メインコンテンツへスキップ
ShieldID

フィンテック・融資

米国のフィンテックおよび貸金業者向けのKYCの証拠

ブラウザーまたはアプリで動作するローン申込者の本人確認です。借り物の本人情報や合成された本人情報を審査に進む前に見つけ出し、すべてのチェックを、規制当局や監査人に提出できる記録として残します。パブリッククラウドではなく、カナダにある自社サーバーで稼働します。サンドボックスのセッションは課金されません。

課題

デジタルオンボーディングは速い。不正はそれよりさらに速い。

数分で承認する融資商品には、それに追随できる本人確認が必要です。しかも、手作業の審査待ちに陥ることのないものでなければなりません。

申込内容は問題なさそうに見える

氏名、生年月日、住所、社会保障番号が、書類上はすべて問題なく見えます。しかしその裏にある書類は、盗まれたか購入された本人情報であるか、複数の実在の人物の情報をつなぎ合わせた項目で構成されています。

手作業の審査待ちが増えていく

自動では処理できない申込みはすべて、人が PDF を開き、顔写真付き ID を目を凝らして見て、推測することになります。時間がかかり、審査担当者ごとにばらつきがあり、マーケティング費用の増加にも対応できません。

規制当局は後から問い合わせてくる

融資の実行から数か月後、借り手の本人確認がどのように行われたのかを問われることがあります。「免許証の写真を見ました」は、コンプライアンス責任者が二度も口にしたくない回答です。

具体例

午後 11 時 40 分に申し込まれた 15,000 ドルの個人ローン

フローの流れを示すためのフィクションです。実在の申込者、貸金業者、融資は一切関係ありません。

  1. 申込み

    Aisha さんは、スマートフォンで貸金業者のサイトから融資の申込みを完了します。フォームでは氏名、生年月日、住所の入力が求められ、その後、それらの情報を照合用の期待値として添えた状態で、ShieldID のホスト型検証ページに引き継がれます。
  2. キャプチャ

    Aishaはカリフォルニア州の運転免許証の表と裏を撮影し、続いて短い自撮り動画を撮影します。PDF417バーコードと印字された顔写真が読み取られて相互に照合され、両者の不一致は平均化されて消されることなく、フラグが付けられます。
  3. ライブネスと照合

    まばたき、振り向き、中央に戻るというガイド付きのチャレンジを、複数フレームにわたり478点の顔ランドマークで追跡するため、写真、録画、マスクは通過できません。その後、ライブの顔を証明書の顔写真と比較し、固定された判定基準に照らして報告します。
  4. 不正の兆候

    セルフィーに対してはなりすまし対策、ディープフェイク、3D マスクの各チェックが、ID に対しては書類の改ざんスコアリングが実行されます。各結果は単一の不透明なスコアにまとめられることなく個別に返されるため、審査担当者は何が確認でき、何が確認できなかったかを正確に把握できます。
  5. 判断と、その記録

    ShieldID は、フィールドごと・チェックごとの判定結果を、署名付き webhook で貸金業者のシステムに返します。融資への対応は、貸金業者自身のルールエンジンが決定します。検証内容(すべてのチェック、結果、開始者)はアクティビティ台帳に記録されます。ID 画像は既定の 7 日間のタイマーで自動的に削除されますが、何が行われたかの記録は残ります。

融資で最も重要なこと

審査チームが実際に頼りにするチェック

以下のチェックはすべて、あらゆる検証で実行されます。有料プランで有効にし忘れるようなものはありません。

書類検証

米国の運転免許証および州発行IDを表裏の両面から読み取り、パスポートは機械読取領域(MRZ)から読み取ります。対応範囲は50州すべて、コロンビア特別区、米国の5つの準州、米国国務省の外交官IDで、発行管轄は合計57にのぼります。そのため、どの州の申請者であっても、入り口で弾かれることなく項目ごとに読み取られます。

クロスチェックされたデータ抽出

氏名、生年月日、住所は、申込者がローンフォームに入力した内容と照合されます。申込内容と ID の不一致は、まさに合成身元の組織が生み出すタイプのシグナルであり、要約スコアに埋もれることなく、独立したフィールドとして報告されます。

顔照合とライブネス

ID 上の顔は、ガイド付きのライブネスチャレンジのもとで、申込者自身のスマートフォンで撮影されたライブの顔と照合されます。これにより、借りものや購入した身元書類が、その持ち主ではない人物に使われるのを防ぎます。

