Treasury 不正使用対策ガイド

Financial Accounts for platforms is a banking-as-a-service API that lets you embed financial services into your platform’s product. With Financial Accounts for platforms (through our partnerships with US domestic banks), you can offer your connected accounts a simple stored-value account that’s directly integrated into your application. It lets them perform financial actions such as sending and receiving funds (through ACH wires), earning cash back, and spending money through a card.

• ビジネスの不正利用: 不正利用者は、不正利用を行う目的で、偽の ID または盗難した ID を使用して連結アカウントを作成します。
• 取引の不正利用: 不正行為者は、侵害されたカードや金融口座の情報を使用して、正当な連結アカウントで不正行為におよびます。Stripe では、取引の不正利用は、Stripe 発行のカードでの未承認の支払いや、Stripe 発行の金融口座に対する未承認の引き落としとして発生します。
• Account takeover fraud: A fraudulent actor uses stolen credentials to log into a legitimate connected account and perform unauthorized activity. Common Financial Accounts for platforms account takeover attacks include transferring funds to an external financial account and making unauthorized transactions on a Stripe-issued card.

To protect yourself from fraud, you must both verify connected accounts when they sign up for Financial Accounts for platforms products and continuously monitor transactions for risk.

ビジネスの不正使用の例

最も一般的なビジネスの不正利用のタイプは、ファーストパーティーによる不正利用、サードパーティーによる不正利用、強制的なキャプチャーまたはオーバーキャプチャーによる不正利用です。ビジネスの不正利用スキームは複雑で、取引の不正利用やアカウントの乗っ取りによる不正利用が含まれる可能性があります。メカニズムを確認して、防御を設計します。

ファーストパーティーによる不正利用の例 (ACH デビット)

この例では、不正利用者は 2 つのアカウントにアクセスできます。

• 金融機関 A で偽の身元を使用して作成された金融口座
• 金融機関 B で、別の ID を使用して作成した金融口座

1. 不正利用者が金融機関 A の口座にログインし、ACH デビットを開始して金融機関 B の金融口座から資金を引き出します。この場合、金融機関 A が引き落としの仕向金融機関 (ODFI) で、金融機関 B が口座引き落としの受取人 (RDFI) になります。
2. 引き落とされた資金が金融機関 A の口座で利用可能になると、不正利用者はすぐに資金を引き出したり使用したりします。
3. 不正利用者は、金融機関 A によって開始された ACH デビットが承認されていなかったと主張して、金融機関 B に不審請求を申し立てします。
4. 金融機関 B は、不正な引き落としを理由に ACH 返金を開始し、引き落とし額を取り戻します。
5. 金融機関 A の口座の残高がマイナスで、不正利用者が口座を放棄します。

サードパーティーによる不正利用の例

上記の例では、不正利用者は 2 つのアカウントにアクセスできます。

• Financial account A belonging to a connected account on your platform, created by the fraudulent actor using seemingly legitimate information, often stolen identity information
• Y 銀行の外部口座 B。第三者が保有しているが、多くの場合、盗んだ認証情報を使用して不正利用者がアクセス可能

ACH クレジットの不正利用:

1. The fraudulent actor initiates an ACH or wire credit transfer from external account B into financial account A.
2. 入金された資金が口座 A で利用可能になると、不正利用者はすぐに資金を引き出したり使用したりします。
3. 口座 B の本当の所有者が、クレジットが承認されていないことを Y 銀行に通知します。
4. Y 銀行は、資金を実際の所有者に返金する可能性があります。

In this scenario, your platform might not be liable for the lost funds, because in most cases the originating financial institution can’t recall the incoming credit transfer or wire. However, your financial account has enabled fraudulent activity, which has compliance and reputation implications for Stripe and our financial partners.

