セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

巧妙化を極めるフィッシング詐欺などの犯行に対し、従来のルールベースによる検知は限界を 迎えつつありました 。auじぶん銀行が導き出した答えは、国内でも類を見ない「不正送金対策としてへのAIを組み込む」という決断でした 。 誤検知を劇的に削減し、顧客の利便性とセキュリティをいかに両立させたのか 。プロジェクトを牽引したリスク管理本部の小玉尚史氏に、導入の背景から「赤ちゃん」と表現するAIの育成、そして成功の鍵を握る組織カルチャーまで、その舞台裏を詳しく伺いました 。 インタビューに答えていただいた方のプロフィール 小玉 尚史様（コダマ ナオフミ） リスク管理本部 副本部長 ※※ご所属・肩書、2026年4月6日掲載時点 AI導入の背景と限界 ーーまず、不正送金対策や不正検知の高度化が必要になった背景を教えてください。従来の仕組みでは、どこに限界があったのでしょうか。 小玉氏： 当社ではコンプライアンス統括部が、金融犯罪対策を含め所管しています 。AI導入の背景としては、やはり従来の「ルールベースでの振り込み保留」に限界を感じたためです 。 多くの銀行が利用しているルールベースのシステムでは、犯人の手口が日々巧妙化する中で、銀行員の知見だけで考えてルールをチューニングしていてもなかなか追いつきません 。 そこで、ラック社のAIソリューションをPoC（概念実証）で利用し、成果が出たため組み込みを決定しました 。 ーーAI活用を検討するにあたり、自社開発ではなく外部サービスの活用を選んだ理由は何でしたか。 小玉氏： マーケットを見渡しても、振り込みの領域においてAIを導入している実績がそもそもほとんど見当たりませんでした 。そのため、ラック社を含めて「そもそもPoCができるのか」「我々が期待するようなストラクチャリングができるのか」を入念に協議させていただき、選定を進めました 。 現行システムの深堀と導入プロセス ーー不正送金対策AIとして複数ソリューションを比較検討したと思いますが、選定の決め手や評価軸を教えてください。 小玉氏： 最終的な「AIの性能（検知・誤検知の割合）」を見るのはもちろんですが、先程も申し上げたとおり、「振り込みにAIを組み込んで保留する」という事例がほぼありませんでした 。そのため、AI導入のファンダメンタルな実績、銀行への導入実績、そして各種銀行取引におけるPoC実績があるかといった点を主軸に選ばせていただきました 。 ーーPoC段階ではどのような検証を行い、困難だった点は何でしたか？ 小玉氏： 当社では昨年5月にルールベースの振り込み保留を入れ、12月にAIでの振り込み検知を入れるという2段階を踏みました 。 AIに取り込む犯罪データについて、学習させる期間や犯罪種別の選定に時間をかけました 。 また、システム的に「勘定系からデータを持ってくると負荷がかかる」「認証系から取ろうとするとどうなるか」といった、データ取得元の選定範囲を広げすぎず、かつ最大化するという調整も工夫した部分です 。 ーーAIモデルを本番運用で稼働させるために、システム連携やリアルタイム性の確保で最も苦労した点は何ですか。 小玉氏： 性能面に関して特に注意し、計画段階から慎重に対応しました 。応答時間が長くなると顧客満足度の低下にもつながります 。振込処理は、ただでさえ多くの処理が組み込まれており、性能の悪化が懸念されました 。 その点は経営層も気にかけていたため、プロジェクトの初期段階からプロトタイプでの性能検証を実施し、応答時間が目標値以内に収まっているかを確認しながら進めました 。 また、少しでも処理速度を向上させるためにデータの加工や分岐処理などは基本的に既存システム側で対応し、AIサービス側は判定処理に注力させる、といった工夫を行いました 。 効果や誤検知との戦いとAIの育成 ーー振込保留件数を劇的に削減（例：98%減）された成果の裏で、見逃しとのバランス調整はどう行っていますか？ 小玉氏： 効果は非常に大きく、具体的な数字では申し上げる事は出来ませんが、概念的に例えると1日10万件の振り込みに対して、ルールベースでは1,000件ほど止めていたとすれば、AIを導入する事により誤検知を一桁台の件数にまで減らすことができました 。 ただ、導入時のAIが学習しているデータは、過去の限定的なフィッシング発生時のデータです 。金融犯罪には様々な種類があり、フィッシングの特徴だけを取り込んでも他の手口には対応できません 。初期のAIは「これからお勉強していく赤ちゃん」のような状態だったと思います 。 