接的な影響を与えるという、これまでとは異なる種類の課題に直面しています。この課題は、単に統制を強化するだけでは解決できません。なぜなら、統制そのものが悪用の標的になっているからです。

今求められているのは、アイデンティティとリスクが常に変化し続ける存在であることを前提にした新しいアプローチです。アイデンティティは、一度の認証で固定的に判断するものではなく、時間とともに変化する動的なシグナルとして継続的に評価する必要があります。同様に、本来承認されるべき取引を拒否してしまう誤検知は単なる運用上の不備ではなく、ビジネスにおける実質的なコストであることを理解する必要があります。その影響は、不正利用による損失と同等に受け止められるべきものです。

本レポートでは、こうした変化が実際にどのように進行しているのかを整理します。不正検知が困難になっている領域、従来の防御策が通用しなくなっている理由、そして優れたリスク管理を行っている組織が実践している独自の取り組みについて詳述します。後半では、変化し続けるリスクを前提としたこのアプローチを、どのようにインフラや戦略へ反映していくべきか詳しく掘り下げていきます。

この激変する環境で優位に立つ企業は、最も厳しい統制を敷いている企業ではありません。どこで、どのように統制を適用すべきか、より「意図的かつ精密な判断」を下している企業です。

不正利用そのものは、決して新しい問題ではありません。しかし、現在の不正は、単一時点だけでは判別できないものになっています。

今日の不正利用の多くは、決済の時点では極めて正当なものに見えます。例えば、認識済みのデバイスを使用する既存顧客のように振る舞うケースです。こうした不正の多くは、複数のアカウントや継続的なインタラクションを時間軸で横断して初めて明らかになります。

現代の不正利用は、継続的なテスト・アンド・ラーンのサイクルの中で展開されており、リアルタイムで改良・拡大されています。効果的な不正の手口は繰り返され、効果のないものは即座に切り捨てられます。

攻撃者は単一のアプローチを試すのではなく、数千ものバリエーションを同時に実行します。アイデンティティの属性情報、決済手段、チェックアウトの速度、あるいは取引金額などを微調整しながら、どのような操作がセキュリティを突破できるかを検証しています。

自動化によってこれらの攻撃は絶え間なく繰り返され、成功した手口をリアルタイムで最適化しながら適用し続けます。オーソリ（承認）の結果や拒否、その後の行動といったあらゆる結果がフィードバックとなり、企業の不正対策を潜り抜けるまで、次の攻撃へと反映されていきます。

自動化やAIは、これらの不正パターンを新たに生み出しているわけではありません。不正の実行速度を加速させ、再現性を向上させ、より大規模な展開を可能にしています。また、自動化とAIは、不正利用の振る舞い自体を変えつつあります。AIの進化により、攻撃者はディープフェイクや偽造書類、その他の巧妙な手口を用いて合成アイデンティティを強化し、標準的な本人確認を回避できるようになっています。

こうした攻撃の自動化と大規模化が容易になったことで、攻撃者のターゲットはもはや大手プラットフォームだけに留まりません。業種・地域・企業規模を問わず、あらゆる事業者が、同じ攻撃のプレイブックにさらされる可能性があります。攻撃者は、ブランドロイヤルティや競合関係などを意識して行動しているわけではありません。ある企業で脆弱性を発見すれば、その手口は即座に他社にもテストされ悪用されます。

実務レベルでは、これは同じ不正パターンが複数の環境で同時発生することを意味します。あるプラットフォームでカード番号をテストするスクリプトは、別のプラットフォームでも再利用されます。新規特典の使い回しは多くのブランドで繰り返され、一度認証されたアイデンティティは、通用しなくなるまで繰り返し使われます。これは従来の不正手口と似ているように見えるかもしれません。しかし、決定的に異なるのは、その拡散スピードと適応力です。成功した手口は、極めて短期間で再利用・展開されていきます。

こうしたパターンは、加盟店、チャネル、業界を横断して発生するため、より大規模で質の高いデータにアクセスできる企業ほど、不正をより早期かつ先回りして検知・防止しやすくなります。

不正利用は、自動化によって大規模化が容易になったことで、少数の高額取引に集中するのではなく、低額取引にも広く拡大しています。

この変化によって、不正検知システムに求められる要件も変わりつつあります。従来のように単発的な高リスク事象を想定して構築された制御システムでは、絶え間なく発生する大量の攻撃に対応しきれません。システムが処理すべき件数が膨れ上がると同時に、正規の行動と不正行為の境界線がますます曖昧になっています。

