米Visa、行動生体認証のBioCatchを24億ドルで買収へ 取引監視で捉えにくい詐欺に対抗
2026年8月5日 17:33
Visaは、イスラエルの行動生体認証企業BioCatchを24億ドル（約3792億円、1ドル＝158円換算）の現金で買収する正式契約を締結した。取引データだけでは捉えにくい詐欺に対し、セッション中の行動分析と取引時の監視を組み合わせた対策を強化する狙いだ。買収完了には規制当局の承認が必要で、Visaは2027会計年度第2四半期末までの完了を見込んでいる。
■BioCatchの技術とトランザクション監視の限界
Visaは月曜日（現地時間）、イスラエルの行動生体認証企業BioCatchを24億ドル（約3792億円、1ドル＝158円換算）の現金で買収する正式契約を結んだ。オンラインバンキング中のタイピングやスワイプ、ためらいといった利用者の行動から、トランザクション（取引）レベルのAIでは捉えられない詐欺を検知できる可能性に賭けた買収である。これは行動インテリジェンス分野で過去最大の買収であり、Visaにとっても2024年12月のFeaturespace買収以来、最も重要なセキュリティ関連の買収となる。将来的にはBioCatchのセッションスコアリング技術が、Visaの顧客である約1万4500の金融機関からなるネットワークで運用される可能性があり、現在は銀行ごとに導入されている不正検知ツールが、世界の銀行業界における標準的な行動インテリジェンス基盤へと発展する可能性がある。
Visaが、多くの消費者にはほとんど知られていない企業に24億ドルを支払う理由を理解するには、取引アラートのシステムだけでは確実に検知できない詐欺の存在を知る必要がある。BioCatchの公式発表によると、同社の技術はログイン画面だけでなく、バンキングセッション全体を通じて行動生体認証を継続的に監視する。
犯罪者がオンラインバンキングのアカウントを乗っ取った場合、認証情報は持っていても、正規ユーザーの「身体に染みついた操作」までは再現できない。正規ユーザーは、ユーザー名を一文字ずつ入力し、自分特有の速度でスワイプし、特徴的な角度でスマートフォンを傾け、数カ月にわたる反復利用によって身についたパターンで銀行アプリを操作する。対照的に詐欺師は、コピーしたユーザー名をフォームに貼り付け、不慣れなメニューを正規ユーザーとは異なる慎重さで移動するなど、まったく異なるテンポを示すことが多い。BioCatchのAIは、銀行のアプリやウェブサイトに組み込まれた軽量なソフトウェア開発キット（SDK）を通じ、1セッション当たり3000以上の行動シグナルをリアルタイムで収集し、スコアリングする。
さらに重要なのは、世界で最も急速に増加している金融詐欺の類型である「承認済みプッシュ決済（APP）詐欺」を検知できる点だ。APP詐欺の世界的な分析が示すように、この手口では犯罪者が被害者の口座を直接操作することはない。詐欺師が電話やテキストメッセージ、SNSを通じて接触し、銀行、政府機関、恋愛関係にある相手などになりすまして、被害者が正当だと思い込んだ口座へ自ら送金するよう仕向ける。被害者本人が送金を承認するため、従来の不正検知システムには、異常な取引としてフラグを立てる明確な材料がない。
それでも、BioCatchの行動モデルはセッション中の変化を読み取ることができる。電話で詐欺師から指示を受けている顧客は、金額を入力する前の通常より長いためらい、不自然な画面間の往復、確認画面での躊躇といった、測定可能な行動上の特徴を示す。BioCatchのグローバルアドバイザリーディレクターであるジョナサン・フロスト氏は、2025年に英国で発生した5億7640万ポンドのAPP詐欺被害について、2026年6月の解説で次のように述べた。「銀行は従来型の詐欺との戦いでは優位に立ちつつある。しかし犯罪者は、システムへの侵入から人間の心理を操る手口へと適応しており、その結果、本人が承認した送金による被害が急増している」