ーーその「赤ちゃん」のAIをどのように実運用でカバーしているのでしょうか？ 小玉氏： 現在、導入後初めてのAIの再学習（フィッシング以外の不正送金手口の追加）を行っています 。 それ以外でも、AIがまだ検知できない手口の発生も想定し、システム上で「ルールベースとAIの比率を自由に設定できる」ような開発も完了しています 。 先行導入済みのルールベース閾値は短時間で速やかに再調整できる仕様にもしており、AIがカバーしきれないユニークな手口が発生した際は、ルールベース側で閾値を変更することでAI再学習前でもすみやかにリカバリーできる体制をとっています 。 フィッシングによる不正送金対策に限れば、振込保留以外の多くの対策も実施したため、この数年は当社においては大きな被害は出ていない状況です 。 ーー誤って止められた正常な取引に対する、ユーザーへのフォロー体制はどう設計していますか？ 小玉氏： 大半の正常な振り込みは止められることなく、そのまま実行されます 。 一時的振り込みを保留する場合、リスクが一定以下のものは「OTP（ワンタイムパスワード）による追加認証」、 リスクが一定以上のものは「当社のコールセンターにお電話をいただいて直接本人確認をさせていただく」という動線にしています 。 当社はインターネット専業銀行ですので、メガバンクさんのように支店などの実店舗はありません 。 コールセンターのキャパシティも無限ではありませんから、お客さまに不便をおかけしないようにコントロールしています 。 AIへのサプライチェーン攻撃対策 ーーAIへのサイバー攻撃や脆弱性の悪用などサプライチェーン攻撃リスクへの対応方針を教えてください。 小玉氏： 犯罪への対策は、今回の振り込み保留以外にも多くの対策を多層的に行っています 。 BCP(事業継続計画)の観点では、万が一ラック社側のAIが止まったとしても、当社のルールベースの判定は動き続けることができる仕様となっているため、全ての機能が停止するわけではありません 。 組織のAI導入と今後の展望 ーーauじぶん銀行では、不正送金対策以外にも、AIを用いた顧客提案や業務改善を進めていますが、全社でAI活用を横展開する際の共通原則はありますか。 小玉氏： リスク部門・ガバナンス部門にてAI利用に関する規程を策定し、共通原則のもと利用者が安心してAI活用を推進できる環境を整えています 。併せてグループ会社間で連携・協調しながら、各業務の特性に応じて規程および運用の継続的な高度化を図っています 。 ーーそもそも銀行での対顧客に影響するAI導入自体が珍しいのですが、新規技術の取り込みが奨励される組織的なカルチャーがあるのでしょうか？ 小玉氏： 当社の場合はインターネット専業銀行であり、経営陣を含めた社員はITのバックボーンも持ち、新しいシステムの活用などに対するリテラシーが高いことが大きいです 。 現場からの「PoCの結果がどうなるかは分からないが、まずは検証をしてAIを入れていきたい」という提案に対しても、頭ごなしに否定するのではなく「ぜひやってみてほしい」と後押しされるカルチャーがあります 。 ーーauじぶん銀行として、次に強化したいAI活用領域があれば教えてください。 小玉氏： 事業拡大や業務効率化等により要望の多いシステム開発の効率化や、顧客行動や社会情勢等の市場動向への柔軟な対応が必要となるローン審査のAI活用などです 。AIによる高度化・効率化の範囲・効果は極めて大きく、全社の各業務領域で注力・強化すべきと考えています 。 ーー最後に、AIをセキュリティ運用へ取り入れたい企業へ、メッセージをお願いします。 小玉氏： 会社のカルチャーや考え方の観点で、「経営陣がAIについて理解をしていて、会社としてしっかりと取り込むべきもの」という強いリーダーシップが重要です 。経営陣がAIに対する理解を示し、きちんとした目的をもって「全社で取り組む」という姿勢を見せなければ、現場での本格導入は進みません 。「なんでもいいからとりあえずAIを入れる」という目的不在の進め方は避け、何のための導入なのかを明確にすることが成功の鍵だと思います。 謝辞 従来のルールベースの限界を認め、AIという新たな武器を手に不正送金対策を劇的に進化させたauじぶん銀行 。その導入プロセスから運用の工夫、そして次なる展望まで、多岐にわたる知見を共有いただきました 。 また、同広報部の三田様にも早急にインタビュー調整を頂きました。 皆様多忙の中ご協力いただき、心より御礼申し上げます。 なお、本記事の編集方針・記述の最終的な責任は合同会社ロケットボーイズ(セキュリティ対策Lab)にあります。

ブログ