決済不正検出：IP シグナルはスタックのどこに位置づくか

決済チームを 10 組に「不正を止めているのは何か」と尋ねれば、10 通りの単一の答えが返ってきます。ルール、機械学習、3-D Secure、手動レビュー。正直な答えは、スタックです。機能する決済防御はどれも多層になっています。どの層にも死角があり、攻撃者はあなたが省いた層を狙うからです。このガイドではスタックを端から端まで描き、最初に発火して最も低コストな層であるネットワークに焦点を当てます。ネットワークは通常、行動に移せる 0 から 100 の IP 不正スコアに集約されます。正しく使えば、IP インテリジェンスは攻撃のクラス全体を決済プロセッサーに届く前に取り除き、背後にあるすべての層も静かに改善します。

問題の大きさを正直に見る

カード不正は減っていません。Nilson Report は、世界のカード不正損失を 2022 年に 334 億 5,000 万ドル、2028 年までに 430 億ドルを超える見込みとしており、米国の損失は圧倒的にカード非提示（CNP）の問題だとしています（Nilson Report）。しかもコストの非対称性は両方向で過酷です。人件費、調査、回収まで含めると、不正 1 ドルごとに米国の小売・EC 事業者には 4.61 ドルのコストがかかります（The Paypers）。一方、正当な注文を過剰にブロックすれば、売上が静かに流出します。決済防御は、不正と誤ったデクラインを同時に減らさなければならず、段階的で多層のシステムは、まさにそのためにあります。

攻撃者を知る：決済攻撃の 4 つのファミリー

OWASP の自動化された脅威のカタログは、その産業化された形態に名前を付けています（OWASP Automated Threats）。

実際のカード保有者が正当な購入に異議を申し立てるフレンドリー詐欺は、意図的にこの表から外しています。ネットワークシグナルでは予兆が見えないからで、これ自体がスタックの教訓です。

スタックを層ごとに見る

1. ネットワーク層（オーソリゼーション前）。 すべてのチェックアウト、カード更新、決済試行で IP をスコアリングします。データセンターのスクリプト、匿名化されたセッション、高ベロシティの発信元が、コストを生む前に取り除かれる場所です。
2. ベロシティ層。 IP 単位、/64 プレフィックス単位、カード単位、アカウント単位、キャンペーン単位の試行回数。安価なカウンターが、レピュテーションで漏れたものを捕捉します。
3. デバイスと行動の層。 フィンガープリントとセッションの行動が、再訪した顧客を認識し、ネットワークのフィルターをすり抜けた自動化を見つけます。役割分担はデバイスフィンガープリントと IP インテリジェンスの比較で扱っています。
4. 発行会社の認証層。 3-D Secure のリスクベース認証では、発行会社が低リスクの注文をフリクションレスで承認し、残りにチャレンジします。認証された取引の不正責任は発行会社に移ります（Visa の 3-D Secure について）。
5. レビューと証拠の層。 本当に判断が分かれるものの手動レビューキューと、後で争う異議申し立てのための証拠の記録です。IP 検出によるチャージバックの削減で扱っています。

順序が重要なのは、深くなるほどコストが上がるからです。IP のルックアップはミリ秒で、コストは 1 セントの何分の一かです。3-D Secure のチャレンジはコンバージョンを犠牲にします。手動レビューは人間のアナリストの数分間を消費します。チャージバックは、商品、手数料、そして異議申し立て率を失います。第 1 層で止めた攻撃は、第 5 層で請求されることがありません。

オーソリゼーション前に IP レイヤーが寄与するもの

インフラの正直さ。 本物の顧客は、住宅やモバイルの回線から支払います。データセンターやホスティングのレンジからのチェックアウトは、そうでないと証明されるまで自動化です。接続タイプと ASN タイプは、実行できる最も低コストな一次フィルターです。

決済ステップでの匿名化。 ブラウジング中の VPN やプロキシのフラグは、それだけでは弱い証拠です。同じフラグがカード入力ステップで現れる場合や、チェックアウトでの Tor 出口には、フリクションを加える価値があります。検出の仕組みはVPN とプロキシの検出の仕組みにあります。

地理的な整合性。 通常は 3 つの国が一致するはずです。IP の所在地、カード BIN の発行国、配送先または請求先の住所です。1 つの不一致は旅行者か VPN でしょう。速達配送の初回注文で 3 つすべてが食い違うなら、チャレンジする価値のあるパターンです。

