アカウント乗っ取り詐欺の背後にある不都合な真実は、攻撃者の巧妙さではなく、機関のデフォルト設定にある。銀行が多要素認証をオプション扱いにする時、それは実質的に、より強力なセキュリティの摩擦が顧客離れというコストをもたらし、それが防止する詐欺被害を上回るという賭けをしているのだ。この計算は次第に弁護の余地がなくなっている。クレデンシャルスタッフィング、SIMスワップ攻撃、フィッシングキットが静的パスワードの窃取を工業化しており、金融機関が多要素認証をデフォルトでオフにしたまま過ごす四半期ごとに、最も知識の乏しい顧客へリスクを静かに転嫁しているのだ。

戦略的誤りは、セキュリティをUX負担として位置づけることにある。AppleやGoogleのような企業は、認証をより強固かつスムーズにできることを実証している――パスキー、デバイス紐付き認証情報、行動リスクスコアリングは摩擦を減らしながら攻撃者のコストを引き上げる。SMSワンタイムコードやオプトイントグルにしがみつく銀行は、消費者向けテクノロジーの最前線から何年も遅れており、そのギャップは今や競争上の脆弱性となっている。フィッシング耐性のあるデフォルト設定を実装するフィンテック挑戦者は、セキュリティを差別化要因として市場展開し、レガシー基幹システムが変更を高コストにしている既存企業に圧力をかけるだろう。

規制の動向が不確定要素である。EUのPSD2強力顧客認証義務はすでに多くのフローで多要素認証を強制しており、米国規制当局、FCA、APAC監督機関は成果ベースの責任へと傾斜している。防止可能な詐欺の責任が脆弱なデフォルト設定を持つ機関へ決定的に移行すれば、費用対効果の計算は一夜にして逆転する。経営幹部はオプトイン型多要素認証が2~3年以内にコンプライアンス上の負債となると想定すべきだ。

推奨される行動:フィッシング耐性のある認証――パスキーとFIDO2――をオプションではなくデフォルトにすること、SMS OTPを主要要素として廃止すること、一律の摩擦ではなく適応型のリスクベースステップアップを展開すること、そして脆弱なデフォルト設定に起因する詐欺損失を定量化して社内ビジネスケースを構築することだ。投資家にとって、セキュリティ態勢は今や金融サービスにおける運用成熟度の持続的なシグナルである――それに応じて査定すべきだ。