Treasury 不正使用対策ガイド

Stripe Treasury は、プラットフォームの製品に金融サービスを埋め込むことができる BaaS API です。Stripe Treasury を (アメリカ国内の銀行パートナーを通じて) 使用すると、お客様のアプリケーションと直接連携できるシンプルなストアドバリューアカウントを連結アカウントに提供できます。これにより連結アカウントは、(ACH 送金を介した) 資金のやりとり、キャッシュバックの獲得、カードによる資金利用などの金融活動を行えるようになります。

Stripe Treasury は、Stripe Connect と同じ KYC やコンプライアンス要件などのワークフローを使用し、連結アカウントを稼働させます。API を使用して不正利用リスクの管理方法をカスタマイズし、連結アカウントの負担を減らすことができます。

Stripe Treasury 使用時に、不正利用を監視して最小限に抑える方法については、以下の簡単なガイダンスをご覧ください。連結アカウントからの不正利用による損失や不審請求の申請についての責任はお客様にあります。このガイドでは、不正利用を 3 つの主要カテゴリーに分類します。

• ビジネスの不正使用: 個人が不正な連結アカウントを作成し (多くの場合、盗難された身元情報を使用)、不正使用を行う
• 取引の不正使用: 正当な連結アカウントのカード情報や金融口座情報が盗難または侵害されたことにより、不正行為が行われる
• アカウントの乗っ取りによる不正使用: 正当な連結アカウントの所有者のログイン情報がサードパーティーによって侵害され、そのアカウントで不正な操作が実行される

ビジネスの不正使用の例

金融サービス業界で最もよく知られているビジネスの不正使用のタイプは、ファーストパーティーによる不正使用、サードパーティーによる不正使用、強制的なキャプチャーまたはオーバーキャプチャーによる不正使用です。

ファーストパーティーによる不正使用の例 (ACH デビット)

1. 不正行為者が、侵害された ID または合成された ID を使用して金融口座を開設します (金融機関 A)。
2. 不正行為者が金融機関 A にログインし、同様に所有権を持つ別の金融口座 (金融機関 B) から資金を引き出すために、10,000 USD の ACH デビットを開始します。この場合、金融機関 A が引き落としの発信側金融機関 (ODFI) で、金融機関 B が受信側金融機関 (RDFI) になります。
3. 引き落とされた資金が金融機関 A で利用可能になると、不正行為者はすぐに資金を使用するか送金します。
4. 次に不正行為者は金融機関 B を訪問し、金融機関 A によって開始された ACH デビットは承認されていなかったと主張します。
5. 金融機関 B は、引き落としが承認されていなかったとして ACH 返金を開始し、引き落としの全額を取り戻します。
6. 金融機関 A の残高はマイナスになります。

サードパーティーによる不正使用の例 (ACH デビット)

1. 不正行為者が、侵害された ID または合成された ID を使用して金融口座を開設します (金融機関 A)。
2. 不正行為者が金融機関 A にログインし、所有権を持っていないが口座番号と金融番号を知っている別の金融口座 (金融機関 B) から資金を引き出すために、10,000 USD の ACH を開始します。この場合、金融機関 A が引き落としの仕向金融機関 (ODFI) で、金融機関 B が被仕向金融機関 (RDFI) になります。
3. 引き落とされた資金が金融機関 A で利用可能になると、不正行為者はすぐに資金を使用するか送金します。
4. 金融機関 B の口座保有者は、自身の口座から誤って引き落としが行われていることに気づき、金融機関 A が開始した引き落としは承認されていないことを金融機関 B に報告します。
5. 金融機関 B は、引き落としが承認されていなかったとして ACH 返金を開始し、引き落としの全額を取り戻します。
6. 金融機関 A の残高はマイナスになります。

サードパーティーによる不正使用の例 (ACH クレジットまたは電信送金)

