金融アプリは、不正を働く者が最も欲しがるもの、つまり動かせるお金を扱っています。ログインには漏えいしたパスワードが流し込まれ、オンボーディングには合成された身元が送り込まれ、カード関連のフローは盗まれた番号のテストに使われます。どの攻撃も、不正になる前にまず自動化から始まります。
bot が金融サービスにすること
- アカウント乗っ取り。Web やアプリのログインへのリスト型攻撃の後、すぐに送金するか連絡先を変更します。
- 不正な口座開設。盗まれた、または合成された身元を使ったスクリプトによる申し込みで、サインアップボーナス、ミュールアカウント、与信を狙います。
- カードのテスト。盗まれたカードを、カード登録や少額のチャージで確認します。
- 列挙攻撃。サインアップやパスワードリセットのフォームを使って、どのメールアドレスや電話番号が顧客のものかを探ります。
bot チェックの位置付け
bot チェックは KYC、取引モニタリング、強力な認証の代わりにはなりません。それらの手前に低コストで置くことで、自動化されたセッションが高価なチェックに到達することはなくなり、本当の顧客が感じる手間も減ります。
- ログイン：
bot_highにはパスワード誤りとして応答します。botにはパスキーかワンタイムコードによる追加認証を求めます。詳しくはログインでのリスト型攻撃をご覧ください。 - 口座開設：本人確認の費用を払う前に
bot_highを拒否します。botはレビューに回します。 - パスワードリセットと連絡先の変更：
botには第 2 要素を求め、アカウントが存在するかどうかにかかわらず同じ応答を返します。 - カードの追加：
bot_highは拒否し、botには 3-D セキュアを求めます。
各応答に含まれる step_up フラグは、両方向に強い証拠があるという珍しいケースを示します。そのときこそ最も強い証明を求めるべきで、CAPTCHA を出すべきではありません。