2026年のAIによる不正検出：金融機関はいかにしてリアルタイム取引の安全性を確保するのか

リアルタイム決済では回復の猶予期間がほとんどないため、リアルタイム不正検出は急速に変化しています。注目すべきアップデートは2026年9月2日に行われ、VisaはVisaとFeaturespaceの技術を統合した口座間決済向けの統一不正スコアを提供する強化版A2A Protectサービスを発表しました。重要なのは、1つの製品で不正が解決できるということではありません。より広範な変化は、金融機関が資金が口座から引き出される前に、取引レベルのAIと行動シグナル、ネットワークインテリジェンスをますます組み合わせるようになっているということです。

これは重要な点です。なぜなら、支払いは数秒で送信者から受取人へ届くようになったからです。銀行は、送金が疑わしいかどうかを判断するために、一晩かけてバッチ処理を行うのを待つことはできません。不正対策システムは、シグナルを収集し、リスクを評価し、ポリシーを適用し、承認または支払い期間内にアクションを選択する必要があり、同時に正当な取引も迅速に承認しなければなりません。

Visaが2026年9月に発表した内容は、 A2A Protectのリリースで確認できます。これは、単一の組織内の静的なルールだけに頼るのではなく、リアルタイムでネットワーク情報に基づいた意思決定へと移行する、業界全体の動きの一例です。

AIによる不正検出の実際の機能とは

AIによる不正検出とは、統計モデルや機械学習モデルを用いて、ある活動が正当なものか疑わしいものかを判断する手法です。決済においては、このモデルが単独で機能することはほとんどありません。通常は、決定論的なルール、認証制御、速度制限、制裁措置やコンプライアンスチェック、そして人間の調査などを含む、より大規模な意思決定システムの一部として組み込まれています。

カード決済の場合、金融機関は承認するか、拒否するか、より強力な認証を要求するかを判断する可能性があります。口座間即時送金の場合、支払いを許可するか、決済システムと法律で認められている場合は一時停止するか、顧客に追加の確認を求めるか、不正対策チームに処理を依頼するかを判断する可能性があります。

Visaの最新のAI不正検出概要では、静的なルールやブラックリストだけに頼るのではなく、取引データと行動データをリアルタイムで分析するシステムが説明されています。この基本的なアーキテクチャは、具体的なモデルやベンダーが変更されても、耐久性を維持します。

リアルタイム決済がリスクを高める理由

従来の不正対策プログラムでは、一部の決済フローにおいて、異常な取引を事後的に確認する時間が比較的長かった。即時決済は、その時間を大幅に短縮する。例えば、連邦準備制度理事会のFedNowサービスでは、参加金融機関が24時間いつでも送金・受金を行うことができ、受取人は即座に資金を受け取ることができる。

2025年6月、連邦準備制度理事会金融サービス部は、FedNowに口座活動のしきい値機能を追加しました。参加金融機関は、顧客セグメントごとに金額と取引頻度のしきい値を設定できます。これは、現代の不正対策の有用な例です。AIは一つの層であり、金額や頻度の制限といったシンプルな制御は、迅速で透明性が高く、モデルスコアと組み合わせやすいため、依然として価値があります。連邦準備制度理事会金融サービス部の発表をご覧ください。

リアルタイム不正検出パイプライン

1. トランザクションコンテキストを取得する

システムは、支払いそのものから始まります。金額、加盟店または受取人、時間、チャネル、支払いタイプ、通貨、口座識別子などです。12ドルの食料品購入と12,000ドルの新規受取人への送金は、どちらも支払いであるという理由だけで、同じ意思決定経路に入るべきではありません。

2. 行動およびデバイス信号を追加する

支払いは、最近のアカウントの行動と比較されます。有用なシグナルとしては、ログイン履歴、デバイス識別情報、IPアドレスまたはネットワーク特性、位置情報の一貫性、パスワードまたは連絡先情報の変更からの経過時間、アカウントの開設期間、取引頻度、過去の受取人、および平均的な支払い金額などが挙げられます。