ACH デビットの不正利用:

1. The fraudulent actor originates an ACH debit from financial account A, pulling funds from external account B.
2. 資金が口座 A にリリースされると、不正利用者はすぐに資金を引き出したり、使用したりします。
3. 口座 B の本当の所有者が、不当な引き落としがあったことを Y 銀行に通知します。
4. 銀行 Y は、支払いを実際の所有者に返金します。
5. プラットフォームは資金を銀行 Y に返金する必要があります。

ACH 規制により、差戻しされた売上について事業者が責任を負うことが規定されています。不正利用者はすでに口座 A から引き出しているため、会社は銀行 Y に返済するための損失を必ず被ります。

強制的なキャプチャーまたはオーバーキャプチャーによる不正利用の例

この例では、不正利用者は 2 つのアカウントにアクセスできます。

• 不正利用者が偽の本人確認情報を使用して作成した、金融機関 A のカードが関連付けられた金融口座
• アクワイアラー B のビジネスアカウント。不正利用者が別の ID を使用して作成したか、別のパーティーの正当なアカウントを不正利用者が乗っ取ったものです。

1. 不正行為者は、金融機関 A が発行したカードを使用して、アクワイアラー B で、カード発行会社の不審請求の申し立て権限を持たないオーソリを作成します。例としては、チップカードでのカード提示取引や、3D セキュア (3DS) または Visa Secure を試行するカード非提示取引などがあります。
2. 次に不正利用者は、アクワイアラー B の口座を使用して、オーソリを強制的にキャプチャーまたはオーバーキャプチャーします。1 つのオーソリが複数回キャプチャーされる場合もあります。
3. アクワイアラー B がビジネス用口座から不正利用者に入金します。
4. 金融機関 A はキャプチャーされた金額に対してアクワイアラー B に対して不審請求を申し立てでき、カード口座にマイナス残高が残ります。

新規アカウントの不正利用リスクを軽減する

次の戦略は、不正利用を促進するために作成されているアカウントや、悪用されやすいアカウントを特定するのに役立ちます。

• アカウント所有者の本人確認: Stripe Identity を使用するなど、追加の手順を実行して、連結アカウント所有者の本人確認を行います。(連結アカウントの標準的な KYC 要件では、書類の真正性は確認されますが、書類を提供する個人または企業の本人確認は行われません。)
• 銀行口座の所有権を確認: Financial Connections を使用して、連結アカウントの外部銀行口座を安全に設定し、取引を行います。
• ビジネスドメインを確認する: アカウント所有者がビジネスドメインのメールアドレスを持っていること、およびメールの受信と返信が可能であることを確認します。
• ビジネスのオンラインプレゼンスを確認する: 中小企業、請負業者、クリエイターの場合は、ウェブサイトとソーシャルメディアのアカウントを収集して確認します。
• ビジネスライセンスを確認: ライセンスが必要な業界では、連結アカウントのライセンスを収集して確認します。
• Implement account security: Enforce requirements such as two-factor authentication and password policies on your connected accounts. Provide guidance on information security, such as how to protect account credentials and identify phishing attacks, and encourage them to closely monitor their financial account activity using automated notifications.
• アカウントアクセスを監視: デバイス ID や IP アドレスなどの情報を収集します。これを使用して、リスクの高い操作 (パスワードの変更など) が、既知の場所にある安全なデバイスから実行されているかどうかを特定できます。
• 情報が重複していないか監視: 以前に不正利用として特定されたアカウントを、作成するときに使用した情報のデータベースを管理し、新しいアカウントをその情報に照らしてチェックします。
• Monitor signup volume: A sudden increase in the number of accounts signing up for your Financial Accounts for platforms product can indicate that fraudulent actors have discovered a vulnerability in your platform.
• Limit access to faster payouts: If your connected accounts also use Stripe for payments, limit access to faster account payouts to trustworthy accounts. For example, you can enable faster payouts only for accounts that remain issue-free after a certain amount of time or processing volume. If you experience fraud losses, consider disallowing faster payouts.
• 資金を引き出すためのアクセスを制限: ACH デビットなど、受取口座で発生した取引へのアクセスを、信頼できるアカウントのみに制限します。口座で ACH デビットが必要な場合は、信頼できることが証明されるまで、口座が処理できる引き落とし金額を制限します。ほとんどの ACH デビットの差戻しは 4 営業日以内に行われるため、新しい口座への入金は ACH デビットの少なくとも 4 日後に予定してください。
• 総合的な不正利用の審査: 新規連結アカウントのライフサイクルの特定の時点で、不正利用のリスクを手動で確認します。審査の適切なタイミングは、連結アカウントの数、ビジネスモデル、リスク許容度によって異なります。一定の取引件数、一定量の流入または流出額などの条件に基づいて設定することも、登録後すぐにアカウントを審査することもできます。

