ラックは2月17日、人工知能（AI）技術を活用して不正取引を検知する新サービス「AIゼロフラウド」の提供を開始すると発表した。サイバーセキュリティを軸に事業展開している同社だが、新サービスは不特定多数から現金などをだまし取る特殊詐欺や現金自動預け払い機（ATM）の不正利用といった不正取引をAIで検知するものになる。
同社 代表取締役社長の西本逸郎氏によると、金融機関を狙った攻撃は大きく2種類に分けられるという。1つは、ランサムウェアや標的型攻撃、分散型サービス妨害（DDoS）攻撃、ゼロデイ攻撃など金融機関自身を標的とする「サイバー攻撃」。もう1つは、フィッシング詐欺や特殊詐欺など金融機関の顧客を標的とした「金融犯罪」になる。
金融機関が防御すべき攻撃にはサイバー攻撃と金融犯罪があり、対象や手口が異なっている
同社が得意としてきたサイバー攻撃に関しては、金融機関側の防御も堅く成功率が低いことから、近年は「だましやすい一般顧客を不正取引の餌食にしている」（西本氏）と指摘、リアルな金融犯罪に対してもデジタルを活用した対策が有効だとした。
サイバーセキュリティとデジタル技術を使って金融犯罪に立ち向かうためには、「金融犯罪とサイバー犯罪に対峙した経験」「金融機関システムと運用の知識」「データ分析知見」が不可欠だと西本氏。その上で、新サービスを「“真”のサイバー犯罪対策に向けた新たな一歩」と位置づけた。
続いて、同社 金融犯罪対策センター センター長の小森美武氏が金融機関が直面する防御面での課題を説明した。同氏は、2020年まで三菱UFJ銀行で金融犯罪対策／サイバー犯罪対策の陣頭指揮を執っていたという経歴の持ち主で、金融犯罪対策の現状について「この1年で手口の脅威度が上昇しており、相対的に金融機関の『防御力』が低下している状況」だと指摘した。
例えば、本人確認を強化するために多要素認証を採用する防御手法が広く使われるようになった。これは、ショートメッセージサービス（SMS）などにワンタイムパスワードを送信して追加認証するというものだが、既にこうした仕組みを破る手口も出現しているという。こうした予防策のみならず、ルールベースで不正取引を検知する既存システムも突破されるケースが増えていることから、今後は「AIを活用した高度な不正取引検知が必要になる」と同氏は強調した。
本人確認のための多要素認証（追加認証）に関しても破る手口が生まれている
フィッシングによってあらかじめ認証情報を取得しておき、着信転送を設定しておくことで追加認証で送られる確認コードなどが攻撃者のところに届くようにしておくことで追加認証を突破するという手口の説明
AIゼロフラウドの詳細については、同社 SIS事業統括 金融事業部のザナシル・アマル氏が説明した。まずは不正取引検知システムの考え方について。各種の顧客取引チャネルから犯罪者が不正取引を試行した際、その取引データを不正取引検知システムがチェックしてリスク判定の結果をサービス提供システムに返し、不正利用の可能性が高い場合には取引を停止して顧客に確認するというのが一般的な流れとなる。
不正取引検知システムの考え方。実装には大きくルールベースとAIベースがある
このとき、不正検知システムには、不正取引の早期検知・停止のための「リアルタイム性」、不正をしっかり検知して見逃さない高い検知率／真正な取引を誤検知しない低い誤検知率といった「判定精度」、判定した理由の説明可能性を担保する「明確な判定理由」――の3点が要件として求められる。
しかし、現実にはこの3つの要件を全て高水準で満たすソリューションはなく、既存のルールベースのシステムでは判定精度に難があり、AIベースのシステムでは判定理由の説明が難しい。AIゼロフラウドはAIを活用したシステムだが、判定精度を高めるための同社独自の工夫が盛り込まれている点が特徴となるという。
ルールベースの不正取引検知システムとAIベースの不正取引検知システムとの違い
まずは超不均衡データに対するアプローチだ。学習のベースとなる取引データは「不正取引が真正取引（99％以上）に比べて極端に少ない不均衡データ」であることから、一般的なAIアルゴリズムでは学習が困難だという。同社は超不均衡データの問題に取り組んでいる研究者と業務提携し、その研究成果を活用する形で学習データのチューニングを行い、適切に学習できるようにしている。
また同社には、小森氏をはじめ金融機関で犯罪対策に取り組んだ経験を有する人材が複数所属しており、そうした人材の知見やノウハウを生かして金融犯罪の特徴（クセ）をAIの学習に反映させる特徴量エンジニアリングにも優位性があるという。AIゼロフラウドでは、こうした取り組みの成果として「金融犯罪に特化したAIエンジン」を開発して使用していることから、94％という高い検知率を実現しているとする。
ちなみに、ルールベースシステムの検知率は一般的に50～60％台、AIベースシステムでは70％台だという。
AIゼロフラウドの主な特徴
AIシステムの難点である判定理由の説明が難しいという点について、アマル氏は「人が分かるような言葉で判定理由を完璧に表わすことはできないが、『どのようなところにどのくらいの割合で』という参考になるようなヒントは出せる」と話す。
ルールベースのシステムでは、人間がルールを設定しているため「この取引はこのルールに抵触したため不正と見なす」という判定が明確だ。AIの場合は、データを学習した結果としてシステムが判定基準を作っているため、判定理由を明確にできない。しかし、現時点ではAIが判定基準としている複数の要素のうち、最も重み付けが大きなものを提示するなどの形である程度の材料を出すことまではできるという。
AIゼロフラウドは金融機関向けのサービスとなり、同日から概念実証（PoC）を受け付け、期間は全体で約6カ月となる。中小～メガバンクまで全規模の金融機関に対応するとしている。
AIゼロフラウドのシステム構成概要
