.png)
グローバルビジネスにおいて、クロスボーダー決済は、一度のクリックで完結することはほとんどありません。財務チームは、支払指示の受領、受取人情報の確認、取引の承認、通貨の両替、そして金融機関を通じた送金の実行といったプロセスをこなす必要があります。関与する人数、システム、管轄区域、通信経路が増えるたびに、エラーや不正な指示がプロセスに入り込むリスクが高まります。
このため、決済セキュリティは単なるITの問題ではなく、運用上の課題となります。
クロスボーダー取引は、複数の当事者、通貨、管轄区域、金融機関が関与するため、特に慎重な対応が求められます。詐欺師は必ずしも決済システムに直接侵入する必要はありません。彼らは、正当なビジネスプロセスを操作し、権限を持つ従業員に資金を意図しない宛先へ送金させる手法をとることがあります。
財務チームにとっての目的は、国際送金を避けることではなく、それらに対する管理体制を強化することです。
本ガイドでは、クロスボーダー決済における一般的な詐欺の手口、企業が認識すべき警告サイン、リスクを軽減するための内部統制、そして規制対象の金融サービスプロバイダーを評価する際に考慮すべき点について解説します。
クロスボーダー決済には、不正行為の特定を困難にするいくつかの特性が組み合わさっています。
国際取引では、異なる通貨、受取金融機関、管轄区域、決済経路、そして社内の承認プロセスが関与します。こうした多層的な構造が運用上の複雑さを増し、支払指示が操作される機会を生み出します。
リスクは単にプロセスのステップ数にあるのではありません。各ステップに適切な検証および承認の管理体制が備わっているかどうかが重要です。
決済詐欺は、正当なビジネスプロセスが操作された際に発生します。根底にある商取引関係は本物であり、取引は社内で承認され、決済自体も通常の業務と一致しているように見える場合があります。しかし、重要な決済情報が改ざんされている可能性があるのです。
そのため、決済セキュリティは最終的な取引だけに焦点を当てるのではなく、決済ワークフロー全体をカバーする必要があります。
FBIは、ビジネスメール詐欺（BEC）を、正当な送金依頼に関与する企業や個人を標的とした詐欺の一形態と定義しています。これには、ビジネスメールアカウントの乗っ取り、ソーシャルエンジニアリング、あるいはコンピュータへの不正侵入などが含まれ、結果として不正な送金が行われます。
したがって、最大の脅威は必ずしも一目で怪しいとわかる決済ではありません。
誤った情報に基づいて実行される、正当な決済プロセスそのものが脅威となり得るのです。
主な詐欺のパターンを理解することは、企業が適切な管理体制を構築する助けとなります。
ビジネスメール詐欺（BEC）
ビジネスメール詐欺とは、正当なビジネス上のやり取りを操作し、送金を促したり機密情報を入手したりする手口です。
BECには、なりすまし、メールアカウントの乗っ取り、ソーシャルエンジニアリング、その他のアカウント侵害の手法が含まれます。その目的は、多くの場合、不正な指示を既存のビジネスプロセスに紛れ込ませるために、十分に正当なものに見せかけることにあります。
FBIは、口座情報の変更を伴う依頼を確認する際には、別の通信手段や追加の認証を用いることを推奨しています。
請求書詐欺
請求書詐欺とは、正規の買掛金処理プロセスに、不正または改ざんされた支払い関連書類が紛れ込むことを指します。
リスクは請求書が本物に見えるかどうかだけにとどまりません。企業は、支払先が登録済みのサプライヤー情報と一致しているか、また、その取引が社内の承認管理プロセスを適切に通過しているかを確認する必要があります。
受取人または支払指示の改ざん
受取人情報の変更は、資金の送金先に直接影響するため、特に注意が必要です。
支払指示の変更が正当なものである可能性もありますが、新しい情報を使用する前に、必ず独立した手段で確認を行うべきです。
企業は、変更の通知を受けた通信手段のみに頼るのではなく、受取人情報の変更を検証するための明確な手順を確立する必要があります。
アカウント乗っ取り
アカウント乗っ取りとは、第三者が支払いプロセスで使用されるアカウント、システム、または通信チャネルに不正にアクセスすることを指します。