不正シグナルを毎回確認

なりすまし対策、ディープフェイク、マスク、書類改ざんのチェックは、すべてのセッションで実行され、個別に報告されます。そのため、審査担当者は単一の合否判定ではなく、どのシグナルがフラグを立てたのかを具体的に確認できます。

アクティビティ台帳

すべての検証、サインイン、エクスポートは、データベースによって強制される追記専用の記録に残されます。これは、監査のために後付けしたものではなく、ファイルの証跡そのものです。

ウォッチリストスクリーニング

OFACを含む主要リストに対する制裁・ウォッチリストのチェックは、本人確認と併せてアカウント単位のアドオンとしてご利用いただけます。AMLの管理策の一部として必要とするプログラム向けです。
Add-on

紛争や監査に備えて

判断が問われるとき、最初に答えるのは台帳です

融資ファイルが再び開かれることがあります。借り手が謝絶に異議を申し立てる、検査官が四半期分の申込みを抽出する、内部監査が誰が何に関与したかを尋ねる、といった場面です。アクティビティ台帳は、その対話の出発点となります。

データベースによって強制される追記専用の仕組み

エントリは追加できますが、編集も削除もできません。お客様のチームも ShieldID も同様です。これは、誰かがこっそり覆せる運用ルールではなく、データベース自体の特性です。

誰が、いつ行ったか

すべてのエントリには、実行者(人または API キー)、操作、結果、タイムスタンプが記録されます。そのため、「誰がこの申込者を検証し、エンジンが何を報告したか」という問いに、推測による再構築ではなく、直接答えることができます。

検索・絞り込みが可能

実行者、操作、結果、日付範囲で絞り込めるため、コンプライアンスレビューや借り手の異議申立てに必要なエントリだけを取り出せます。すべてをエクスポートして手作業で黒塗りする必要はありません。

現在、台帳には、成功および失敗した本人確認の結果、サインイン、APIキーのアクティビティ、監査エクスポートが記録されます。ID画像ごとの閲覧・ダウンロードイベント、専用の判定イベント、パージ受領記録、チーム向けのセルフサービスCSVエクスポートは、近日公開予定です。

連携オプション

申込みを受け付けている場所にそのまま組み込めます

多くの融資チームは、通常であれば書類のアップロードを求める時点でホスト型フローから始め、件数が増えた段階で API に移行します。

ホスト型認証ページ

ローンの申込みが送信されたら、申込者をブランドを適用した ShieldID のページへ誘導します。申込者はご自身のデバイスで検証を行い、結果が付与された状態で、お客様のリターン URL に戻ります。

署名付きwebhook

HMAC-SHA256 で署名されたコールバックにより、結果が出た時点で審査システムに通知されます。エンドポイントが一時的に利用できない場合も自動的に再試行されるため、判断がポーリングを待って止まることはありません。

ひとつのREST API

セッションの作成、ステータスの確認、完全な結果の取得。申込者向けのフロー全体をわずかなエンドポイントでカバーするため、最初の連携は数か月のプロジェクトではなく、1 日の作業で済みます。

Sandbox、課金は一切なし

審査システムとの連携の構築とテストは、sandbox セッションで無料で行えます。本番セッションが返すものと同じフィールドとイベントが使われるため、実際の申込者が一人も通過しないうちに確認できます。

率直にお伝えします

融資基盤における ShieldID の役割と、そうでないもの

フィンテックのご担当者から必ず聞かれる点ですので、はっきりお伝えします。

ShieldID は本人確認のレイヤーです

ShieldID が得意とする問いは一つです。それは、この人物が実在し、本人自身の本物の政府発行 ID を持っているか、という点です。審査ルール、信用情報機関への照会、お客様独自の不正モデルを置き換えるものではなく、それらの下支えとして機能します。

ウォッチリストスクリーニングはアドオンです

OFACを含む制裁・ウォッチリストのチェックは、追加をお申し込みいただいたアカウントでご利用いただけます。すべてのプランに標準で含まれているわけではありません。

銀行口座の検証は現在ご利用いただけません

ShieldID は現在、銀行口座や収入の検証を行いません。この機能は近日提供予定です。今すぐ必要なプログラムの場合は、ShieldID の本人確認を、既存の銀行口座検証または収入検証のプロバイダーと組み合わせてご利用ください。