その影響は、単なる不正による損失に留まりません。手動審査コストの増加、誤検知による正規顧客の拒否、そして収益機会の喪失といった形で影響を及ぼしています。

不正利用は、もはや未認証アカウントによるものだけではありません。今や、正規顧客や正当な取引に見える行動に紛れて行われています。

長年にわたり不正検知は、実在の人物か、または本人が名乗っている通りの人物かといった限定的な問いに焦点を当ててきました。これらの問いは今なお重要ですが、もはやそれだけでは十分ではありません。

課題は、特定の時点での静的なアイデンティティ検証に留まらず、顧客のライフサイクル全体を通じて展開される「行動」を理解することにあります。

同じアカウントやデバイスでも、ある時点では正規顧客でありながら、次の瞬間には不正・不適切な行動へ転じる可能性があります。これは、実在の顧客に紐づいているにもかかわらず、新規登録特典を不正取得する目的で作成された新規アカウントや、後で虚偽の口実で返品される正当な購入などが該当します。

こうした変化は、現在企業が直面している不正利用の種類に顕著に表れています。

今回の調査では、企業の44.3%が「フレンドリー詐欺」を報告しています。これは、顧客が正当な購入をした後、商品未着や欠陥、身に覚えのない請求などを理由に、銀行を通じてディスピュート（異議申立て）を行う、最も一般的な悪用形態の一つです。

これに続くのが企業の42.2%が報告している「アカウントの偽造やアイデンティティの盗難」です。これはキャンペーン特典の繰り返し利用や、特定顧客向けオファーへの不正アクセスに利用されます。

さらに、「ポリシーやキャンペーンの悪用」も39.8%と僅差で続いています。これには、商品の連続返品、ワードロービング（一度だけ着用した衣類の返品）、無料トライアルの繰り返し利用、ポイントの不正取得、割引の不正併用などが含まれます。フレンドリー詐欺は今や一般化しており、こうした悪用の多くは、アカウントの乗っ取りではなく、正規顧客によって行われています。そのため、システム上は、こうした行動の多くが正常な取引に見えてしまうのです。不正アクセスや不正な決済情報を特定するために設計された従来の不正検知システムでは、こうした行動を正当な取引として通してしまいます。

これまで不正利用は、防御が最も弱い場所へと移動してきました。例えば、磁気ストライプカードが主流だった時代には、物理カードの偽造を中心とした不正が、防御の比較的弱かったEコマース（オンライン決済）へと移行しました。現在では、オンライン上の防御が高度化したことで、攻撃者は実店舗における隙を突くよう適応し、不正利用は再び実店舗へと戻りつつあります。実店舗では、取得できるデジタルシグナルが限られ、管理体制も比較的手薄であることから、不正を検知する難易度が高まっています。 こうした動きによって、POS（販売時点情報管理）における返金悪用のような問題が、新たな不正リスクとして表面化しています。

すべての不正が悪意から始まるわけではありません。多くの場合、きっかけは企業側が提供するインセンティブにあります。

新規顧客向けの割引が複数回の新規登録を促し、寛容な返品ポリシーが不正のハードルを下げ、本来一度きりの特典であるはずの無料トライアルが繰り返し利用の対象となります。かつては例外的な事象にすぎなかった不正が、時間の経過とともに市場全体へ浸透し、常態化していくのです。

オンラインコミュニティでは、キャンペーンの最大活用法から返品を承認させるコツまで、システムを「攻略」する方法が公然と共有されています。かつては不正と見なされていた行為が、今では「抜け道」や「ハック」、あるいは「賢い買い物術」として正当化されています。自身を攻撃者だと思っていない顧客であっても、結果として企業に損失をもたらす行動をとってしまう可能性があるのです。

こうしたグレーゾーンの存在によって、不正の定義が曖昧になり、対策は一層複雑化しています。

課題はシグナルの欠如ではありません。多くの場合、個別のトランザクションレベルでは不審な点は見当たりません。そのパターンは、繰り返されて初めて浮かび上がります。

• 複数のアカウントを利用したプロモーション特典の大量取得

• 複数のアイデンティティによる無料トライアルの反復利用

• 返品ポリシーの適用基準直前で繰り返される返品

• 検知を避けるための取引の意図的な分散

• ギフトカードの不正利用

不正利用の判別が困難になるにつれ、誤った判断がもたらす代償は、直接的な損失額を上回る可能性があります。 現在、リスク全体の大部分が、ごく一部のアイデンティティ（アカウント）によって引き起こされています。しかし、それらを阻止するための統制は、あまりにも広範囲に適用されすぎています。少数の悪用を防ごうとするあまり、企業はすべての顧客に影響を与えるフリクション（摩擦）を生じさせているのです。

