編集チームの記事その他の記事

取引前にIPアドレスのリスクを確認すべき理由

IPリスクスコアは不正防止にどう役立つのか。その結果の読み解き方と、公表された事例やデータから得られる知見を解説します。

Ann · · 読了まで約7分

目次

3つの異なる図形が線で虫眼鏡につながり、その右に決済用カードが描かれている。

不正を防ぐには、取引の処理方法を決める前に、IPアドレスから得られる兆候を読み解く必要があります。

オンラインでの不正は、大きな損失につながるおそれがあります。決済、ログイン、データのやり取りの前にIPアドレスに関連するリスクを確認すれば、注意すべき兆候を見つけやすくなります。その確認がどれほど役立つかは、ほかの入手可能な情報とどう組み合わせるかによって変わります。

IPアドレスの位置情報やレピュテーション（評判情報）は、状況をリアルタイムで把握する手掛かりになります。無視すれば見落としが生じかねませんが、決定的な証拠とみなしても判断を誤るおそれがあります。問題の規模を示す例として、2024年のNilson Reportは、2026年の世界のカード不正による損失を363億7,000万ドルと予測していました。これはカードに関する予測であり、サイバー不正全体の金額でも、IPアドレスに起因する損失の実測値でもありません。

IPリスクスコアとは

IPアドレスはインターネット上の通信を適切な宛先に届けるために使われますが、個人や端末を一意に識別するものではありません。複数の機器がNATを介して同じパブリックIPアドレスを共有することがあり、アドレスの割り当ても変わり得ます。リスクスコアは、あるアドレスに関連する兆候をまとめたもので、ほかのスコアリングツールと同様に、評価の指標として利用できます。0から100までの尺度を使うサービスもありますが、尺度とその意味は提供元によって異なります。

よく使われる兆候には、観測された行動、位置情報の整合性、既知の悪意ある活動との関連、VPNやプロキシサーバーの利用などがあります。迷惑メールに関する苦情や、ブロックリストへの登録状況が考慮される場合もあります。高い値が信頼性の高さを示すことのあるレピュテーションスコアと、高い値が危険性の高さを示すことのあるリスクスコアは、区別する必要があります。両者のしきい値をそのまま流用してはいけません。また、VPNが検出されたからといって、不正が行われている証拠にはなりません。

リスクスコアの検証

こうしたスコアを検証する際には、サービスがどのデータを使い、どう解釈し、取引前にどのような判断を可能にするのかを確認します。企業はIPアドレスをレピュテーション情報源と照合し、その結果を決済、アクセス、データ交換のワークフローに組み込めます。十分に検証したうえで導入すれば、確認作業の迅速化や判断ミスの削減につながる可能性があります。ただし、単独のスコアだけで不正アクセスや損失を防げるとは限りません。

不正とネットワーク上の兆候

攻撃者は、所在地を特定されにくくするために、プロキシを使ったりアドレスを変更したりすることがあります。だからといって、世界の損失のうち一定の割合がこうした行為に起因すると結論づけることはできません。Nilsonが記録したカード不正の損失は、2021年に323億3,000万ドル、2023年に338億3,000万ドルで、2024年の報告書では2026年に363億7,000万ドルに達すると予測していました。一方、UK Financeの過去の統計によると、英国で発行されたカードの不正による2023年の損失は5億5,130万ポンドで、そのうち3億6,050万ポンドが非対面での購入に伴うものでした。いずれも対象が定義された区分の数値であり、インターネット決済における不正全体の集計ではありません。

アカウントの乗っ取り、合成IDを用いた不正、「ローンスタッキング」と呼ばれる複数の融資への同時申し込みを調べるには、さまざまな兆候を検討する必要があります。Regulaの2023年の調査では、回答企業の46%が合成IDを用いた不正の被害を経験しており、90%が今後数年間で拡大する脅威とみなしていました。この調査の対象は、8か国の5業種に属する責任者1,069人であり、結果がすべての企業の状況を示しているわけではありません。VPNは位置情報の解釈を難しくすることがありますが、プライバシー保護やリモートアクセスという正当な用途もあります。一部の無料サービスは利用者の端末を第三者の通信の出口として使いますが、そうしたリスクがあるからといって、VPN利用者全員を疑わしいとみなすことはできません。

IPリスク評価の仕組み

分析では、位置情報サービス、VPNやTorノードの検出サービス、ブロックリスト上のレピュテーション情報などを参照できます。SEONのようなシステムでは、ルールに従って各兆候に値を割り当て、設定されたしきい値を承認、審査、拒否の判断に使います。重み付けや分類は個々のモデルに固有のもので、リスクを測る普遍的な尺度ではありません。