プライバシーについて

デモだけでなく、規制対象のファイルのために設計

融資申込者のIDは、それ自体が機微な情報です。そのIDがどのように扱われるのかを、正確にご説明します。

カナダにある自社サーバーでホスト
ID画像、抽出された項目、結果は、パブリッククラウドプロバイダーや米国のデータセンターではなく、カナダにあるShieldID自身のサーバーで処理・保管されます。
短いタイマーでパージ
ID画像は自動的にパージされます。デフォルトは7日間で、設定変更も可能です。本人確認の記録は、画像より長く保持されます。
暗号化
生年月日は暗号化して保存され、ID画像は保存時に暗号化されます。
プライバシーを初期設定から重視して構築
最小限の収集、短い保持期間、検索可能なアクセス記録。これらが私たちの構築の基準とする管理策です。ShieldID は米国のプライバシー法に関する認証を取得していません。当社が主張できる認証は存在しないためです。

手作業との比較

審査担当者が写真を目視で確認するのをやめると、何が変わるか

カテゴリ間の比較であり、特定のベンダーに関する主張ではありません。

融資申込者を対象とした、ShieldIDと一般的なエンタープライズ向け本人確認プラットフォーム、および手作業の書類審査キューとの比較です。
機能ShieldID一般的なエンタープライズ向けIDV手動チェック
書類を読み取り、申込内容と照合はい通常は対応審査担当者の判断が必要な場合
静止画のセルフィーだけでなく、ライブネスチャレンジを実施はい通常は対応いいえ
すべての不正の兆候を個別に報告はい段階制が多い追跡なし
すべての審査担当者、すべてのシフトで一貫した基準はい通常は対応いいえ
紛争時に検索できる、追記専用のアクティビティ台帳はいお客様には提供されない運が良ければ、メールのやり取りが残っている程度
申込者のペースで進められ、手作業のキューで待たされることはありませんはい通常は対応いいえ
請求が発生しないsandboxはい場合によるn/a

よくある懸念

コンプライアンス責任者が承認前に尋ねること

「SOC 2やISOのバッジはどこにありますか?」

現時点では取得しておらず、取得していないものを掲載することもしません。現在ご確認いただける事項は次のとおりです。パブリッククラウドではなくカナダ国内の自社サーバーでの自己管理型ホスティング、画像の自動削除、保存時の画像暗号化、そして製品内で閲覧できる追記専用の台帳です。

「これで当社の顧客確認プログラムやAMLの義務を満たせますか?」

ShieldIDは、記録の裏付けがある、文書化された再現可能な本人確認を提供し、顧客確認プログラムで使える証拠となります。特定の規制上の方法を満たすかどうかは、ご自身のコンプライアンスプログラムと法律顧問が判断することであり、当社は法的助言を行わず、すでに要件を満たしているとも申し上げません。

「当社の不正対策チームは、銀行口座の検証も求めています。」

現在 ShieldID ではご利用いただけません。近日提供予定です。それまでは、ShieldID の本人確認と、既存の銀行口座検証ツールまたは収入検証ツールを組み合わせてご利用ください。現時点で対応しているかのように装うことはいたしません。

「申込者のIDが、めったに見ない州のものだったらどうなりますか?」

拒否されることなく、そのIDのバーコードと照らし合わせて項目ごとに読み取られます。対象は50州、ワシントンD.C.、米国の5つの準州にわたります。ルールベースのスキャナーが、本物の申込者を締め出してしまいがちなのは、まさにこうしたケースです。

確認できる内容

すべての申込者を、項目ごとに確認。

借り手は申込の途中で本人確認を行います。担当チームは各項目の取得元と各チェックの結果を個別に確認でき、信じるか無視するかを迫られる単一のスコアではありません。

サンプルデータによるイラスト:ホスト型の本人確認フローを表示した申込者のスマートフォンと、Arjun Mehta様、米国のパスポート、ローン申込 LA-20931の結果、IDから読み取った項目、12件のチェックを表示したShieldIDポータル。

ご質問

フィンテックと融資向けの率直なQ&A。

はじめる

まずは sandbox から始めましょう。次回の監査には台帳を加えましょう。

sandbox セッションを作成し、ご自身のスマートフォンで検証を実行して、アクティビティ台帳に書き込まれるエントリをご確認ください。

Sandboxのセッションに課金されることはありません。