2025年、英国だけでもAPP詐欺による被害額は5億7640万ポンドに上った。これは2026年8月3日時点の1ポンド＝1.3431ドルで換算すると約7億7400万ドル、さらに1ドル＝158円で換算すると約1223億円となる。いずれも為替レートに基づく概算である。Visaの推計によれば、アカウント乗っ取りと詐欺が世界経済にもたらす損失は、合わせて年間1兆ドル（約158兆円）を超える。
■Visaが24億ドルを投じた理由：ネットワーク効果
Visaは2024年12月、ケンブリッジ大学発の企業であるFeaturespaceを買収した。Visaによる買収完了発表で確認されているように、Featurespaceは取引が試みられた瞬間に異常な支払いをリアルタイムで検知する、トランザクションレベルのAI不正検知システムを提供する。一方、BioCatchはシステム構成上、その一段階前に当たる、支払いが始まる前のセッション中に機能する。両社の技術を組み合わせれば、どちらか一社だけでは提供できなかった2層の防御アーキテクチャを構築できる。
しかし、この買収が重要である最大の理由は、防御レイヤーが増えることだけではない。VisaのネットワークがBioCatchのインテリジェンス共有モデルにもたらし得る効果にある。
BioCatch Trustネットワークの立ち上げ資料によると、BioCatchは2024年11月以降、世界初の銀行間リアルタイム行動インテリジェンス共有ネットワーク「BioCatch Trust」を運営している。銀行の顧客が送金を開始すると、BioCatchは共有ネットワークに照会し、受取口座の行動プロファイルを確認する。受取口座がどのように開設され、どのように利用されてきたかという履歴が、マネーミュール（犯罪資金の受け取りや移動に使われる口座の名義人）の活動パターンと一致した場合、資金が移動する前に送金元の銀行へ警告が出される。このシステムは個人口座の詳細ではなく仮名化された行動シグナルを使用し、銀行をまたぐネットワークレベルで機能する。このため、単一の銀行の内部システムだけでは発見できないミュール口座も検知できる。
オーストラリアにおけるBioCatch Trustの初年度の成果は顕著だ。2025年第3四半期のオーストラリアでの実績によると、同ネットワークは総額3300億ドル（約52兆1400億円）を超える1億8000万件以上の決済を処理し、6000万ドル（約94億8000万円）を超える詐欺未遂を発見した。これらの取引の70％以上で、システムは送金元から資金が移動する前に受取口座の行動プロファイルを取得した。取得に成功した場合には、ソーシャルエンジニアリング詐欺による支払いの70％以上を検知した。2025年後半までに、BioCatch Trust Australiaは同国で銀行口座を持つ人口の85％以上を保護するまでになった。
Datos Insightsの戦略アドバイザーであるトレース・フーシェ氏は、2024年11月のBioCatch Trustネットワーク立ち上げ時に次のように述べた。「本人が承認した決済を利用する詐欺を正確かつ効果的に検知、防止できるかどうかは、送金側と受取側の金融機関が、送金者と受取人の双方の視点から、個々の決済の背景にある意味のある文脈を組み立てられるかにかかっている」
現在、BioCatch Trustはオーストラリアとアルゼンチンで稼働しており、両国を合わせて数百の銀行をカバーしている。一方、Visaのグローバルネットワークは200以上の国と地域にある1万4500の金融機関に及び、1億7500万を超える加盟店で利用される50億以上の決済用認証情報を支えている。
行動インテリジェンスを利用した詐欺検知におけるネットワーク効果は、直接的で測定可能だ。BioCatch Trustに参加する金融機関が増えるたびに、その口座保有者の行動プロファイルが共有情報に加わり、ほかのすべての参加機関における検知精度も向上する。Visaが持つ金融機関との関係を利用すれば、理論上、BioCatch Trustを有望な地域実証から、世界の銀行が決済リスクをリアルタイムで評価するための標準的なインフラ層へと拡張できる可能性がある。これは、単独の行動生体認証ベンダーが構築できる製品とは構造的に異なる。