1. 不正行為者が、侵害された ID または合成された ID を使用して金融口座を開設します (金融機関 A)。
2. 不正行為者は、侵害された金融口座のログイン認証情報や他の手段を使用して、別の金融口座から金融機関 A への ACH クレジットまたは電信送金を開始します。
3. 入金された資金が金融機関 A で利用可能になると、不正行為者はすぐに資金を使用するか送金します。
4. 送金元の金融機関は限られた状況でのみ受信したクレジットトランスファーまたは電信送金を取り消すことができるため、ここでは金融機関 A は損失の状態にはない可能性があります。ただし、金融機関 A はそのアカウントによる不正行為を可能にしていることになるため、Stripe と金融パートナーのコンプライアンスと評判に影響します。

強制的なキャプチャーまたはオーバーキャプチャーによる不正使用

1. 不正行為者が、侵害された ID または合成された ID を使用して、カードを関連付けて金融口座を開設します (金融機関 A)。
2. 不正行為者が、別のアカウントを作成するか、別のアクワイアラーの良好な状態にあるアカウントを侵害します (アカウントの乗っ取りを使用)。
3. 悪意のある人物がこのアカウントを使用して、カード発行会社が不審請求を申し立てる権利を持っていない金融機関 A が発行したカードでオーソリを作成します (たとえば、チップカードでのカード提示取引や、3D セキュア (3DS) または Visa Secure を試行するカード非提示取引など)。
4. 次に、不正行為者は、以前のオーソリの強制的なキャプチャーまたはオーバーキャプチャーを行います。
5. 次に、不正行為者は、アクワイアラーによってビジネス用口座から入金を受けます。
6. その後、不正行為者は、金融機関 A によって発行されたカードについて不審請求を申請しますが、金融機関 A は不審請求の申請権がないためにアクワイアラーに対して不審請求を申請することができず、主張が認められません。
7. 金融口座には、オーバーキャプチャーまたは強制的にキャプチャーされた売上のマイナス残高が残ります。

これまでご紹介したシナリオを含め、Treasury での不正利用からご自身を保護する最善の方法は、Treasury 商品を使用するための連結アカウントの登録が正当なものであることを確認することです。新しいアカウントのリスクプロファイルを総合的に評価することをお勧めします。一般的に、顧客とそのビジネスの理解を深めることで、より適切なリスクの評価と管理が可能になります。

不正使用のリスク軽減策

次のリスク軽減策を使用して、ビジネスのさまざまな段階でご自身を保護してください。

アカウント登録時

• 登録件数を監視する: 登録件数の想定外の増加は、プラットフォームが不正行為者によって特定され、悪用されていることを示す場合があります。また、マーケティング関連の発表を行った後に不正使用が増加することもよくあります。このような状況では、登録件数に特に注意してください。
• 早期入金の利用を制限する: 連結アカウントが支払いにも Stripe を使用している場合、早期入金を利用できる連結アカウントを、Treasury アカウントに限定することをお勧めします。信頼できる連結アカウントのみが早期入金を利用できるようにします。また、適切な意図を示して早期入金を「獲得」できる連結アカウントの基準 (たとえば、問題のないアクティビティーが数カ月間続く、または一定の金額 (ドル) が処理されるなど) の導入を検討してください。
• ACH デビットの管理: ACH デビットは、引き出し型の支払い方法であるため、不正利用のリスクが高くなります。リスクが高いことを考慮して、この機能を信頼できるアカウントに限定するなど、資金追加方法に適切なレベルの不正利用の防止と管理を適用することが重要です。
• 追加の本人確認: Treasury プロダクトには連結アカウントの標準的な Connect の顧客確認 (KYC) が含まれていますが、このプロセスは本人確認 (登録時に情報を提供した個人またはビジネスが本人であるかどうか) ではなく、身分証明書の確認 (登録時に提出された情報が有効かどうか) に焦点を当てています。必要に応じて、プログラムで顧客の本人確認を行うプロダクトである Stripe Identity を使用して、正当な顧客の負担を最小限に抑えながら、不正行為者からの攻撃を大幅に減らすことができます。
• 登録時に業種関連情報を収集する:
  • 連結アカウントが中小企業の場合は、URL ととともに、Linkedin、Facebook、X (旧 Twitter) などの関連するソーシャルメディア情報を収集することを検討してください。
  • 連結アカウントが請負業者やクリエイターの場合は、Facebook、X、TikTok、YouTube、Instagram などのソーシャルメディア情報を収集することを検討してください。
  • 連結アカウントのビジネスがライセンスを必要とする業種である場合は、登録時にそのライセンスを収集することを検討してください。
• ドメインの検証: 連結アカウントの所有者のメールアドレスがビジネスドメインにリンクしているかを確認します (たとえば、ドメインのアドレスにメールを送信し、返信を求めるなど)。
• 重複検出: 金融口座情報、氏名と生年月日、税務情報など、以前に不正利用があった連結アカウントに関連付けられた重複するアカウント情報を確認します。同じ IP やデバイスなどからスピンアップされた複数のアカウントなど、アカウント間の弱い関連性について検討することもできます。