不正利用の真のコストは、検知をすり抜けた直接損害だけでなく、本来通すべき正当な取引をブロックしてしまった損失にも表れます。Adyenプラットフォームデータによると、静的な統制によって、正規顧客の最大10%が誤ってブロックされています。

誤拒否、不必要なフリクション、そして増大する手動審査コストは副次的な問題ではありません。いずれも不正対策が収益に与える影響の本質的な問題となっています。

これまでの不正対策の多くは、損失の最小化を目的に構築されてきました。しかし、そのモデルは今や時代遅れと言わざるを得ません。

不正管理とは、最終的に「企業がどれだけの正当な収益を獲得できるか」を決定する一連の商業的判断である、という理解が広まっています。 いまや問うべきは、どれだけの不正を許容するかではありません。不正を止めようとするあまり、どれだけの正当な売上を失うことを許容するのかが問われています。

不正の増加に伴い、ルールの追加、本人確認ステップの増設、手動審査の強化、規制の厳格化など、統制を強めることが当然の対応に思えるかもしれません。しかし、これらはすべてコストとフリクションを増大させます。

この影響はすでにデータに表れています。MRC（Merchant Risk Council）の調査によると、運用コストの最小化を最優先事項に掲げる加盟店の割合は、2024年のわずか10%から、2025年には29%へと急増しています。 また、Adyen加盟店調査では、企業の58%が手動審査コストの上昇を経験しており、50%が誤拒否の増加を報告しています。追加された統制が静的なシグナルに依存している場合、最大10%の正規顧客がブロックされることになります。

ここには企業が認識しているリスクと現実の乖離があります。一部の悪質なアイデンティティから自社を守ろうとするあまり、企業は自らコストとフリクションを増やしているのです。誤拒否は、その瞬間のコンバージョンを妨げるだけでなく、顧客の信頼や将来の購買意欲を損ないます。それは、LTV（顧客生涯価値）が高い優良顧客に対して自ら税金を課しているようなものなのです。

多くの企業にとって、不正管理とは一連の「妥協」の積み重ねです。Adyen加盟店調査では、97%の企業が過去1年間に不正対策に関連して少なくとも1つのトレードオフを経験しています。

不正対策は、もはや画一的な手法では機能しません。

広範囲に画一的な統制を適用すれば、コストの増大、コンバージョンの低下、そして顧客の信頼を損ないます。一方で、精密な統制は、承認率の向上、不必要なフリクションの削減、そして長期的な顧客価値の保護を実現する成長ドライバーとなります。重要なのは、個々のトランザクションに単に対応するのではなく、その背後にあるパターンを見極めることです。 問われているのは、もはやリスクを特定することではありません。企業の成長を阻むことなく、粗利益を確実に保護するために、最適化されたフリクションをいかに高い精度で統制できるか。そうした戦略のシフトこそが、今まさに求められているのです。

従来のアイデンティティ検証で、正規顧客と攻撃者を見分けられなくなった今、企業は何を基準に判断すべきなのでしょうか。

前章までで述べた通り、現在の不正利用は、検証済みのアカウント、認識済みのデバイス、あらゆるチェックポイントを通過する正規顧客によるリスクが急速に増大しています。

この変化により、正規顧客と攻撃者を見分けることは、これまで以上に難しくなっています。 その解決策は、認証を強化することではありません。アイデンティティとは、もはや「一度確認すれば済む認証情報」ではないのです。重要なのは、単一時点で検証することではなく、顧客ライフサイクル全体の行動を通じて継続的に評価する「動的アイデンティティ」として捉えることです。

「検証（Verification）」は、ある特定の瞬間に「この人物は自称している本人か」という二者択一の問いに答えるものです。 対して「認識（Recognition）」は、時間の経過とともに蓄積される行動パターンから、「この行動は、信頼できる顧客のパターンに合致するか」を見極めるものです。

この2つの違いが重要なのは、攻撃者がすでに「検証」をすり抜ける術を学んでしまっているからです。しかし、「認識」に必要となる、一貫した行動履歴を再現することは容易ではありません。 リピーターが、認識済みのデバイスで通常通りの金額範囲で購入する場合、フリクションは最小限に抑えられます。しかし、アイデンティティ自体は同じでも、返品回数が異常に増えたり、キャンペーンを使い回したり、複数のアカウントにまたがって行動が分散されたりすれば、そこに潜む「意図の変化」が浮き彫りになります。

信頼性は、一度の確認で確立されるものではなく、継続的な行動を通じて評価され、築かれていくものです。

アイデンティティの信頼性は、加盟店横断のデータネットワークを通じて複利的に高まります。 自社のサービス内における顧客行動を基に、一定の行動パターン（コンテキスト）を蓄積することは可能ですが、複数の加盟店やデバイスを横断してシグナルを活用するネットワークレベルの「認識」は、初回接点の段階から、より高精度で迅速な判断を可能にします。