これらの機能は、「異常」と「不正」を区別するのに役立ちます。例えば、他国から航空券を購入する顧客は、単独で見ると異常に見えるかもしれませんが、システムが最近の旅行予約、既知のデバイス、そして長年にわたるカード会員関係を確認すると、正常な行動と判断されます。

3. ネットワークインテリジェンスを追加する

不正行為の中には、単一のアカウント内よりもネットワーク全体での方が発見しやすいものがある。マネーロンダリング用の資金洗浄口座、組織的な詐欺、偽造身分証明書、資金洗浄組織などは、複数の機関にまたがる多数の送金者と受取人が関与する可能性がある。

国際決済銀行（BIS）が2025年6月に発表したプロジェクト・ヘルタは、リアルタイム小売決済システム向けのAIベースの取引分析について調査したものです。180万の口座と3億800万の取引を含む合成データセットを用いた実験では、決済システム分析を追加することで、シミュレーションされた銀行や決済プロバイダーが不正口座を12%多く特定できるようになり、これまで見られなかった行動の検出精度が26%向上しました。これらは合成データを用いた実験結果であり、実際の銀行におけるパフォーマンスを保証するものではありません。このプロジェクトの価値は、ネットワークパターンから個々の銀行が自身の台帳からは把握できない関係性を明らかにできるという設計上の教訓にあります。詳細はBISプロジェクト・ヘルタの報告書をご覧ください。

4. 1つ以上のリスクスコアを作成する

モデルは、特徴量を確率、スコア、またはリスクカテゴリに変換します。金融機関は、複数のモデルを同時に使用する場合があります。たとえば、アカウント乗っ取り用、カード非提示型詐欺用、詐欺リスク用、そして不審な受取人関係を検出するためのネットワークモデルなどです。

モデルスコアは必ずしも最終決定となるわけではありません。銀行は、「新規デバイス＋新規受取人＋異常に高額な金額」といったルールや、顧客セグメントごとのしきい値などと組み合わせて判断する場合があります。その目的は、不正利用による損失と、正規の顧客をブロックすることによるコストとのバランスを取ることです。

5. 行動を組織する

一般的な結果としては、承認、拒否、認証の強化、確認要求、許可されている場合の遅延、または審査への回付などがあります。認証の強化とは、リスクが高まった場合にのみ、より強力な証明を求めることを意味します。たとえば、アプリ内での追加確認や別の認証要素などです。

意思決定エンジンは、決済フローに収まるだけの十分な速度を備えている必要があります。カード認証プラットフォームは通常、リスク判断をミリ秒単位で行い、即時決済システムでは、処理開始から決済完了までわずか数秒しかかかりません。

最も重要なデータシグナルとは？

AIと並んでルールも依然として重要

ルールを時代遅れとし、機械学習をその代替手段と捉えるのは簡単です。しかし、実際の不正対策システムにおいては、それは往々にして単純化しすぎです。ルールは、ブロック対象国、不可能な取引タイプ、規制要件、重複イベント、厳格な金額制限、あるいは新たに導入された緊急対策など、確定的な対応が必要な既知の状況に対して非常に有効です。

AIは、意思決定が短いルールリストとして明確に表現できない信号や行動の組み合わせに依存する場合に最も効果を発揮します。そのため、成熟した組織は階層的なアプローチを採用しています。明確な方針にはルール、複雑なリスクには機械学習、関係性にはネットワーク分析、そして曖昧なケースや影響の大きいケースには人間のレビューといった具合です。

誤検知がセキュリティの中核指標である理由

あらゆる不正行為をブロックする不正防止システムは、技術的には不正行為の阻止に効果的ですが、決済システムとしては使い物になりません。誤検知とは、正当な取引が誤って不審な取引として分類されることです。誤検知が多すぎると、顧客の不満、コールセンターのコスト、購入放棄、そして信頼の喪失につながります。

そのため、組織は単なる不正検出率だけでなく、より多くの指標を追跡します。重要な指標には、不正損失、リコール率または検出率、精度、誤検出率、承認率、顧客摩擦率、手動レビュー量、遅延時間、および各決定タイプの財務コストが含まれます。