取引やアカウント乗っ取りの不正利用のリスクを軽減します

個々の取引のリスクの軽減には、一般的に適用可能な戦略と、特定の取引タイプに適用される軽減策の両方が含まれます。

自動的なリスク管理

Stripe では、あらゆる資金移動のリスクレベルを監視しています。Stripe のモデルで、十分な資金のない取引相手からの一連のインバウンド送金など、リスクの高い移動が確認されると、その移動をブロックし、口座の inbound_transfers 機能を無効にします。

まれに重大な不正利用が発生すると、Stripe は outbound_transfers、outbound_payments、card_issuing、intra_stripe_flows の機能も無効にすることがあります。このアクションは通常、不正利用のように見える新しいアカウントによってトリガーされます。

When we disable a financial account feature, that feature’s status is restricted_other, with the reason automated_fraud_prevention. Set up a webhook to monitor your accounts for disabled features, and investigate them as they occur.

不正利用の特定に役立つ指標を監視する

The following metrics can flag potential fraud on financial accounts that also use Stripe for payments. If your accounts use a different payment processor, you can use similar metrics that correspond to your payment systems.

遅れている指標:

• Rejection rate on financial accounts versus other accounts
• Absolute acquiring losses on financial accounts
• Percentage of financial accounts with losses
• Absolute loss per account on financial accounts versus other accounts
• Time to acquiring loss on financial accounts versus other accounts

先行している指標:

• Signup rate for financial accounts versus other accounts
• 新規の連結アカウントで、最初の 30 日間に受け取ったクレジットまたはデビット (アクワイアリングにおける入金を除く) の量が多い
• 受信するクレジット/デビット (アクワイアリングにおける入金を除く) の量が多いが、アクワイアリングの処理金額が少ない
• Accounts with material received credits or debits followed by OutboundTransfers bringing the financial account balance to zero
• 国際カードでの支払い金額または OutboundTransfers が、特定の合計金額を超えているアカウント

発行済みカードの不正利用を減らす

以下の戦略は、プラットフォームが発行したカードの不正利用行為の特定に役立ちます。発行されたカードの不正利用行為を特定して対処するための詳細については、Issuing ドキュメントの不正利用の管理をご覧ください。

• カード保有者の審査のために通常と異なるアクティビティーを特定する: 発行済みのカード取引で不審なアクティビティーを監視し、カード保有者に確認を依頼します。いくつか例を挙げます。
  • 高額または端数処理の取引
  • カード保有者の平均取引額を大幅に上回る取引
  • 食料品店や大型ディスカウントストアなど、ギフトカードを販売することが多い小売業者での取引
  • 強制的なキャプチャー
  • オーバーキャプチャ
  • カード保有者の国外のビジネスとの取引
• カード支出制限: 支出管理を設定し、加盟店のカテゴリーや国に基づいて支出をブロックまたは制限します。想定される支出パターンと異なる取引に疑わしいと思われる場合には、カードやカード保有者に支出管理を適用できます。
• カードを 3D セキュア に登録する (3DS): 3DS は、オンライン取引のためのカード保有者認証の追加手段であり、ビジネスとカード発行会社が対応している場合にのみ機能します。ただし、ビジネスが 3DS を有効にしている場合、有効にしなくても、カード発行会社は不正利用の申し立てに対して責任を負います。カードを発行する場合は、ビジネスを保護するために 3DS に登録します。
• Visa Advanced Authorization スコアを確認: Stripe は、Visa Advanced Authorization (VAA) スコアを使用して、特定の疑わしいオーソリを特定し、ブロックします。API を通じてこのスコアを公開したい場合は、treasury-support@stripe.com にお問い合わせください。