アカウントのライフサイクル全体

• 総合的な不正利用の審査: 新規連結アカウントのライフサイクルの特定の時点で、不正利用について手動審査を行います。効果的な実施時期 (登録時、特定の流入額 (ドル) に達したとき、特定の流出額 (ドル) に達したとき、または同様の条件への一致など) は、連結アカウント数、ビジネスモデル、リスク選好度によって異なります。
• 異常なアクティビティにフラグを立てる: 異常な動作をしている企業にフラグを立て、手動で確認します。この例として、オーソリがない取引が一定数を超える企業 (強制キャプチャー)、オーソリ金額を超えるキャプチャー (オーバーキャプチャー)、口座への多額の口座振替または電信送金、口座からの多額の国際電信送金、国外でのカード取引、口座への ACH Debit の差戻しが挙げられます。また、ユーザーは異常なアクティビティを認識して報告する立場に適していることが多いため、ユーザーにも協力を促すことが大切です。

ビジネスに不正利用の可能性がある場合は、アカウントを審査して判定できるまで、outbound_flows 機能を restricted に設定します。この手動審査を実施する際に連結アカウントにリクエストした方がよい情報は業種によって異なりますが、ソーシャルメディアのプロフィール、ビジネスの書類、在庫の写真、配送の追跡番号、ビジネスライセンスなどが含まれます。

ビジネスが不正使用であると確信できる場合は、outbound_flows および inbound_flows 機能を restricted に設定します。アカウントの残高がゼロの場合は、アカウントを閉鎖します。残高がゼロではない場合は、アカウントを閉鎖できませんが、記載された機能を無効にすることはできます。

取引の不正使用

取引の不正使用とは、資金や資産を不正に取得するためにクレジットカードや金融口座を不正に使用することです。Stripe では、取引の不正使用は、Stripe 発行のカードでの未承認の支払いや、Stripe 発行の金融口座に対する未承認の引き落としとして発生します。カードの侵害は、物理的な盗難やカードの紛失、またはフィッシング、スパイウェア、安全ではない決済、外部からの侵害などによる認証情報の侵害によって発生する可能性があります。金融アカウントの侵害は、不正行為者がお客様の金融口座の口座と金融番号を入手した際に発生する可能性があります。

前述の不正利用とは異なり、取引の不正利用は正規の顧客に対して発生し、顧客のライフサイクルのどの時点でも発生する可能性があります。プラットフォームの連結アカウントは、カードや金融口座が侵害されるまでは、数カ月または数年にわたって問題なく Treasury 製品を使用している場合があります。

現在、Issuing は Treasury のカードが関連付けられた製品に不正防止を拡大していますが、引き続き取引の不正利用を監視する必要があります。取引の不正利用への最も効果的な対処方法は、連結アカウントがカードと金融口座情報を安全に保管できるようにサポートし、また連結アカウントに Treasury アカウントでの取引を特に注意して確認してもらうことです。アカウントのアクティビティーをショートメッセージまたはメールで通知すると、より認識されやすくなります。不正利用取引を素早く特定することで、不審請求を申請する最良の機会を連結アカウントに提供できます。

カードの不審請求の申請では、取引がキャプチャーされてから 110 日未満の場合にのみ、不審請求の申請の対象となります。不審請求の申請はダッシュボードまたは API で管理されます。Issuing の不審請求の申請の詳細については、Issuing の不審請求の申請ガイドをお読みください。