APIを使えば、ネットワークのデータをリアルタイムの評価に組み込めます。サービスによっては、プロバイダーの特性、開放ポートの兆候、IPアドレスの変更頻度などが含まれます。それぞれのデータが実際に何を測っているのかを確認する必要があります。MaxMindが2025年8月に公表した分析では、適合率・再現率曲線下面積（PR-AUC）のアカウントごとの改善率を平均すると、ランダムな予測との比較で、匿名IP指標は43%、IPリスクスコアは125%、minFraudの総合スコアは300%でした。比較の基準はランダムな予測です。どの企業でも正解率がそれだけ改善すると保証する数値ではありません。

企業は、リスクが低いと判断した取引をそのまま進め、注意すべき兆候がある場合には多要素認証などの追加確認を求めることができます。融資の申し込みでは、IPアドレスの兆候が調査の手掛かりになります。ただし、総合的な審査の代わりにしたり、それだけを根拠に申込者を拒否したりするべきではありません。

サービス提供企業が公表した事例

  • Buffered。 SEONの公表によると、このVPN事業者は30日間でチャージバック率を91%削減しました。対策には、IP分析、機械学習、独自のルールが組み合わされていました。これはこの事例で得られた結果であり、単一のスコアの効果だけを切り分けることはできません。
  • Simplex。 MaxMindが2021年に公表した事例では、この暗号資産の決済ゲートウェイは、IPの位置情報、メールアドレスのリスク、金融機関に関するminFraudのデータをアルゴリズムに取り込み、人手による審査にも役立てていました。この事例は300%の改善を報告したものではありません。その数値は、先に述べたMaxMindによる後年の比較分析に由来します。
  • TrustDecision。 同社のリスク管理に関する解説は、IPアドレス、デバイスフィンガープリント、連絡先情報を関連付けることで、不正ネットワークの調査にどう役立てられるかを示しています。これは手法の説明であり、金融機関が特定の不正ネットワークを摘発したことを記録したものではありません。

専門家の見解をどう読み解くか

IPデータの価値は、文脈によって変わります。レピュテーションリストに関するProofpointの技術資料は、各分類が示すのは観測された行動であり、許可かブロックかを決める最終的な二者択一の判断として扱うべきではないと注意を促しています。取引前に兆候を確認することは有用ですが、そこから、ほぼすべての不正でVPNが使われている、あるいはあらゆる企業に通用する単一のスコアが存在すると主張することはできません。

企業戦略への組み込み

確認のタイミングとしては、ログイン時、決済時、API呼び出し時などが考えられます。IPデータを端末や取引に関する兆候と組み合わせれば状況を把握しやすくなりますが、それでも判断が完全に正確になるわけではありません。企業は、データ保護と決済セキュリティについて、自社に適用される義務を把握する必要があります。GDPRはリスクに応じた適切なセキュリティ対策を要求し、PCI DSSは具体的な管理策や分析を定めています。IPレピュテーションを照会しただけでは、これらへの準拠を証明できません。また、データの処理には正当な根拠が必要であり、必要な範囲に限定しなければなりません。

課題

アドレスは変わることがあり、共有ネットワークはさまざまな利用者に使われます。VPNによって見かけ上の所在地が変わり、ブロックリストに誤りが含まれることもあります。小規模な企業にとっては、導入や確認作業の費用も重要です。複数の情報源を組み合わせたり、機械学習を活用したりすることは役立つ可能性がありますが、自社のデータで成果を測定し、誤検知を検証し、誤った判断を修正する必要があります。

今後の動向

人工知能は、過去の行動の分析や異常検知の範囲を広げる可能性があります。耐量子技術やブロックチェーンを使ったレピュテーション記録も検討の対象となりますが、スコアの品質に関する問題を解決すると決めつけず、それぞれ個別に評価すべきです。また、リアルタイムでの確認が普及していることは、それがあらゆる場面で義務化される証拠でも、取引ごとのIP監査を義務付ける国際標準がすでに存在する証拠でもありません。

よくある質問

  • IPリスクスコアとは何ですか？
    レピュテーション、見かけ上の所在地、ネットワークの種類など、アドレスに関連する兆候をまとめた指標です。スコアの尺度や、数値の大小が何を意味するかは、サービスによって異なります。
  • なぜ取引前に確認するのですか？
    取引を承認する前に確認すべき不整合が見つかる可能性があるためです。VPNの利用やブロックリストへの登録が確認されても、その意味を読み解く必要があります。それ自体が不正の証拠になるわけではなく、特定の割合での改善を保証するものでもありません。
  • 確認の仕組みはどう実装しますか？
    アクセスや決済のワークフローにAPIを組み込みます。そのうえで、検証済みの判断基準を用い、取引を許可するか、審査するか、停止するか、どの段階で追加確認を求めるかを決めます。
  • よくある課題は何ですか？
    動的IPや共有IP、見かけ上の所在地、古いデータ、誤ったブロックなどです。複数の情報源を組み合わせ、結果を検証することで、誤りの発見と修正につながります。
  • 小規模な企業でも費用を負担できますか？
    サービス料金、導入、人手による審査の費用と、正当な顧客への影響を検討する必要があります。Bufferedの事例で公表された91%の削減は、特定の事例における成果であり、どの企業にも投資効果を約束するものではありません。