プラットフォーム向け金融口座の不正利用ガイド

プラットフォーム向け金融口座は、金融サービスをプラットフォーム製品に組み込むことができる、バンキング・アズ・ア・サービス API です。Financial Accounts for platforms (アメリカ国内の銀行との提携を通じて) を使用すると、アプリケーションに直接導入するシンプルな保管口座を連結アカウントに提供できます。これにより、資金の送受信 (ACH 送金による)、キャッシュバックの獲得、カードによる支出などの金融活動を実行できます。

• ビジネスの不正利用: 不正利用者は、不正利用を行う目的で、偽の ID または盗難した ID を使用して連結アカウントを作成します。
• 取引の不正利用: 不正行為者は、侵害されたカードや金融口座の情報を使用して、正当な連結アカウントで不正行為におよびます。Stripe では、取引の不正利用は、Stripe 発行のカードでの未承認の支払いや、Stripe 発行の金融口座に対する未承認の引き落としとして発生します。
• 口座乗っ取り詐欺: 詐欺師が盗んだ認証情報を使って正当な連結アカウントにログインし、不正な活動を行います。プラットフォーム向け金融口座のアカウント乗っ取り攻撃で一般的なものには、外部金融口座への送金や Stripe 発行カードでの不正取引が含まれます。

不正利用対策として、Financial Accounts for platforms 商品に登録する際に連結アカウントを確認し、継続的に取引のリスクを監視する必要があります。

ビジネスの不正使用の例

最も一般的なビジネスの不正利用のタイプは、ファーストパーティーによる不正利用、サードパーティーによる不正利用、強制的なキャプチャーまたはオーバーキャプチャーによる不正利用です。ビジネスの不正利用スキームは複雑で、取引の不正利用やアカウントの乗っ取りによる不正利用が含まれる可能性があります。メカニズムを確認して、防御を設計します。

ファーストパーティーによる不正利用の例 (ACH デビット)

この例では、不正利用者は 2 つのアカウントにアクセスできます。

• 金融機関 A で偽の身元を使用して作成された金融口座
• 金融機関 B で、別の ID を使用して作成した金融口座

1. 不正利用者が金融機関 A の口座にログインし、ACH デビットを開始して金融機関 B の金融口座から資金を引き出します。この場合、金融機関 A が引き落としの仕向金融機関 (ODFI) で、金融機関 B が口座引き落としの受取人 (RDFI) になります。
2. 引き落とされた資金が金融機関 A の口座で利用可能になると、不正利用者はすぐに資金を引き出したり使用したりします。
3. 不正利用者は、金融機関 A によって開始された ACH デビットが承認されていなかったと主張して、金融機関 B に不審請求を申し立てします。
4. 金融機関 B は、不正な引き落としを理由に ACH 返金を開始し、引き落とし額を取り戻します。
5. 金融機関 A の口座の残高がマイナスで、不正利用者が口座を放棄します。

サードパーティーによる不正利用の例

上記の例では、不正利用者は 2 つのアカウントにアクセスできます。

• 金融口座 A: 詐欺行為者が一見正当な情報 (多くの場合、盗まれた本人確認情報) を使用して作成した、プラットフォーム上の連結口座に属するもの
• Y 銀行の外部口座 B。第三者が保有しているが、多くの場合、盗んだ認証情報を使用して不正利用者がアクセス可能

ACH クレジットの不正利用:

1. 詐欺師は外部口座 B から金融口座 A への ACH または電信送金を開始します。
2. 入金された資金が口座 A で利用可能になると、不正利用者はすぐに資金を引き出したり使用したりします。
3. 口座 B の本当の所有者が、クレジットが承認されていないことを Y 銀行に通知します。
4. Y 銀行は、資金を実際の所有者に返金する可能性があります。

このシナリオでは、ほとんどの場合、送金元の金融機関がクレジット送金や電信送金を取り消すことができないため、紛失した資金についてプラットフォームが責任を負うことはないかもしれません。しかし、金融口座が不正行為を可能にしたため、Stripe と金融パートナーにとって法令遵守と評判に影響します。

ACH デビットの不正利用:

1. 詐欺師は金融口座 A から ACH 引き落としを行い、外部口座 B から資金を引き出します。
2. 資金が口座 A にリリースされると、不正利用者はすぐに資金を引き出したり、使用したりします。
3. 口座 B の本当の所有者が、不当な引き落としがあったことを Y 銀行に通知します。
4. 銀行 Y は、支払いを実際の所有者に返金します。
5. プラットフォームは資金を銀行 Y に返金する必要があります。