ACH デビットの不審請求の申請 (返金) の場合、決済日の 24 時間以上前に、Stripe に返金リクエストを通知した場合にのみ、取引が不審請求の申請の対象となります。ACH デビットの不審請求の申請は、現在メールを使用して手動で管理されています。ACH デビットの不審請求の申請について詳細をご覧ください。

連結アカウントのカードまたは金融口座番号が侵害されたことにより不正取引が行われた場合は、複数の措置を講じることができます。対象となる取引を不審請求として申請するだけでなく、カードを解約して再発行したり、新しい連結アカウントと金融口座を開設して不正利用の再発を防止することを検討してください。

プラットフォームで取引の不正使用を管理するための事前対策を講じることもできます。以下の例は、導入できるコントロールの一部です。

カード取引における不正使用の軽減策

• 3DS に登録する: 3DS は、購入者が正規のカード保有者であることを確認するためにビジネスが使用する、追加の認証手段です。決済時の 3DS の追加手順では通常、カード保有者に対して銀行のウェブサイトの認証ページを表示し、電話またはメールに送信された確認コードを入力するように求めます。3DS はオンライン取引にのみ使用され、ビジネスとカード発行会社が対応している場合にのみ機能します。ビジネスが 3DS を有効にしている場合、カード発行会社が 3DS を有効にしているかどうかにかかわらず、不正利用に関する申請の責任は自動的にカード発行会社に移ります。3DS を有効にすることをお勧めします。
• 支出管理: 支出管理を設定して、加盟店カテゴリー (ベーカリーなど) をブロックしたり、利用限度額 (オーソリごとに 100 USD、月ごとに 3,000 USD など) を設定できます。支出管理は、spending_controls フィールドを作成時に設定するか、後から更新することで、カードとカード保有者の両方に適用できます。支出管理の設定は、カードまたはカード保有者に想定される支出パターンがある場合に特に効果的であり、変則的な支出が承認されない可能性は高くなります。支出管理の詳細とその設定方法をご覧ください。
• VAA スコア: Stripe は Issuing 取引に対して特定の不正防止機能を備えています。これには、一部の例での Visa Advanced Authorization (VAA) スコアを使用した、疑わしいオーソリの自動ブロックが含まれます。API によるこのスコアの表示をご希望の場合は、treasury-support@stripe.com にお問い合わせください。
• カード保有者の審査のためにリスクの高い取引を特定する: 状況によっては、連結アカウントにとってリスクの高いカード取引を特定して、その取引が承認済みかどうかの確認を求めることをお勧めします。注意が必要な対象は以下のとおりです。
  • 多額または端数処理された金額の取引
  • カード保有者の支払い平均額を大幅に超える取引
  • ギフトカードが販売されることの多い小売業者 (食料品店など) での取引
  • 強制的なキャプチャー
  • オーバーキャプチャー
  • カード保有者の国以外を拠点とするビジネスでの取引

ACH デビット取引における不正使用の軽減策

• 口座所有者の確認が必要な高リスク取引にフラグを設定する: 状況により、接続された口座にとって高リスクと思われる ACH デビット取引にフラグを設定し、取引が承認されているかどうか確認するよう問い合わせることが望ましい場合があります。 監視が必要な送金には、次のようなものがあります。
  • 多額の引き落とし、または限度額に近い金額の引き落とし
  • 新しい送信者に関連付けられた引き落とし
  • 口座に十分な残高がないときに試行された引き落とし

この手順は、口座保有者のアカウント情報が漏洩している可能性が高いと思われる場合、特に重要です。漏洩していた場合、ACH デビット取引詐欺の被害に遭う恐れがあります。

受け取った ACH の源泉が不正な活動によるものであると考える場合は、Stripe ダッシュボードまたは API を使用して、ただちに DebitReversal として処理することをお勧めします。デビットを差し戻すと、取引を無効にすることができますが、取引を受け取ってから 2 営業日以内に手続きを完了する必要があります。この短い期間設定は、ACH デビット取引の監視の重要性を強調しています。DebitReversal の詳細と効果的な利用方法については、DebitReversal オブジェクトを使用した Treasury での資金移動をご覧ください。