最適なしきい値は状況によって異なります。50ドルのカード購入と、25万ドルの新規口座へのビジネス送金では、許容範囲が異なる可能性があります。したがって、リアルタイムの不正対策は、単なる分類問題ではなく、最適化問題なのです。

承認済みプッシュ決済詐欺は、盗まれた認証情報を使った詐欺よりも巧妙である

詐欺の中には比較的単純なものもある。例えば、犯罪者が顧客の認証情報を盗み、顧客が承認していない支払いを開始するといったものだ。一方、別の種類の詐欺は、承認済みプッシュ決済（APP）詐欺と呼ばれることが多く、顧客が騙されて自ら送金してしまうケースである。

AIにとってこれはより困難です。なぜなら、ログイン、デバイス、認証、最終確認のすべてが本物である可能性があるからです。疑わしい兆候は、受信者ネットワーク、取引履歴、異常な受取人関係、支払い速度、またはより広範な詐欺パターンに現れる可能性があります。

これが、ネットワークレベルのインテリジェンスが注目を集めている理由の一つです。マスターカードが2025年にフィリピンのリアルタイム決済ネットワークでTRACEを導入したことや、英国でA2A不正対策ツールを提供したことは、各銀行のデータを孤立した島として扱うのではなく、複数の機関にわたるリスクを特定しようとするプロバイダーの取り組みの例です。

モデルの変遷：詐欺師は静的なモデルよりも速く変化する

モデルのドリフトとは、入力データと不正行為の結果との間の統計的な関係が時間とともに変化することを指します。消費者の行動の変化、新製品の発売、季節的なパターンの変化、そして犯罪者が意図的に制御システムを検証して弱点を見つけ出すことなどがその要因となります。

組織は、監視、再教育、チャンピオン・チャレンジャーテスト、閾値調整、ルール更新、および確認された不正事例からのフィードバックによって対応します。適切なラベル付けは特に重要です。プロジェクト・ヘルタは、ラベル付けされたトレーニングデータ、堅牢なフィードバックループ、および説明可能なアルゴリズムが効果の鍵となる要素であることを強調しました。

リアルタイムシステムには、不正なラベルや低品質なラベルに対する安全対策も必要です。顧客が正当な取引を誤って異議申し立てしたり、調査担当者が事件を矛盾なく分類しなかったりすると、モデルが誤ったパターンを学習してしまう可能性があります。

説明可能性と人間によるレビューは依然として重要である

不正行為に関する判断は、資金へのアクセス、顧客体験、および規制上の義務に影響を与えます。金融機関は、モデルの動作が異なる理由を理解し、エラーを調査し、しきい値やポリシーの変更を正当化するために、十分な説明を必要とします。

説明可能性は、すべてのモデルが単純であることを意味するものではありません。必要なのは、有用な運用上の出力、つまり、どのシグナルがリスクを引き起こしたのか、どのルールが発動したのか、スコアが時間とともにどのように変化したのか、そして決定が承認されたポリシーと一致していたのか、といった情報です。

リスクの高い事象や曖昧な事象については、調査担当者の役割が依然として重要です。人間のレビューによって、モデルにはない文脈を組み込んだり、新たな詐欺の手口を特定したり、次回のモデル更新のためのより適切なラベルを作成したりすることが可能になります。

2026年モデルガバナンスは、モデルの精度と同じくらい重要である

2026年4月、通貨監督庁（OCC）、連邦準備制度理事会（FRB）、および連邦預金保険公社（FDIC）は、リスクベースのアプローチを強調した改訂版の機関間モデルリスク管理ガイダンスを発表しました。このガイダンスでは、モデルの開発と使用、検証と監視、ガバナンスと統制、およびサードパーティモデルについて説明しています。また、生成型AIとエージェント型AIは、新しい技術であり急速に進化しているため、このガイダンスの対象範囲外であると明記しています。

不正対策チームにとって、実践的な教訓は、高性能なモデルだけでは不十分だということです。金融機関は、明確な所有権、文書化された使用目的、テスト、モニタリング、変更管理、データガバナンス、およびベンダーモデルに対する適切な監督を必要とします。OCCの2026年改訂版モデルリスクガイダンスを参照してください。

