Broadcomは、「Arcot by Broadcom」の新機能「Arcot Scam Defense」の提供開始を発表しました。カード不提示（CNP）取引で発生するソーシャルエンジニアリング詐欺をブロックします。
BroadcomのペイメントセキュリティdivisionでVP兼GMを務めるMatt Cooke氏は、次のように述べています。「金融機関では、AIで高度化したソーシャルエンジニアリング攻撃による不正の試みが、広範囲で増加しています。」
「技術的なセキュリティシステムは進化し、不正のブロックに非常に高い効果を上げています。しかし、詐欺師は標的を切り替え、顧客本人を直接だますようになりました。信頼されているブランドや機関になりすまし、カード会員をだましてパスワードを聞き出したり、追加認証を完了させたりします。カード会員は、被害に遭った後になるまで、大切な鍵を渡してしまったことに気づかないのが一般的です。」
ソーシャルエンジニアリングの手口
決済の流れの中で、カード会員がワンタイムパスワード（OTP）の入力や生体認証によって3-Dセキュアの認証チャレンジを完了すると、その取引は正当なものとして扱われます。金融機関の主要なリスクモデルも、取引を承認します。リアルタイムのリスク評価モデルは、不審な取引の検知に非常に効果的です。ただし、詐欺の影響下にある正規の口座保有者が自ら操作している状況を止めるようには、設計されていません。
Arcot Scam Defenseの概要
Cooke氏は次のように付け加えています。「Arcot Scam Defenseは、重大な空白を埋めるものです。ソーシャルエンジニアリング攻撃に対する決定的なセーフティネットとして機能します。リアルタイムの第2の防御層として、認証時に高度なインテリジェンスを活用し、チャレンジに成功した後でも不正の疑いがある取引を検知します。こうした攻撃の承認の扉を閉ざすことで、カード会員の安全性を高め、不正による損失を減らします。同時に、正当な取引は引き続き通過させます。」
Arcot Scam Defenseは、取引情報、デバイスのインテリジェンス、過去の行動履歴、そして認証チャレンジでのやり取りそのものなど、幅広いシグナルを分析します。そこから、ソーシャルエンジニアリングを示唆するパターンを特定します。たとえば、取引を行うチェックアウト側のデバイスと認証側のデバイスの間で、位置情報や行動に食い違いがあるケースです。ほかにも、OTPの入力の遅れ、代替の認証方法の利用、2台のデバイス間の物理的な距離の大きさなどが挙げられます。
これらのシグナルは、単一の指標に頼らず、総合的に評価してリアルタイムの判断に反映します。また、サードパーティのソリューションと連携すれば、認証に使うデバイスが通話中かどうかも判定できます。通話中であることは、ソーシャルエンジニアリングの有力な兆候です。
カード会員が詐欺にだまされて認証情報を渡してしまった場合でも、BroadcomのArcot Scam Defenseは行動の変化を捉え、取引をリアルタイムでブロックできます。
問題の規模は甚大です。認証チャレンジに成功した取引で報告された不正被害は、過去12カ月間で5億ドル近くに上ります。1カ月分の実運用データで検証したパイロットテストでは、Arcot Scam Defenseは優れた性能を示しました。ある大手のパイロット導入カード発行会社では、認証チャレンジに成功した取引の上位1%を確認するだけで、1カ月間でおよそ400万ドルの不正を防げた計算になります。そのコストは、認証成功率の0.38ポイント低下にとどまります。
今後について、Broadcomは新たなシグナルを追加して、Arcot Scam Defenseの機能を拡張する方針です。追加するのは、カード会員やデバイスの属性などです。さらに、各カード会員の過去のチャレンジでの行動を学習する、専用のチャレンジ履歴プロファイリングエンジンも加えます。
Arcot by Broadcomは、3-Dセキュアによる決済認証に特化しています。
翻訳元: https://www.helpnetsecurity.com/2026/10/22/broadcom-arcot-scam-defense/