このリスクをさらに軽減するため、OutboundTransfers などの「プッシュ」資金調達方法の利用をユーザーに推奨し、リスクが高いと判断される場合は、シナリオで差戻しの自動処理を検討してみます。個々の金融口座の差戻しを自動化することをご希望の場合は、API ベースの ReceivedDebits の無効化機能へのアクセスをリクエストすることもできます。

アカウントの乗っ取りによる不正使用

アカウントの乗っ取りによる不正利用は、サードパーティーが連結アカウントにアクセスした場合に発生します。通常、攻撃者は財務上の利益を得ることを目的として、アカウントで不正な操作を行います。Treasury アカウントで攻撃者が行う最も一般的な操作は、外部の金融口座への送金や新しいカードの発行、または既存のカードの PAN の未加工データの表示、およびそのカードでの不正取引の実行です。

アカウントの乗っ取りからの保護は、連結アカウントのログインステップと本人確認が、プラットフォームと Stripe のどちらから提供されているかによって異なります。

アカウントの乗っ取りから保護するために導入できる制御の例をいくつかご紹介します。

• すべての連結アカウントで 2 段階認証を実装します。
• フィッシングについて、また 2 段階認証コードを共有しないように連結アカウントに伝えます。
• 一意のパスワードポリシーを適用します。
• デバイスと IP アドレスの情報を収集して、リスクの高い操作 (パスワードの更新、2 段階認証方式の更新、カードの新規作成、新しい外部の金融口座への売上の送金など) が、以前から使用されているデバイスや IP アドレスで実行されているかどうかを追跡します。
• これまで見たことのない場所やホスティングプロバイダーからのログインについて、IP アクティビティーを監視します。
• 新しいアカウントへの電信送金に 2 段階認証コードを要求するなど、リスクが高いユーザーの操作にチャレンジを実装します。
• 連結アカウントの変則的なアクティビティーを監視します。例としては、Treasury 残高全体をゼロにする送金や電信送金、または国際カードでの支出が含まれます。

アカウントが乗っ取られた疑いがある場合は、outbound_flows および inbound_flows 機能を restricted に設定し、既存のログインセッションを期限切れにして、ログインを無効にします。アカウントを制限対象にしたら、元のアカウント所有者と協力して本人確認を行い、アカウントへのアクセスを回復します。改善は通常、顧客 (乗っ取り前) に関連付けられた電話番号に電話をかけ、顧客の個人を特定できるさまざまな情報 (PII) を確認することで実行されます。顧客の本人確認を行った後、パスワードまたは 2 段階認証デバイス (乗っ取り中に変更された場合) をリセットし、ログインを再度有効化し、以前に制限対象に設定された Treasury 機能を再度有効化するよう顧客をサポートできます。乗っ取り中に失われた資金の財政的な補償は、社内のポリシーによって異なります。

その他のリスク軽減に関する考慮事項

すでに説明されたリスク軽減策に加えて、以下の考慮事項も取り入れてください。

早期入金の管理

新規ビジネスに早期入金を提供するのはリスクを伴うため、慎重に行ってください。このリスクを軽減するために、不正利用の流入を確認した場合には、早期入金を無効にする制御を実装することをお勧めします。

定義された信頼レベルを連結アカウントが満たした場合にのみ、早期入金を提供します。以下に例を示します。

• 処理日数が 60 日を超えている
• 全期間の総額が 2,000 USD を超えている
• チャージバックまたは返品率が 3% 未満
• 連結アカウントを T+0 早期入金に移行する前に、T+1 早期入金を提供する
• 早期入金の提供を信頼できる連結アカウントに制限することで、登録時の不正利用を軽減できますが、アカウントの乗っ取りや、悪質化した加盟店 (GMGB) アカウントでの不正利用の可能性を取り除くことはできません。通常はアカウントの乗っ取りや GMGB の兆候となる、変則的な支払いパターン (処理量の急増や平均取引額の変化。銀行口座やログインの変更に伴う場合もあります) を示すビジネスに対して、アラートを送信するように設定することが重要です。