一度アクセス権を奪われると、攻撃者は正規のワークフロー内で活動できるため、不正行為の検知が困難になる可能性があります。
そのため、企業は認証管理に加え、アクセス管理、職務分掌、取引監視、および適切なユーザー権限の設定を組み合わせる必要があります。
ソーシャルエンジニアリングとなりすまし
支払い詐欺は、必ずしも技術的な侵入を伴うとは限りません。
ソーシャルエンジニアリングは、従業員を心理的に操り、通常であれば正当な業務と判断されるような行動をとらせようとします。これには、権威の利用、緊急性や機密性の強調、その他の行動心理的な要因が関与します。
したがって、支払い管理体制は、プレッシャーのかかる状況下での個人の判断に依存しない仕組みとして設計されるべきです。
支払い詐欺を完全に排除できる単一の管理策は存在しません。効果的な保護には、複数の管理策を連携させることが不可欠です。
実践的なフレームワークは以下の通りです。
検証 → 承認 → 認証 → 監視 → 対応
1. 支払指示を独立した手段で検証する
受取人情報の変更は、独立した通信チャネルを通じて確認する必要があります。
確認プロセスでは、変更依頼自体に含まれる情報ではなく、企業がすでに保有している信頼できる連絡先情報を使用してください。
原則は単純です。支払い変更依頼が届いたのと同じ通信チャネルを使用して、その依頼の確認を行わないでください。
FBIおよびIC3は、口座情報や支払い指示の変更について、独立した確認を行うことを推奨しています。
2. 支払いの準備と承認を分離する
支払い情報を準備する担当者が、必ずしもその支払いを実行する唯一の権限者である必要はありません。
企業は、受取人との関係、管轄区域、通貨、取引プロファイル、その他の関連要因など、取引のリスク特性に応じて承認要件を設けることができます。
取引が設定されたパラメータから外れる場合には、追加の審査を必須とすることができます。
3. 認証を強化する
パスワード保護のみでは、機密性の高い金融業務において十分とは言えません。
企業は、支払いシステムが適切な認証、ユーザー権限、およびアクセス管理制御をサポートしているかどうかを評価する必要があります。
多要素認証を導入することで、支払い業務に関わるアカウントやシステムにさらなる保護層を追加できます。
内部アクセスについても「最小権限の原則」に従うべきです。従業員には、支払い環境全体への無制限なアクセス権を与えるのではなく、各自の職務に必要な支払い機能へのアクセス権のみを付与してください。
4. 取引の異常を監視する
取引監視を行うことで、確立されたビジネスパターンとは異なる動きを特定しやすくなります。
企業は、以下の変更を監視することを検討すべきです。
* 受取人情報
* 支払い先
* 取引金額
* 通貨
* 取引頻度
* 取引タイミング
* 承認パターン
* ユーザーアクセス権限
* 支払い指示
異常な取引が直ちに不正を意味するわけではありません。企業の定めるリスクフレームワークに基づき、適切なレベルの調査を行うきっかけとして活用してください。
5. 明確なインシデント対応プロセスを維持する
不正な送金が確認された場合、直ちに対応を開始する必要があります。
FBIおよびIC3は、不正送金が発覚した際は速やかに関係金融機関に連絡し、対応を依頼することを推奨しています。また、企業は関連する取引記録を保存し、適用される報告およびエスカレーション手順に従う必要があります。
インシデント対応プロセスは、事態が発生する前に確立しておくべきです。
プロセスには以下を定義しておく必要があります。
* 不正な支払いの疑いがある場合にエスカレーションを行う権限を持つ者
* 金融機関への連絡担当者
* 社内のエスカレーション調整担当者
* 関連記録の保存担当者
* 該当する場合、規制当局や法執行機関への報告を誰が管理するか
* 侵害の発生源を誰が調査するか
決済不正への対応は、その場しのぎの反応ではなく、確立されたビジネスプロセスであるべきです。
内部統制は決済セキュリティの一部に過ぎません。取引を支える金融機関や決済プロバイダーの信頼性も重要です。
