Fintechのリスク管理システムが大きく変わろうとしています。従来のルールベースの不正管理システムに機械学習を取り入れることで、銀行各社は、不正と断定できる行為を正確に検出すると同時に、正当なクレジットカード決済の誤検出を削減できるのではと期待しています。ただし、機械学習には特有の欠陥があります。
不正検出システムへの機械学習の導入は、すべてではないにしても、各銀行で進んでいます。それには、基本的に2つの目的があります。1つは、詐欺関連のインシデントを迅速かつ正確に検出すること。もう1つは、それに加えて、誤検出を防止することです。こうした誤検出では、正当な取引が疑わしい行為と見なされてしまいます。
IDCのSteven D'Alfonso氏によると、機械学習によるリスク管理に先頭を切って投資しているのは大手銀行です。同氏はIDC Financial Insightsで、コンプライアンス、不正行為、リスクについての分析戦略を担当するリサーチディレクターを努めています。多数の大手銀行が、人工知能を活用した不正検出システムを、企業規模の意思決定支援システムに拡張することを計画中です。また、機械学習の採用に乗り出していない小規模銀行の多くも、機械学習管理サービスの契約により導入を進めると予測されています。
銀行が機械学習に注目しているのには理由があります。Nilson Reportによると、銀行と商業関連企業の財務損失が、クレジットカードとデビットカードのインシデントだけで、2018年の312億6000万ドル、2016年の218億ドルから、今年は328億2000万ドルにまで増大するとみられています。Rippleshot社も、業界のベンチマークレポートでその予測を引用しています。
全体的に、金融機関は不正についてどのような点を、今日最も懸念しているのでしょうか。Rippleshot社の報告によれば、迅速な不正口座の検出 (42%)、不正による影響の縮小 (42%)、顧客への影響の最小化 (17%) が緊急課題となっています。
それでも、銀行は、機械学習主導型の不正管理システムを慎重に導入しています。行動分析、予測分析、その他の機械学習技術による提示を、これまで使用してきたルールベースのアプローチに統合しているのです。「完全な置き換えとはまったく異なります」と、Constellation Research社のバイスプレジデント兼主席アナリスト、Doug Henschen氏は指摘します。
しかし、すでにある従来のトランザクションルールのみを使用する不正検出システムは、正当な取引を頻繁に妨げ、なりすまし詐欺やマネーローンダリングといった本物の不正行為の検出に失敗しています。

求められるのは 正確かつ俊敏なシステム

銀行詐欺の活動はきわめて複雑です。しかも、その活動の場は、オンラインのクレジットカード決済やデビットカードの取引のほか、小売店の店頭 (POS) など、さまざまです。銀行は、独力では詐欺を防ぐことができません。詐欺は支店だけでなく、ATM、モバイルまたはインターネットバンキング、小切手、振替、コールセンターなどを通じても発生するのです。企業も、銀行を介して財務上の支払いを行う際に危険にさらされます。
金融機関が検出プロセスを改善するのには、もっともな理由があります。従来の不正検出システムのルールでは、データとホライゾンスキャニングを組み合わせたものが使用されます。そのため、システムは通常、取引を不正か正当かのどちらかの結果として示します。
一方、機械学習に基づいたシステムなら、はるかに素早く、正確かつ俊敏に応答できます。
「詐欺犯がアクセスする顧客データは増加の一途をたどっています。また、自動化したスクリプトを実行するなど、手口をさらに巧妙化させています。銀行は、それらに対応できなければなりません」と、IDCのD'Alfonso氏は述べています。
「詐欺犯は、だます方法を絶えず変更しています」と、Henschen氏も同意見です。「銀行は、そうした変更を、これまでよりもさらに素早く特定したいと考えています。既存のシステムの補完に機械学習を検討している理由はそこにあります」
機械学習システムで銀行が目指すのは、既存の不正検出システムのルールを廃止することではありません。こうしたルールの多くは、規制上のコンプライアンスを目的に設定されています。「銀行は、新しいルールや、より効果的なルールを発見しようと考えています。あるいは、既存のルールのパラメーターを変更したいのです」とTim Prugar氏は言います。同氏は、コールセンター向けの機械学習不正検出システムを専門とするNext Caller社で、事業部長を務めています。

誤検出がもたらす大きな混乱

一方で、詐欺関連の誤検出が、2017年に、およそ15人に1人の消費者に影響を及ぼしたと、Javelin Strategy and Research社が報告しています。
旧来のシステムは、たとえば、クレジットカード所有者の居住地から離れた場所にあるレストランで決済が発生したときに、その取引を疑わしいと見なすことがあります。実際には、カード所有者が休暇を取っているときに、カードが盗まれたと判断する可能性があるのです。同様に、消費者が、取引を1時間に3回行うと、不正検出システムのルールに従って、その取引が疑わしいと見なす場合があります。