ACH デビットの管理

送金側の ACH デビット (Treasury の InboundTransfers を使用) は、「引き出し」型の支払い方法であるため、不正利用のリスクが高くなります。このため、顧客が自分自身の口座から資金を送金するのではなく、Treasury のアカウント所有者が顧客の詳細を入力し、顧客の口座から資金を引き出します。送金側の ACH デビットはリスクが高いため、リスク軽減に向けた多くの取り組みを行うことをお勧めします。

• 該当するビジネスが銀行口座から売上を引き落とす権限を持ち、アカウントが確認済みであることを確認してください。ACH デビットの承認と確認の詳細をご覧ください。
• ACH デビットでは、不正利用から資金不足まで、さまざまな理由で売上が返金されることがあります。ほとんどの失敗 (残高不足や無効なアカウントなど) は、登録日から 4 営業日以内に発生するため、まだ信頼を確立していない連結アカウントにはこの最初の決済期間が過ぎるまで入金しないようにすることが重要です。
• ACH デビットはリスクが高いため、信頼できる連結アカウントにアクセスを制限するか、不正利用者を特定するために厳密な制限を設定して使用を監視する必要があります。たとえば、新しいアカウントの場合、当初は ACH デビットの 1 回の取引額を 2,000 USD に制限し、週当たり 5,000 USD に制限します。連結アカウントとの信頼関係を築くことで、ビジネスの成長に合わせてこれらの制限を増額することができます。

不正使用に関する改善チェックリスト

不正使用の疑いがある場合には、財務上の損失とさらなる不正使用を最小限に抑えるために適切な対応を取ることが非常に重要になります。不正使用の改善は、以下の 2 つの主なステップと考えることができます。

1. 直接的な被害を防ぎます。
2. 長期的なソリューションを構築して、将来の不正使用を軽減します。不正使用を識別した場合に実行できる重要な手順は以下のとおりです。
   • 該当するアカウントで、すべての売上の流れと資金の移動がブロックされていることを確認します。たとえば、outbound_flows と inbound_flows 機能を restricted に設定します。
   • 該当するアカウントが不正使用とリスクの管理によって識別されなかった理由を特定し、管理策を追加します。不正使用者はリスクシステムの欠陥を見つけると、それが修正されるまでこの欠陥を悪用し続けます。
   • 同様の不正な操作を試行している他のアカウントを特定します。前述のように、不正利用者は欠陥が存在する限り悪用し続け、取得する金額を最大化するために大規模に悪用しようとします。1 件の不正利用を特定したら、同じ種類の不正利用が他のアカウントで発生していないか、また不正利用者が単純にアカウントを新規作成して同じ操作を繰り返していないかを確認することが重要です。これにより、不審請求の申請など、遅行シグナルより前に対策を講じて、不正利用者の取得額を最小限に抑えることによって不正利用者の意欲を減らすことができます。

推奨されるモニタリング指標

Treasury が有効な顧客の不正利用を特定および測定するのに役立つガイドとして、監視を推奨する指標を以下に示します。以下の指標は、連結アカウントが Treasury と Payments のプロダクトを両方使用していると想定しています。これに該当しない場合は、必要に応じて変更できます。

遅行指標

• Treasury が有効なアカウントと無効なアカウントでの、時間の経過に伴う拒否率
• Treasury が有効なアカウントのアクワイアリングにおける絶対損失
• Treasury が有効な場合の、損失の大きいアカウントの割合
• Treasury が有効なアカウントとその他のアカウントでの、アカウントごとの絶対損失
• Treasury が有効なアカウントとその他のアカウントでの、アクワイアリングにおける損失までの時間

先行指標

• Treasury が有効なアカウントとその他のアカウントでの、時間の経過に伴う登録率
• 送金額の異常: 新規連結アカウントにおける最初の 30 日間の ReceivedTransfers (アクワイアリングにおける入金を除く) の量が多い
• 送金額の異常: アクワイアリングの処理金額が少ないが、ReceivedTransfers (アクワイアリングにおける入金を除く) の量が多い
• ReceivedTransfers に続いて OutboundTransfers があり、Treasury 残高がゼロになるアカウントのリスト
• 国際カードでの支払い金額または OutboundTransfers が、特定の合計金額を超えているアカウントのリスト