海外金融サービスプロバイダーを評価する際、企業は送金スピードや手数料だけでなく、それ以上の点に目を向ける必要があります。
規制上のライセンス
規制を受けている金融機関や決済プロバイダーは、定められた規制の枠組みの中で運営されています。
企業は以下の点を確認すべきです。
* どの法人がサービスを提供しているか
* どの規制当局がその法人を監督しているか
* どのようなライセンスや登録を保持しているか
* そのライセンスがどの業務をカバーしているか
* そのライセンスがどの管轄区域に適用されるか
複数の市場で事業を展開するプロバイダーは、管轄区域ごとに異なる法人を使用する場合があります。そのため、企業は実際に契約する法人と、提供されるサービスに適用される規制の枠組みを評価する必要があります。
顧客デューデリジェンス
顧客デューデリジェンスは、より広範な金融犯罪コンプライアンス体制の重要な一部です。
企業は、プロバイダーが顧客の特定、検証、実質的支配者の確認、事業活動、および継続的なリスク評価にどのように取り組んでいるかを理解しておく必要があります。
FATF（金融活動作業部会）勧告は、顧客デューデリジェンスの要件を含む、マネーロンダリングおよびテロ資金供与のリスクに対処するための国際的な枠組みを定めています。
したがって、体系的なオンボーディングプロセスは、プロバイダーが負うより広範な規制上およびコンプライアンス上の義務という文脈の中で理解されるべきです。
AML（アンチマネーロンダリング）および取引モニタリング
アンチマネーロンダリング（AML）管理は不正防止と同一ではありませんが、より広範な金融犯罪管理環境の一部を構成しています。
企業は、プロバイダーが以下の項目にどのように取り組んでいるかを理解しておく必要があります。
* 顧客スクリーニング
* 取引モニタリング
* 不審な活動の特定
* 制裁遵守
* リスクベースのデューデリジェンス
* エスカレーションおよび調査
FATF（金融活動作業部会）は、サイバー犯罪による不正とマネーロンダリングのリスクとの関連性についても指摘しています。
決済の透明性
資金が国境を越えて移動する際には、明確な決済情報が重要となります。
FATFによる決済の透明性に関する取り組みは、クロスボーダー決済に伴う情報を強化し、不正や誤りを防ぐための措置を導入することを目的としています。
企業にとって、決済の透明性を高めることは、決済上の問題が発生した際の照合、照合確認、取引モニタリング、および調査をサポートすることにつながります。
マルチリージョン対応
グローバル企業は、それぞれ異なる規制枠組みが適用される複数の市場で事業を展開している場合があります。
したがって、重要な問いは単に次のようなことではありません。
このプロバイダーは規制を受けているか？
企業は以下の点も明確にする必要があります。
どの法人が、どの規制枠組みの下で、どの管轄区域においてサービスを提供しているのか？
これらの関係性を理解することで、企業はプロバイダーの規制構造が自社の運営要件に適しているかどうかを判断できるようになります。
規制は不正が絶対に発生しないことを保証するものではありません。それは、より広範なリスク管理フレームワークの一要素に過ぎません。
企業は、以下を含むいくつかの要素を総合的に検討する必要があります。
重要なのは、規制によって不正が排除されるわけではないという点です。
重要なのは、規制上のステータスが、企業が金融サービスプロバイダーを評価するための基準となる枠組みを提供しているという点です。
企業は引き続き、独自のデューデリジェンスを実施し、契約条件を理解した上で、適切な社内決済管理体制を維持する必要があります。
KVB Globalは、国際市場で事業を展開する企業向けに、クロスボーダー金融インフラを提供しています。
主なサービスには、グローバル口座、 グローバル回収、 グローバル送金、 外国為替（FX）ソリューション、その他国際的なビジネス運営を支援するための金融インフラが含まれます。
