サイバー攻撃が増えており、その対策が課題となっていました。

サイバー攻撃は年々、その方法が多様化・複雑化しています。
その中でも、特に頭を悩ませていたのが「リスト型攻撃」です。リスト型攻撃はDos攻撃と違い、IPアドレス制限やWAF（Webアプリケーションファイアウォール）では完全に対応することはできません。

なぜなら、リスト型攻撃は「正しいアカウントとパスワード」でログインを試すため、通常のログインと判別しにくいからです。

リスト型攻撃を防ぐ作業に工数を取られ、対策としてツールの導入を検討することになった時に「O-MOTION」を知りました。

そうですね。専用のツールを導入して「リスト型攻撃を対策しなければ」と考えていました。

ここでいう「リスト型攻撃が成功した」とは、「お客様のアカウントにログインできてしまった」という意味です。「決済自体を防げればいい」という意味ではありません。

アカウントへのログインを許した時点で個人情報が漏洩しており、攻撃者からさらに個人情報がばらまかれる可能性があるのです。

はい。「お客様の個人情報が漏洩しても、補償をすれば済む」などという簡単な話ではありません。

また、お客様にご迷惑をおかけするだけでなく、オルビスのブランドイメージ失墜につながり、信用問題に関わります。
個人情報に限った話ではありませんが、お客様に対して「常に誠実であるべき」というのがオルビスの考え方です。

同様のツールがあまり見当たらなかったため、おもにGoogle ReCAPTCHA（リキャプチャ）と比較検討をおこないました。その結果、O-MOTIONを選んだ大きな理由は以下の3点です。

1.お客様の大切な個人情報を守れること
2.コンバージョン率を下げないこと
3.ノウハウを持つ専門人材によるサポートがあること

「お客様の大切な個人情報をしっかり守れる」のが一番の条件でした。

リスト型攻撃の対策として、最初に候補に挙がったのがリキャプチャです。「悪意ある攻撃を防ぐ」という部分では、リキャプチャの機能で十分だと思います。

しかしリキャプチャはグーグルが提供するサービスであり、「ユーザーの情報がグーグル広告のパーソナライズなどに利用されるのでは？」といった心配の声もあります。

お客様の個人情報を想定外の方法で利用されるのは、私たちの本意ではありません。

その点、O-MOTIONを提供するかっこさん（当社）は、セキュリティ専門のベンダーです。個人情報を広告利用される心配などはないと思い、安心して導入を決められました。

「コンバージョン率（CVR）を下げない」ことも大切な条件のひとつでした。

「注文の過程でお客様に負担をかけたくない」と同時に、「そのせいでCVRが下がってしまうのも避けたい」と考えていました。

例えば、多要素認証（※）を実施するとセキュリティは強化できます。しかし、お客様に認証が面倒だと思われたら、そこで注文をやめてしまうかもしれませんよね。

・知識情報（例：パスワード、秘密の質問）
・所持情報（例：キャッシュカード、スマホに発行されるワンタイムパスワード）
・整体情報（例：指紋認証、顔認証）

の3つの情報のうち、2種類以上の要素で認証することを「多要素認証」と言います。

その点、O-MOTIONはお客様に何か操作を要求することはありません。
「キーボードやマウスの操作情報から人間かプログラムかを判別する」といった当社独自の技術で不正アクセスを検知していますので、お客様が注文する操作は今までと何も変わりません。

お客様に負担をかけることがないため、コンバージョン低下を抑えやすいことも、大きな理由でした。

「ノウハウを持つ専門人材が、ツール運用をサポートしてくれる」というメリットが大きかったです。

リスト型攻撃の対策ツールを探していく中で、「そもそもツールを自社で運用できるのか」という懸念がありました。ツールを運用していくためには、セキュリティ関連のノウハウを持つ専門人材が必要だと感じたのです。

おっしゃる通りです。例えばグーグルの場合「リキャプチャというサービスを提供するので、自由に使ってください」というスタンスになっています。

実際にGoogle社へのサポートへ問い合わせしたり、取引先ベンダーにも相談したりしてみましたが、チューニングを含めた運用ノウハウを持っているベンダーはいませんでした。

その点、かっこさんは「ツールをどんな風にチューニング（調整）すればいいのか」といった、実際の運用段階での相談もできるためとても助かりました。

また、実際のチューニングの方針も、O-MOTIONの有償トライアルを実施し、提出してもらったレポートを検証して決定しています。

「どれくらいの不正アクセスが発生しているのか」といった検証に必要な情報を伝えてもらい、一緒に分析・運用していけるかっこさんは、とても心強い存在です。

「サイバー攻撃による個人情報の漏洩」といった事故はもちろん起きていませんので、しっかりとサイバー攻撃を防げていると評価しています。

引き続き、コンバージョンとセキュリティのバランスを考えつつ、かっこさんと相談しながらチューニングしていきたいと思います。

O-MOTIONのトライアルをおこなっております。

詳しくはトライアル申込みページをご確認ください。

トライアル受付中

ありがとうございます。オルビスはECを20年以上運営しており、「お客様視点」を大切にビジネスをおこなっています。

先ほどもお話ししましたが、「決済さえできなければ大丈夫」と考えるのは企業側のひとりよがりな考えです。お客様の視点で考えなければなりません。

「お客様の個人情報を守りつつ、認証などの手間をかけない」という2つの視点を両立させるために、O-MOTIONは最適なツールですね。

セキュリティ人材の確保は手間もコストもかかるため、これからO-MOTIONを導入する企業は、かっこさんのサポートに頼るのもひとつの方法だと思います。