ACH 規制により、差戻しされた売上について事業者が責任を負うことが規定されています。不正利用者はすでに口座 A から引き出しているため、会社は銀行 Y に返済するための損失を必ず被ります。

強制的なキャプチャーまたはオーバーキャプチャーによる不正利用の例

この例では、不正利用者は 2 つのアカウントにアクセスできます。

• 不正利用者が偽の本人確認情報を使用して作成した、金融機関 A のカードが関連付けられた金融口座
• アクワイアラー B のビジネスアカウント。不正利用者が別の ID を使用して作成したか、別のパーティーの正当なアカウントを不正利用者が乗っ取ったものです。

1. 不正行為者は、金融機関 A が発行したカードを使用して、アクワイアラー B で、カード発行会社の不審請求の申し立て権限を持たないオーソリを作成します。例としては、チップカードでのカード提示取引や、3D セキュア (3DS) または Visa Secure を試行するカード非提示取引などがあります。
2. 次に不正利用者は、アクワイアラー B の口座を使用して、オーソリを強制的にキャプチャーまたはオーバーキャプチャーします。1 つのオーソリが複数回キャプチャーされる場合もあります。
3. アクワイアラー B がビジネス用口座から不正利用者に入金します。
4. 金融機関 A はキャプチャーされた金額に対してアクワイアラー B に対して不審請求を申し立てでき、カード口座にマイナス残高が残ります。

新規アカウントの不正利用リスクを軽減する

次の戦略は、不正利用を促進するために作成されているアカウントや、悪用されやすいアカウントを特定するのに役立ちます。

• アカウント所有者の本人確認: Stripe Identity を使用するなど、追加の手順を実行して、連結アカウント所有者の本人確認を行います。(連結アカウントの標準的な KYC 要件では、書類の真正性は確認されますが、書類を提供する個人または企業の本人確認は行われません。)
• 銀行口座の所有権を確認: Financial Connections を使用して、連結アカウントの外部銀行口座を安全に設定し、取引を行います。
• ビジネスドメインを確認する: アカウント所有者がビジネスドメインのメールアドレスを持っていること、およびメールの受信と返信が可能であることを確認します。
• ビジネスのオンラインプレゼンスを確認する: 中小企業、請負業者、クリエイターの場合は、ウェブサイトとソーシャルメディアのアカウントを収集して確認します。
• ビジネスライセンスを確認: ライセンスが必要な業界では、連結アカウントのライセンスを収集して確認します。
• 口座セキュリティの実施: 連結アカウントの二要素認証やパスワードポリシーなどの要件を実施します。口座認証情報の保護やフィッシング攻撃の特定方法など、情報セキュリティに関するガイダンスを提供し、自動通知を使用して金融口座の利用状況を注意深く監視するよう促します。
• アカウントアクセスを監視: デバイス ID や IP アドレスなどの情報を収集します。これを使用して、リスクの高い操作 (パスワードの変更など) が、既知の場所にある安全なデバイスから実行されているかどうかを特定できます。
• 情報が重複していないか監視: 以前に不正利用として特定されたアカウントを、作成するときに使用した情報のデータベースを管理し、新しいアカウントをその情報に照らしてチェックします。
• サインアップ数の監視: プラットフォーム向け金融口座製品に登録する口座数が突然増加した場合、詐欺師がプラットフォームの脆弱性を発見した可能性があります。
• 早期入金へのアクセスを制限する: 連結アカウントでも決済に Stripe を使用している場合、アカウントの早期入金 へのアクセスを信頼できるアカウントに制限します。例えば、一定の時間または処理量が経過しても問題がない口座にのみ、早期入金を有効にできます。不正利用が発生した場合は、早期入金を無効にすることを検討してください。
• 資金を引き出すためのアクセスを制限: ACH デビットなど、受取口座で発生した取引へのアクセスを、信頼できるアカウントのみに制限します。口座で ACH デビットが必要な場合は、信頼できることが証明されるまで、口座が処理できる引き落とし金額を制限します。ほとんどの ACH デビットの差戻しは 4 営業日以内に行われるため、新しい口座への入金は ACH デビットの少なくとも 4 日後に予定してください。
• 総合的な不正利用の審査: 新規連結アカウントのライフサイクルの特定の時点で、不正利用のリスクを手動で確認します。審査の適切なタイミングは、連結アカウントの数、ビジネスモデル、リスク許容度によって異なります。一定の取引件数、一定量の流入または流出額などの条件に基づいて設定することも、登録後すぐにアカウントを審査することもできます。