KVB Globalは、サービス提供地域の適用規制枠組みに従い、各法人が運営を行っています。クロスボーダー金融パートナーを検討する際、その法人の法的地位や規制枠組みを理解することは、プロバイダーを評価する上で重要な要素となります。
KVB Globalは、クロスボーダー金融インフラと、各運営市場に適用されるコンプライアンスおよび規制要件を組み合わせたアプローチを採用しています。
ただし、決済の安全性は共有責任です。規制を受けたプロバイダーであっても、企業の社内承認プロセス、従業員教育、受取人確認、アクセス制御、インシデント対応プロセスを代替することはできません。
グローバル企業にとって、強固な内部統制と、法的地位、規制状況、コンプライアンス体制を独立して評価できる金融パートナーを組み合わせることが、より確実なアプローチとなります。
1. クロスボーダー決済詐欺とは何ですか？
クロスボーダー決済詐欺とは、犯罪者が国際的なビジネス決済を操作または侵害し、意図しない承認や、意図しない受取人へ資金が送金されるようにする行為です。一般的な手口として、ビジネスメール詐欺（BEC）、請求書詐欺、受取人情報の改ざん、アカウント乗っ取り、ソーシャルエンジニアリングなどがあります。
2. 企業はどのようにして決済情報の変更を確認できますか？
変更依頼を受けたチャネルとは別の、信頼できる通信チャネルを通じて、独立した確認を行う必要があります。確認の際は、変更依頼に含まれる情報ではなく、あらかじめ登録されている連絡先情報を使用してください。
3. 規制を受けた決済プロバイダーを利用すれば、決済詐欺を防げますか？
いいえ。規制によって詐欺のリスクが完全になくなるわけではありません。規制を受けたプロバイダーは適用される規制や監督要件に従って運営されていますが、企業側でも従業員のアクセス権限、決済承認、受取人確認、取引モニタリングに関する独自の管理体制を整える必要があります。
4. 海外送金プロバイダーを選ぶ際、企業は何を確認すべきですか？
企業は、プロバイダーの法人格、規制上のステータス、適用される管轄区域、顧客デューデリジェンスの手順、AML（アンチマネーロンダリング）体制、取引監視、支払い管理、および疑わしい取引や不正取引への対応手順を確認する必要があります。
出典：
1. https://www.ic3.gov/CrimeInfo/BEC
2.https://www.fbi.gov/how-we-can-help-you/common-frauds-and-scams/business-email-compromise
3.https://www.fatf-gafi.org/en/publications/Methodsandtrends/cyber-enabled-fraud-digitalisation-ml-tf-pf-risks.html
免責事項：
本記事は一般的な情報提供のみを目的としています。財務、投資、法律、税務、会計、その他専門的なアドバイスを構成するものではなく、またそのように依拠すべきではありません。本記事のいかなる内容も、金融商品、決済サービス、または取引の購入、売却、締結を申し込むもの、勧誘するもの、推奨するもの、または招待するものではありません。
為替レート、手数料、送金ルート、送金時間、決済方法、および製品機能に関する情報は、あくまで例示です。実際のレート、コスト、送金時間、および送金結果は、取引金額、通貨、送金経路、市場環境、締め切り時間、受取銀行、中継銀行、適用される法律や規制、コンプライアンスチェック、顧客の適格性、および関連するサービス規約によって異なる場合があります。
為替予約取引は法的拘束力のある契約であり、すべての企業や取引に適しているとは限りません。適用される取り決めによっては、信用審査、担保や証拠金の要件、決済義務、早期解約費用、その他の契約上の責任を伴う場合があります。基礎となる商取引が変更されたり、実行されなかったりした場合でも、企業は為替予約を決済する義務を負う可能性があります。
取引を開始する前に、ビジネスの目的、財務状況、業務上の要件、およびリスク許容度を検討し、必要に応じて独立した専門家のアドバイスを受けてください。過去のパフォーマンス、履歴データ、および例示は、将来の結果を保証するものではありません。