Adyenのグローバルネットワーク全体において、特定のアイデンティティ（顧客データ）が、過去の取引、他の加盟店、資金の払い出し、あるいはカード発行などの履歴にすでに登場している確率は84%にのぼります。これは、自社にとっては新規顧客であっても初回接点から、その背景にある行動履歴を把握できるということを意味します。すでに他の環境で信頼性の高い行動履歴を示している顧客であれば、企業は初期段階からより高い確信を持って判断でき、不必要なフリクションを減らすことができます。

これまで、不正対策は主に2つの根本的な課題に焦点を当ててきました。一つは、行動シグナルなどを通じて正規顧客と攻撃者を識別すること。もう一つは、決済を行おうとしている人物に、その権限があるか（本人か）を確認する「権限の認証」です。

しかし、エージェンティックコマースでは、新たに「エージェント」という第三の主体が加わります。これにより、従来の課題はさらに複雑化し、まったく新しい問題も生まれます。今後、企業は以下の対応を迫られることになります。

• 正規のエージェントと、悪意のあるエージェントを識別する

• エージェントが顧客本人の代理として行動する正当な権限を持っているかを検証する

• エージェントが顧客の意図に基づいて動作しているかを保証する

特に最後の「意図」は、これまでにない全く新しい概念です。たとえ顧客本人から認証された正規のエージェントであっても、独自の最適化アルゴリズムや、外部からの誘導、インセンティブの不一致によって、顧客の期待とは異なる振る舞いをする可能性があるからです。

この変化により、エージェンティックコマースにおける不正は単に既存の手口が高速化したのではなく、新たな性質を持つ課題となっています。ここでのリスクは、「悪意のある者がエージェントを使うことだけではありません。決済の瞬間に、「信頼できる正規のエージェント」と「悪質なエージェント」の区別が事実上不可能であり、現在のシステムがそれらを見分けるようには設計されていないという点にあります。

エージェンティックコマースは、今後5年以内に決済ボリュームの相当な割合を占めると予想されていますが、その影響度とリスクの現れ方は業界ごとに異なります。

エージェンティックコマースの時代において、チェックアウト時に不正対策を適用するだけでは不十分です。エージェントがチェックアウト画面に到達する頃には、すでに多くの意思決定が完了しており、その多くは加盟店からは可視化も統制もできない外部システム（AIの内部）で実行されています。その結果、チャージバック、返品の悪用、プロモーションの悪用、そして技術的には有効であっても顧客の意図と一致しない取引にさらされるリスクが高まります。

信頼の構築は決済の瞬間だけでなく、システム、プロトコル、システム全体を横断して、より早い段階で構築される必要があります。

これらの課題は現在も進化の途上にありますが、いくつかの明確な対応策が見えてきています。

行動インテリジェンス 不正検知システムは、人間の行動だけでなく「エージェント特有の行動パターン」を認識できるように適応する必要があります。具体的には、エージェントによるインタラクションの特徴を学習し、取引ライフサイクルのより早い段階でシグナルを取得するとともに、加盟店、決済ネットワーク、カード発行会社、AIプラットフォーム間でのデータ共有を強化していく必要があります。 エージェント識別 今後より一層重要となるのは、信頼できるエージェントとそうでないものを区別する能力です。これには、決済ネットワークや金融機関との連携、AIエージェントのアイデンティティおよびレピュテーションを管理する共通フレームワークやレジストリの整備、さらにエージェントの出所や信頼性を示す標準化されたシグナルの整備が必要になると考えられます。 認証と委任 既存の本人認証システムは、代理購入というコマースの形を想定して設計されていません。現在、エージェントベースの承認をサポートするために、現行のプロトコルを拡張する取り組みが進められています。同意と権限委譲をいかに取得・検証し、新たな取引パターンを業界標準や規制枠組みと適合させるかが焦点となっています。

不正の手口は根本的に変化しました。2026年において、最大のリスクは、システム外部からの攻撃ではなく、正規顧客向けに構築されたシステム内部や、一見正当な利用に見える行動として現れています。この変化により、従来の統制は効果を失い、広範囲に課されるフリクションのコストは増大しています。

重要なのは、防御策を増やすことではなく、その精度を高めることです。カスタマージャーニーのより早い段階で、動的なアイデンティティ、行動履歴、そしてコンテキストをもとに、正規顧客と不正リスクを見極めなければなりません。

その結果、不正管理は単なる守りの機能を超えた存在になります。どこで、どのように正規顧客を信頼すべきかをより的確に見極めながら、収益を守り、成長を支える役割へと変化していくのです。