取引やアカウント乗っ取りの不正利用のリスクを軽減します

個々の取引のリスクの軽減には、一般的に適用可能な戦略と、特定の取引タイプに適用される軽減策の両方が含まれます。

自動的なリスク管理

Stripe では、あらゆる資金移動のリスクレベルを監視しています。Stripe のモデルで、十分な資金のない取引相手からの一連のインバウンド送金など、リスクの高い移動が確認されると、その移動をブロックし、口座の inbound_transfers 機能を無効にします。

まれに重大な不正利用が発生すると、Stripe は outbound_transfers、outbound_payments、card_issuing、intra_stripe_flows の機能も無効にすることがあります。このアクションは通常、不正利用のように見える新しいアカウントによってトリガーされます。

金融口座機能を無効にすると、その機能のステータスはrestricted_other となり、理由はautomated_fraud_prevention となります。Webhook をセットアップして、無効化された機能を口座で監視し、発生したら調査してください。

不正利用の特定に役立つ指標を監視する

以下の指標は、決済に Stripe も利用している金融口座の不正利用の可能性を示すものです。口座が別の決済代行業者を使用している場合は、決済システムに対応する同様の指標を使用できます。

遅れている指標:

• 金融口座とその他の口座の拒絶率
• 金融口座の絶対取得損失
• 損失のある金融口座の割合
• 金融口座対その他口座の 1 口座当たり絶対損失額
• 金融口座とその他の口座の損失発生までの期間

先行している指標:

• 金融口座とその他の口座の契約率
• 新規の連結アカウントで、最初の 30 日間に受け取ったクレジットまたはデビット (アクワイアリングにおける入金を除く) の量が多い
• 受信するクレジット/デビット (アクワイアリングにおける入金を除く) の量が多いが、アクワイアリングの処理金額が少ない
• 実質的なクレジットまたはデビットを受け取った後、OutboundTransfers で金融口座の残高がゼロになるアカウント
• 国際カードでの支払い金額または OutboundTransfers が、特定の合計金額を超えているアカウント

発行済みカードの不正利用を減らす

以下の戦略は、プラットフォームが発行したカードの不正利用行為の特定に役立ちます。発行されたカードの不正利用行為を特定して対処するための詳細については、Issuing ドキュメントの不正利用の管理をご覧ください。

• カード保有者の審査のために通常と異なるアクティビティーを特定する: 発行済みのカード取引で不審なアクティビティーを監視し、カード保有者に確認を依頼します。いくつか例を挙げます。
  • 高額または端数処理の取引
  • カード保有者の平均取引額を大幅に上回る取引
  • 食料品店や大型ディスカウントストアなど、ギフトカードを販売することが多い小売業者での取引
  • 強制的なキャプチャー
  • オーバーキャプチャ
  • カード保有者の国外のビジネスとの取引
• カード支出制限: 支出管理を設定し、加盟店のカテゴリーや国に基づいて支出をブロックまたは制限します。想定される支出パターンと異なる取引に疑わしいと思われる場合には、カードやカード保有者に支出管理を適用できます。
• カードを 3D セキュア に登録する (3DS): 3DS は、オンライン取引のためのカード保有者認証の追加手段であり、ビジネスとカード発行会社が対応している場合にのみ機能します。ただし、ビジネスが 3DS を有効にしている場合、有効にしなくても、カード発行会社は不正利用の申し立てに対して責任を負います。カードを発行する場合は、ビジネスを保護するために 3DS に登録します。
• Visa Advanced Authorization スコアを確認: Stripe は、Visa Advanced Authorization (VAA) スコアを使用して、特定の疑わしいオーソリを特定し、ブロックします。API を通じてこのスコアを公開したい場合は、treasury-support@stripe.com にお問い合わせください。