疑わしい取引と判断されると、通常、取引の停止と、顧客の口座凍結の両方が行われます。顧客が銀行に連絡を入れ、最近の取引を、機械ではなく人間の担当者と確認するまで、それらは解除されません。
「誤検出によって、顧客体験にかなりマイナスの影響が及びます。影響を受けた顧客は、その銀行を他人に宣伝したり、勧めたりしなくなる可能性がありますし、積極的に取り引きしようという意思は大きく削がれます」とPrugar氏は言います。

現在の導入事例

銀行が自社のIT基盤について公表したがらないことはよく知られていますが、理由は明白です。それが特に当てはまるのは、不正検出システムや、コンピューターを使用するその他のセキュリティ対策の場合です。それでも、一部の銀行は、機械学習を活用した新たな不正検出システムの導入について、あえて公表しています。
2018年12月、Citiは、Feedzai社の機械学習による取引管理監視システムを、独自のサービスとプラットフォームに統合する計画を発表しました。これにより、企業顧客が支払い取引を行う際にリスク管理が強化されるとしています。
ニュージーランドで不正取引の被害を受けた銀行の1つである、Westpac New Zealandは、最近、機械学習に対応した、ACI Worldwide社のProactive Risk Managerを採用すると発表しました。不正検出に長年使用してきたポイントベースシステムが、この新しいシステムに置き換えられます。
Bank Danamon Indonesiaは、Cloudera EnterpriseをKogentix Automated Machine Learning Platformに連携させ、不正検出と、カスタマイズしたマーケティングの両方に使用しています。このソリューションでは、高度なML (機械学習) モデルと、長期的な分析モデルのテスト、トレーニング、検証に必要なツールを利用できると、同行で以前意思決定管理の責任者であったBillie Setiawan氏は語ります。同氏は現在、Bank Mandiriで企業データ管理の責任者を務めています。
Setiawan氏によると、インドネシアのこの銀行では、非構造化と構造化データを、ライブストリーミングとバッチモードの両方で、毎日1テラバイト以上分析しています。こうした情報には、クレジットカード、取引、製品、インターネットバンキング、モバイルバンキング、カスタマーケア、音声、デジタルログ、ソーシャルメディアなどのデータが含まれます。
一部の銀行は、不正検出システムのベンダーに、銀行名を明かさない条件で、自行の機械学習導入の紹介を許可しています。たとえばCognizant社は、ある匿名のグローバル銀行が、自行の深層機械学習 (DML) 技術を小切手関連の不正検出に役立てていると公表しました。人間の脳をまねて設計されたDML技術では、ニューラルネットワークの強力な処理能力を利用します。
この匿名のグローバル銀行は、DMLを光学式文字認識とともにすでに使用しており、小切手のスキャンと処理や、署名の確認に利用していました。Cognizant社のDMLシステムでは、Google社のTensorFlowによるニューラルネットワーク技術によって、以前スキャンした小切手の履歴データベースを解析します。スキャン対象には、不正と確認された小切手も含まれます。
Cognizant社はニューラルネットワークをトレーニングして、小切手が正当か不正かを、比較アルゴリズムで判定させました。DMLモデルでは、そうした履歴データベースの預金小切手をスキャンして、さまざまな要因を比較し、不正が疑われる小切手をリアルタイムで特定します。各預金小切手には、不正、正当、詳細な調査が必要、といった信頼レベルが設定されます。

コールセンター向け不正検出システム

Prugar氏によると、Next Caller社のVeriCallコールセンター不正検出システムの顧客には、主要銀行や大手通信プロバイダーが含まれます。どちらも米国の企業です。
詐欺犯はコールセンターに電話して、自動音声応答システムの脆弱性をついたり、ソーシャルエンジニアリングの手法を使用したりすることで、顧客データを頻繁に入手しようとする、とPrugar氏は語ります。VeriCallでは、機械学習技術よって着信コールのデータストリームを監視して、コールの転送先を判断します。その判断は、自動番号識別 (ANI)、ネットワークデータのほか、顧客と取り決めた業務ルールに基づいて行われます。
コールにはそれぞれ、脅威レベルとリスクスコアが割り当てられます。リスクが高いと見なされた発信者は、その他の認証を求められたり、高リスク担当エージェントに転送されたりします。「VeriCallは、さまざまなタイプのANIスプーフィングを検出できるようにも設計されています。Apple Storeでダウンロードできる単純なアプリから、巧妙なSIPヘッダー操作やパラメーターインジェクションエクスプロイトに至るまで対応可能です」と、Prugar氏は力説します。