NISTが自主的に提供するAIリスク管理フレームワークは、ガバナンス、マッピング、測定、管理という4つの要素を中心とした、より広範な分野横断的な枠組みを提供するものです。これは銀行規制ではありませんが、信頼性、透明性、プライバシー、セキュリティ、説明責任に関する問題を整理する上で役立ちます。

生成型AIが適している分野と適していない分野

生成型AIは、捜査官が事件を要約したり、メモから情報を抽出したり、捜査報告書を作成したり、大規模なポリシーや事例データベースを検索したりするのに役立ちます。しかし、だからといって、大規模な言語モデルが支払いの正当性を判断する唯一の承認エンジンであるべきだという意味ではありません。

リアルタイムの不正スコアリングの中核となる部分は、通常、低遅延分類、異常検知、グラフ分析、および較正済みリスクスコアに最適化された構造化統計モデルに依存します。生成システムは、特にアラート発生後にワークフローを強化する可能性がありますが、金融機関は依然として、取引経路における決定論的な制御と測定可能なモデル動作を必要とします。

システムが正常に動作したときに顧客が体験すること

AIによる不正検出のほとんどは目に見えない形で行われます。通常の支払いは追加の手順なしで承認されます。やや異常な支払いの場合は、アプリ内で確認画面が表示されることがあります。リスクの高い取引は拒否されるか、審査に回される場合があります。目標は選択的な摩擦、つまりリスクが正当化される場合にのみセキュリティを追加することです。

顧客にとって、これは最新の不正対策システムが、通常の行動と不審な活動をより正確に区別できるため、従来のシステムよりも煩わしさを感じさせない可能性があることを意味します。金融機関にとっての課題は、こうした顧客体験を維持しながら、新たな不正行為の手口に迅速に対応することです。

金融機関のための実践的なアーキテクチャ

• 高品質な取引、アカウント、デバイス、および行動に関するシグナルをリアルタイムで収集します。
• 明確な方針や既知の高リスク状況については、決定論的なルールを用いる。
• 取引レベルのリスク評価には、教師あり学習モデルと異常検知モデルを適用する。
• 運び屋と受取人の関係が重要な場合は、グラフ分析またはネットワーク分析を追加してください。
• セグメント固有の閾値を用いて、スコアを意思決定エンジンに統合する。
• リスクが不確実な場合は、異常な事象をすべて自動的に拒否するのではなく、段階的な認証やレビューを実施してください。
• 確認された不正行為、顧客からの反応、および調査結果をモデル監視にフィードバックする。
• 誤検知、承認率、不正損失、遅延時間、および審査件数をまとめて追跡します。
• 材料モデルを検証し、ドリフト、データ品質、およびベンダー依存性を監視する。
• モデル、データフィード、または決済システムに障害が発生した場合に備え、明確なエスカレーション経路を維持してください。

移動の方向

2026年9月のVisa A2A Protectアップデート、FedNowの構成可能なリスク管理機能、そしてBISプロジェクト・ヘルタは、いずれも同じ方向性を示しています。不正対策は、個別の取引ルールから、多層的なリアルタイムインテリジェンスへと移行しつつあります。最も強力なシステムは、個人の行動、アカウントの状況、デバイスデータ、ネットワーク関係、ルール、そして人間の専門知識を組み合わせたものです。

AIはリスクを迅速にランク付けする能力を向上させるが、トレードオフをなくすわけではない。金融機関は依然として、どの程度の摩擦が許容できるか、モデルをどのように検証するか、どのデータを法的かつ倫理的に使用できるか、サードパーティシステムをどのように管理するか、モデルが不確実な場合にどう対処するかを決定する必要がある。

リアルタイム金融におけるAI不正検出の実際的な意味は、不正を「知る」単一のアルゴリズムではなく、取引が取り返しのつかない損失になる前に、刻々と変化する証拠を適切な行動へと継続的に変換する、設計された意思決定システムにある。