正しくキー付けしたベロシティ。 カードテストは、1 つの発信元から数百回の試行を行います。カウンターは IP と、IPv6 では完全なアドレスではなく /64 プレフィックスをキーにしてください。そうしないと、1 つのグループが数千人のユーザーに見えてしまいます（/64 による IPv6 のレート制限）。

緩和要因。 キャリアグレード NAT は、正当な顧客を何千人も 1 つのアドレスの背後に置きます。また、Security.org の 2026 年 8 月の調査では、1,008 人のうち米国の成人の 42% が VPN を使っていると答えました。CGNAT のフラグは、共有 IP のベロシティへの対応を厳しくするのではなく、和らげるべきです。

同じチェックアウトに現れた Tor 出口と iCloud リレー

同じ匿名化の問いでも、その IP が実際に何であるかによって、正反対の答えになります。2026-10-05 に Tor 出口と iCloud Private Relay のエグレスをルックアップしました（結果はレンジの変動に伴って変わります）。

Tor 出口は recommended_action: "block" でスコア 100 となり、detection_methods がその理由を示しています。ホスティングインフラ上で、tor_exit に、逆引き DNS 由来の rdns_tor が加わっています。これが、オーソリゼーション前に止める、裏付けのある悪質帯です。リレーのスコアは 9 で allow です。relay_provider: "iCloud Private Relay" を伴う is_relay: true は、Apple の顧客が組み込みのプライバシー機能を使っているのであって、プロキシではないからです。IP 側の国がアンゴラであることに注目してください。リレーのエグレスはカード保有者から遠く離れた場所にあることがあるため、リレー IP での BIN と IP の国の不一致は弱い証拠であり、それだけで注文をブロック帯に押し込むべきではありません。

カードテストには専用の段落が必要

カードテストは世界の EC 事業者のおよそ 3 分の 1 に影響しており（カードテストの統計）、IP レイヤーが単純に消し去るべき攻撃の最も純粋な例です。ボットは少額のオーソリゼーションで盗難カードを検証し、どちらに転んでもオーソリゼーションとデクラインの手数料はあなたが払い、検証されたカードはすべて別の場所で実際の不正になります。トラフィックの特徴ははっきりしています。データセンターとプロキシの発信元、機械的な速度の試行、極小またはゼロドルの金額です。リクエストがプロセッサーに届く前に IP をスコアリングし、アドレス単位とプレフィックス単位でレート制限をかけ、不合格のものは静かに拒否するかサンドボックスに送ります。ネットワークの端でカードテストを止めることは、多くの決済チームがまだ十分に導入していない、最も投資対効果の高い不正対策です。

発行会社に情報を渡す。争わない

3-D Secure は自社の検出の競合ではありません。シグナルの上で動くレイヤーです。発行会社は、自分に見えるリスクの全体像に基づいてフリクションレスかチャレンジかを決め、どの注文をそのフローに送るかをそもそも決めるのはあなたです。機能するパターンは、アクションごとの不正スコアのしきい値と同じです。清潔な帯はフリクションレスで許可し、中間帯は 3-D Secure のチャレンジに回して認証された取引の不正責任を発行会社に移し、裏付けのある悪質帯はオーソリゼーション前にブロックして承認率に触れないようにします。IP インテリジェンスは、これらの帯を低コストで、説明可能な形で振り分けるものです。

IP レイヤーに見えないもの

死角は正確に把握してください。それがスタックの残りの部分を規定するからです。IP には、いつもの自宅ネットワークにいる正当なカード保有者が、自分で行った購入に異議を申し立てるフレンドリー詐欺は見えません。被害者自身の近所から使われた盗難カードにフラグを立てることもできません。1 つの CGNAT アドレスの背後にいる 2 人の顧客を、助けなしに区別することもできません。これらの隙間があるからこそ、デバイスの認識、発行会社の認証、取引後のレビューが存在し、IP のリスクスコアリングが、判断そのものではなく、判断への説明可能な入力の 1 つとして設計されているのです。