機械学習システムの仕組み

一般的に、機械学習を基にした不正検出システムでは、特定のデータセットでトレーニングされた複雑なアルゴリズムが使用されます。システムは、提示されたシナリオを通じて絶えず学習します。さらに、データのパターンを認識して、それらに関する提案を行ったり、パターンに対してアクションを実行したりします。
機械学習システムの実装は、採用先ごとに異なりますが、一般に行動分析と予測分析で構成されます。行動分析の範囲は、場所や取引金額といった、従来のルールの条件に対する準拠を超えています。最新のシステムの場合、さらに広範な行動パターンを抽出し、分析します。こうしたパターンは、現在の取引詳細、ユーザーの購買習慣を示す履歴データ、デバイスのフィンガープリントなどに関するものです。
機械学習不正検出システムでは、さまざまな種類の予測分析手法が幅広く採用されています。ロジスティック回帰分析では、構造化データセットで、因果関係の強さを測定し、そのデータセットにおける変数の予測可能性と変数の組み合わせを評価します。また、不正取引と正当な取引を比較し、それによって得られたアルゴリズムで、今後の新しい取引が不正かどうかを予測します。
意思決定ツリーによる分析では、データ分類のアルゴリズムを活用して、さまざまな行動のリスクの可能性と、そうした行動への評価を明らかにします。このモデルでは、結果の予測を、木のような構造を持つフローチャートで示します。これが分析のビジュアル化と理解に役立ちます。
予測分析のランダムフォレスト手法では、複数の意思決定ツリーを使用します。これにより、1つのツリーに依存することで発生しかねない誤りを回避して、さらに正確な結果を得られます。

数多く残る欠陥

しかし現時点では、機械学習による不正検出技術は、確実とは到底言えません。とりわけ問題になる欠陥は、適切に使用しなければ新たなリスクを招く場合があることです。たとえば、1つの機械学習モデルで正確さを得るために、きわめて大量のデータが必要になります。このモデルでは、十分な情報がなければ、誤った判定と結果が導かれる可能性があります。
「機械学習技術を活用する場合、不正とされるのは外れ値であり、正常値ではないことを覚えておく必要もあります。不正を通常の行為と見なすデータセットでトレーニングを行うと、防御に大きなマイナスの影響を及ぼします。システムのトレーニングは、正しい行為を基に行い、顧客ベースにとって異常な行為では行わないようにすべきです」と、Prugar氏はアドバイスします。
さらに、抑制と均衡につながる従来のルールやその他の技術がなければ、機械学習による不正検出システムは詐欺犯にだまされる可能性があると、Constellation Research社のHenschen氏は指摘します。
Henschen氏によると、詐欺犯はアカウント、国、時間帯といった特定のパターンを受け入れるように、システムを外部から訓練できます。具体的には、最初の攻撃で、そうしたパターンに従う正当かつ少額の取引を行います。その後、許可された取引の履歴を悪用して、同じパターンを基にした多額の不正取引を紛れ込ませようとします。
機械学習の採用の進み方が遅く、段階的である他の理由としては、規制要件を満たすように、モデルと結果の説明と検証を行うのが難しいことがあります。これは、特にDMLシステムの場合に当てはまります。このシステムは、不可解に思われる理由で、非常に正確な結果を返す場合があります。
ただし、McKinsey & Companyの最近のレポートによると、規制機関は今では、ランダムフォレストのような検証アプローチを受け入れるようになっています。こうした技術で確立されるモデルは、テストしやすく、簡単に理解できるからです。

明るい展望

現在問題を抱えているとはいえ、機械学習による不正検出システムには、新たな不正行為を引き続き抑制し、誤検出と検出漏れを大幅に削減する大きな可能性があります。「この業界は、私たちが成し遂げる偉業を、ほんの少しだけ達成したにすぎません」と、Prugar氏は明るい見通しを示しました。

AIと金融詐欺: リーダーのためのアドバイス

• 従来の不正検出システムは、取引を不正か正当かのどちらかの結果として示します。その失敗率は非常に高くなります。
• 機械学習システムは、有益なスコアを得られるさまざまなアルゴリズムを使用して、より正確な答えを提示します。
• ただし、機械学習システムでは、規制上の要件に関する未解決の問題が生じるため、その導入は一夜にして完了するわけではありません。