BioCatchのCEOであるガディ・マゾール氏は、買収の公式発表で次のように述べた。「金融機関がデジタルバンキングのセッションで信頼を確立するうえで、顧客の意図をリアルタイムに把握することはますます不可欠になっている。Visaと協力することで、世界の取引をより安全にし、消費者を金融犯罪から守るという当社の使命を、これまで以上に前進させられる立場になる」
■堅調な収益に裏打ちされた評価額の上昇
24億ドルという買収価格は、将来性だけを見込んだ投機的な評価ではなく、実際の財務実績を反映したものだ。ロンドンを拠点とするプライベートエクイティ企業Permiraのファンド、Permira Growth Opportunities IIは、2024年9月に企業価値13億ドル（約2054億円）でBioCatchの過半数株式の取得を完了した。この評価額自体、Permiraが2023年初頭に最初の少数株主持ち分を取得した後の10億ドル（約1580億円）から上昇していた。それから2年足らずで、Visaは24億ドルを現金で支払う契約を結んだ。これはPermiraが過半数株式を取得した時点の企業価値を約85％上回る。
この再評価は、BioCatchの事業実績に裏打ちされている。同社は2023年に年間経常収益（ARR）が1億ドル（約158億円）を突破し、EBITDAベースで黒字化した。2024年上半期にはARRが前年同期比43％増加した。
2025年第4四半期の過去最高の業績によると、同社は同四半期だけで2000万ドル（約31億6000万円）を超える新規ARRを積み上げ、2025年末の総ARRは1億8500万ドル（約292億3000万円）を超えた。2025年には90社の新規顧客を獲得した。その中にはWells Fargoも含まれ、これにより米国の資産規模上位4行のうち3行がBioCatchの顧客となった。また、同じ期間に中堅市場向けのパートナー事業のARRは60％増加した。
Permiraにとって今回の売却は、近年のフィンテック分野でも特に投資効率の高い過半数株式投資の一つとなる。過半数株式の取得完了から、取得時の約2倍の評価で売却契約を結ぶまでの期間は、およそ22カ月だった。
■Visaのセキュリティ基盤を構成する2層スタック
今回の買収は、Visaが構築してきた事業基盤に直接組み込まれる。金融機関向けに不正管理、データ分析、アドバイザリーサービス、カード発行会社向け処理サービスなどを提供する同社の付加価値サービス部門は、Visaの中核である決済処理手数料の枠を大きく超えて拡大しており、最も成長の速い事業部門の一つとなっている。
Visaは過去5年間で、決済エコシステムを強化し、不正率を低下させるため、技術とインフラに130億ドル（約2兆540億円）以上を投資してきた。2024年12月のFeaturespace買収により、そのセキュリティ基盤にリアルタイムのAIトランザクションスコアリングが追加された。BioCatchは、そこにセッションレベルの行動インテリジェンスを加える。
両社の技術を組み合わせると、不正な試みが決済確認画面に到達するまでに、すでに2段階の評価を受けることになる。1回目は決済に至るまでのセッション中、2回目はトランザクションそのものが開始された時点である。
AIを利用した不正攻撃は単一の攻撃経路をたどらないため、この多層的なアプローチは重要だ。生成AIによって、クレデンシャルスタッフィング（流出した認証情報を使った不正ログイン）の実行、ソーシャルエンジニアリングに使う音声や動画の合成、大規模なフィッシングの自動化が大幅に安価かつ迅速になった。その結果、新たな攻撃手法が出現してから、金融機関が防御策を展開するまでの猶予が短くなっている。トランザクションだけをスコアリングするシステムは、異常な取引そのものが存在しない攻撃には対応できない。一方、セッション全体を通じて行動シグナルを読み取るシステムなら、そのような攻撃も検知できる可能性がある。
Visaの付加価値サービス部門プレジデントであるアンドリュー・トーレ氏は発表で、同社の目標について「クライアントがサイバー脅威を上流で防ぎ、すべての取引に信頼を組み込めるよう支援すること」だと述べた。