決済試行ごとに 1 回のルックアップ

決済試行ごとに 1 回のルックアップで、オーソリゼーション前の全体像が返ります。connection_type と asn_type が、住宅やモバイルの顧客とデータセンターやホスティングのスクリプトを分けます。detection ブロックは、VPN、プロキシ、Tor、リレーの出口にフラグを立て、各フラグの背後にある proxy_type と anonymity_level も示します。geo ブロックは、BIN と住所の整合性チェック用に IP 側の国を返し、どこまで頼るべきかがわかる geo_confidence も付きます。is_cgnat は共有されたキャリアのアドレスを示すので、デクラインではなく緩和ができます。そして説明可能な 0 から 100 の不正スコアが、3-D Secure のルーティングにおけるフリクションレス、チャレンジ、ブロックの各帯に直接対応する recommended_action（allow、review、step-up、block）とともに届きます。すべてのフィールドが無料プランの 1 日 1,500 回のルックアップで使えます。決済フローに組み込む前に、API キーなしで任意の IP の不正スコアを確認できます。

決済不正検出スタックはネットワークから始める

この記事は地図であり、関連するガイドが地形です。しきい値の数字は、上でリンクしたアクション別しきい値のガイドにあります。アカウントセキュリティの入口はアカウント乗っ取りとクレデンシャルスタッフィングの検出で、異議申し立て側の効果はスタックの一覧にあるチャージバックのガイドで、10 分での導入は無料 API で IP 不正検出をアプリに追加するで扱っています。まずネットワーク層を構築してください。早く動かすほど安くなる、唯一の層です。

よくある質問

決済不正検出とは何ですか？

決済不正検出とは、取引の前、最中、後に事業者が実行するチェックの集合で、不正または欺瞞的な決済を捕捉するためのものです。盗まれたカードの使用、カードテスト、チェックアウトでのアカウント乗っ取り、フレンドリー詐欺が対象です。成熟したシステムは一枚岩ではなく多層です。ネットワークと IP のチェックが最初に走り、ベロシティとデバイスのシグナルが裏付け、3-D Secure のような発行会社の認証が中リスク帯を担当し、取引後のレビューとチャージバックの証拠でループを閉じます。

チェックアウトで最も重要な IP シグナルは何ですか？

仕事の大半を担うのは 4 つのファミリーです。接続タイプと ASN タイプ（データセンターやホスティングのレンジからの一般向けチェックアウトは、そうでないと証明されるまでスクリプトです）、匿名化のフラグ（決済ステップでの VPN、プロキシ、Tor）、地理的な整合性（IP の国とカード BIN の国と配送先住所）、そして IP とその IPv6 /64 プレフィックスをキーにしたベロシティ（1 つの発信元からの多数のカード試行はカードテストです）。いずれも文脈が必要です。キャリアグレード NAT と主流の VPN の利用は普通のことだからです。

カードテストとは何で、どう止めますか？

カードテスト（OWASP OAT-001 Carding）とは、ボットが盗まれたカード番号の大量リストに対して少額のオーソリゼーションを実行し、まだ有効なカードを見つける行為です。試行のたびにオーソリゼーション手数料がかかり、成功したものは後でどこかで実際の不正になります。IP で最も解決しやすい決済攻撃です。ボットはデータセンターのレンジやプロキシプールから、人間にはあり得ない頻度で動作するため、リクエストが決済プロセッサーに届く前に IP をスコアリングし、アドレス単位と /64 プレフィックス単位でレート制限をかければ、大半を排除できます。

3-D Secure は不正検出の代わりになりますか？

いいえ。3-D Secure は、認証された取引の不正責任をカード発行会社に移す認証レイヤーで、そのリスクベースのフローは、豊富なシグナルを受け取るほどよく機能します。すべてにチャレンジすればコンバージョンを失い、何にもチャレンジしなければ責任を負い続けます。実用的なパターンは、IP インテリジェンスを含む自社のリスクスコアリングで、どの取引を 3-D Secure のチャレンジに回し、どれをフリクションレスで許可し、どれをオーソリゼーション前にブロックするかを決めることです。

チェックアウトで VPN ユーザーをブロックすべきですか？

自動的にはブロックしません。インターネットユーザーのおよそ 4 人に 1 人が、主に正当なプライバシーのために VPN を使っているので、VPN のフラグだけでハードブロックすると、本物の売上を断ることになります。通常の VPN のフラグは、3-D Secure のチャレンジに注文を回すなどの追加検証を加える理由として扱い、ハードブロックは、Tor 出口や既知の不正 IP が、地理的な不一致や高いベロシティなどのほかのリスクシグナルと重なるような、裏付けのあるケースに限ってください。