インバウンド送金の ACH の不正利用を減らす

インバウンド送金のリスクを評価するために、次の戦略をお勧めします。

• Financial Connections を使用して、外部銀行口座の所有権を確認します。
• 非常に頻繁な送金や大規模な送金など、異常な取引を監視します。
• インバウンド送金を作成すると、Stripe の失敗予測モデルによってさまざまな要因が分析され、Charge オブジェクトの outcome.risk_score プロパティに値が返されます。これは、残高不足または無効な口座情報などの理由により、銀行が返金を開始する可能性を表す値です。スコア 65 以上は可能性があることを表し、スコア 75 以上は高リスクを表します。

Stripe offers an optional feature that lets you place a temporary hold on inbound transfers to give you time to investigate potential fraud. For example, you can contact the account to verify the transfer. You can configure holds to occur before Stripe submits a transfer to our banking partners, or between submission of the transfer and release of the funds into the financial account. The main difference is that you can only cancel a transfer before we submit it to the bank.

For details about using inbound transfer holds, see Manually review inbound transfers

同日の受信転送の自動ブロック

Same-day inbound transfers increase the risk of disbursing funds from a fraudulent debit before the fraud is detected. To mitigate this risk, the Stripe systems can prevent the creation of a same-day inbound transfer when they identify the transaction as having a high probability of fraud. When Stripe blocks an inbound transfer, the API returns an inbound_transfer_not_same_day_eligible error. This error indicates that we can’t guarantee same-day settlement for that transaction. Retry the transfer using standard ACH submission, which allows more time for the underlying ACH debit to clear, and reduces the platform’s exposure to fraud. For comprehensive details on handling this error and managing inbound transfers, see inbound transfers.

アウトバウンドデビットでの ACH の不正利用を軽減する

アウトバウンドデビットのリスクを軽減するため、以下の戦略をお勧めします。

• Flag high-risk transactions for accountholder review: Monitor outbound transactions for suspicious activity, and ask the account to verify them. Some examples:
  • 多額の引き落とし、または限度額に近い金額の引き落とし
  • 新しい送信者に関連付けられた引き落とし
  • 口座にある資金を超える金額の引き落としが試行されました
• Use push methods for outbound debits: Encourage your connected accounts to use push methods, such as Outbound transfers, rather than pull methods that originate from external accounts.
• Reverse suspicious transactions: If you suspect that a ReceivedDebit is fraudulent, reverse it by processing a DebitReversal. You must reverse the debit within 2 business days of the original transaction.

特定された不正利用への対応

不正利用の可能性や実際の不正利用を検出した場合は、すぐに対処します。対応は不正利用の性質によって異なります。

不正なアカウントや侵害されたアカウントを無効にする

If you suspect that an account is fraudulent, or that a legitimate account has been taken over by a fraudulent actor, disable outbound money movement until you can verify the fraud. To do so, set its outbound_flows feature to restricted.

アカウントが不正利用であることが確実な場合は、そのアカウントの outbound_flows と inbound_flows の両方の機能を無効にします。アカウントの残高がゼロの場合は、解約できます。

If a legitimate account is compromised, expire any existing login sessions and disable logins. Contact the account owner and verify their identity, then help them reset their login credentials. When the account is secure, re-enable logins and Financial Accounts for platforms features.

If necessary, consider closing a financial account and creating a new one.

不正利用取引に対して不審請求を申し立てる

不正取引には厳格な時間制限があるため、スピーディーに対応します。

• For ACH debit transactions, you must notify Stripe of any return request at least 24 hours before the transaction settlement date. You can return an ACH Debit by creating a DebitReversal using the API.
• カード取引の場合、売上がキャプチャーされてから 110 日後までは不審請求を申し立てできます。発行されたカード取引に対する不審請求の申し立ては、ダッシュボードまたは API を使用して行えます。

発行されたカードに不正利用された疑いがある場合は、カードをクローズし再発行します。

脆弱性を確認する

不正利用を調べて既存の管理をすり抜けた経緯を判断し、他のアカウントでも同じ脆弱性が悪用されていないかを徹底的に調べます。今後同様の不正利用が発生しないように、システムとプロセスを修正します。