インバウンド送金の ACH の不正利用を減らす

インバウンド送金のリスクを評価するために、次の戦略をお勧めします。

• Financial Connections を使用して、外部銀行口座の所有権を確認します。
• 非常に頻繁な送金や大規模な送金など、異常な取引を監視します。
• インバウンド送金を作成すると、Stripe の失敗予測モデルによってさまざまな要因が分析され、Charge オブジェクトの outcome.risk_score プロパティに値が返されます。これは、残高不足または無効な口座情報などの理由により、銀行が返金を開始する可能性を表す値です。スコア 65 以上は可能性があることを表し、スコア 75 以上は高リスクを表します。

Stripe では、不正利用の可能性を調査する時間を確保するために、インバウンドの送金を一時的に保留できるオプション機能を提供しています。例えば、口座に連絡して送金を検証できます。Stripe が銀行振込先に送金を送信する前、または送金が送信されてから金融口座に資金が入金されるまでの間に保留するよう設定できます。主な違いは、Stripe が銀行振込を行う前にのみ、送金をキャンセルできることです。

着信転送保留の使用に関する詳細は、着信転送を手動で審査する を参照してください。

同日の受信転送の自動ブロック

当日着金送金は、不正利用が検出される前に不正な引き落としから資金が支払われるリスクを高めます。このリスクを軽減するため、Stripe のシステムは、不正利用の可能性が高い取引と判断した場合、同日着信送金の作成を阻止できます。Stripe が着信送金をブロックすると、API は inbound_transfer_not_same_day_eligible エラーを返します。このエラーは、その取引について当日中の資金処理を保証できないことを示しています。標準的な ACH 送信を使用して送金を再試行すると、基礎となる ACH 引き落としが決済されるまでの時間が長くなり、プラットフォームが不正利用にさらされる可能性が低くなります。このエラーの処理および着信送金の管理に関する包括的な詳細については、着信送金 をご覧ください。

アウトバウンドデビットでの ACH の不正利用を軽減する

アウトバウンドデビットのリスクを軽減するため、以下の戦略をお勧めします。

• 口座保有者レビューのための高リスク取引のフラグ: アウトバウンド取引 を不審な活動のために監視し、口座に確認を依頼します。いくつか例を挙げます。
  • 多額の引き落とし、または限度額に近い金額の引き落とし
  • 新しい送信者に関連付けられた引き落とし
  • 口座にある資金を超える金額の引き落としが試行されました
• アウトバウンド引き落としにプッシュ方式を使用: Outbound transfers のようなプッシュ方式を使用するよう、外部アカウントから発信されるプル方式ではなく、連結アカウントに働きかけてください。
• 不審な取引の差戻し: ReceivedDebit が不正であると思われる場合は、DebitReversal の処理により、その取引を差戻ししてください。元の取引から 2 営業日以内に差戻しを行う必要があります。

特定された不正利用への対応

不正利用の可能性や実際の不正利用を検出した場合は、すぐに対処します。対応は不正利用の性質によって異なります。

不正なアカウントや侵害されたアカウントを無効にする

口座が不正利用されている、または正規の口座が不正利用者に乗っ取られている疑いがある場合は、不正利用を確認できるまで、送金を無効にしてください。そのためには、outbound_flows 機能を restricted に設定します。

アカウントが不正利用であることが確実な場合は、そのアカウントの outbound_flows と inbound_flows の両方の機能を無効にします。アカウントの残高がゼロの場合は、解約できます。

正規の口座が侵害された場合、既存のログインセッションを期限切れにし、ログインを無効にします。口座所有者に連絡して本人確認を行い、ログイン認証情報のリセットを支援します。口座の安全が確認されたら、ログインとプラットフォーム向け金融口座の機能を再度有効にしてください。

必要であれば、金融口座を閉鎖し、新しい口座を作ることを検討してください。

不正利用取引に対して不審請求を申し立てる

不正取引には厳格な時間制限があるため、スピーディーに対応します。

• ACH デビット取引の場合、返品リクエストは取引決済日の 24 時間前までに Stripe に通知する必要があります。API を使用して DebitReversal を作成することで、ACH デビットを返却できます。
• カード取引の場合、売上がキャプチャーされてから 110 日後までは不審請求を申し立てできます。発行されたカード取引に対する不審請求の申し立ては、ダッシュボードまたは API を使用して行えます。

発行されたカードに不正利用された疑いがある場合は、カードをクローズし再発行します。

脆弱性を確認する

不正利用を調べて既存の管理をすり抜けた経緯を判断し、他のアカウントでも同じ脆弱性が悪用されていないかを徹底的に調べます。今後同様の不正利用が発生しないように、システムとプロセスを修正します。