Mastercardとの比較も無視できない。Mastercardは2024年にRecorded Futureを26億5000万ドル（約4187億円）で買収した。これは、主要カードネットワーク2社がセキュリティインフラを、決済エコシステムを運営するための単なるコストではなく、戦略的な収益源と見なしていることを示している。
BioCatchはVisaの傘下に入った後も、経営陣、報告体制、顧客関係を維持し、相当程度の経営上の自主性を保つ予定だ。マゾール氏は従業員宛ての書簡で、BioCatchは「どこにも行かない」と強調した。この独立性は戦略的に重要である。BioCatch Trustの有効性は、参加銀行がプラットフォームの中立性を信頼できるかどうかに左右されるからだ。その信頼と、それによって可能になるインテリジェンス共有ネットワークを維持することは、Visaの投資戦略にとって、技術統合と同じくらい重要である。
■買収の恩恵を受けるのは誰か
一見すると、BioCatchの買収は2社間の取引にすぎない。しかし構造的に見れば、行動インテリジェンスが350の銀行だけが購入する割高な追加サービスから、1万4500の金融機関が利用するインフラへと変わったとき、金融詐欺対策に何が起きるかを示す動きである。
詐欺を巡る状況が自然に改善することはない。ACI WorldwideのScamscopeによる予測では、米国、英国、インドを合わせたAPP詐欺の被害額は2026年までに倍増し、52億5000万ドル（約8295億円）に達すると見込まれている。オーストラリアにおけるアカウント乗っ取りの試みは、2025年に前年比47％増加し、同年後半の6カ月間だけを見ると2倍以上に増えた。主な要因は、複数の法域にまたがるインフラを持つ組織的な犯罪ネットワークだ。
Nasdaqの2026年金融犯罪レポートによると、2025年には4兆4000億ドル（約695兆円）が不正な経路を通じて世界の金融システムを流れた。これは2年間で42％の増加となる。
この取引は完了前に規制当局の承認を得る必要があり、Visaは2027会計年度第2四半期末までの完了を見込んでいる。規制当局による懸念は現時点で公には示されていない。また、英国のプライベートエクイティ企業から現金で取得するという取引構造からは、明白な独占禁止法上の問題は見当たらない。
BioCatchがすでにサービスを提供している金融機関を利用する何百万人もの消費者にとって、当面の影響は目に見えないものになるだろう。行動リスクスコアがバンキングセッションのバックグラウンドで引き続き算出され、パスワードや暗証番号だけでは担えなかった不正検知の役割を果たすことになる。
■注目ポイントQ&A
●行動生体認証とは何ですか？他の不正検知とどう違うのですか？
行動生体認証は、入力された認証情報の内容ではなく、キーストロークのパターン、タッチスクリーンへの圧力、スワイプの速度、デバイスの傾き、操作をためらう時間など、人がデバイスをどのように操作するかを分析します。不審な支払いにフラグを立てるトランザクションレベルの不正検知システムとは異なり、行動生体認証はセッション全体を通じて機能します。指示、強要、外部からの圧力を受けながら操作している人の行動上の特徴から、被害者自身が送金を承認するAPP詐欺を含む不正を検知できます。BioCatchは銀行のアプリやウェブサイトに組み込まれたソフトウェアを通じて、1セッション当たり3000以上のシグナルを収集し、リアルタイムで継続的に分析しています。
●VisaによるBioCatchの買収は、世界の銀行詐欺対策をどのように変える可能性がありますか？
最も重要な構造的変化は、Visaが持つ1万4500の金融機関との関係が、BioCatchの銀行間インテリジェンス共有ネットワーク「BioCatch Trust」にもたらし得る効果です。現在、BioCatch Trustはオーストラリアとアルゼンチンで稼働しており、口座の行動プロファイルをリアルタイムで共有することで、資金が送金される前にマネーミュールの活動を検知しています。Visaのネットワークは200以上の国と地域に及びます。BioCatch TrustがVisaの顧客基盤に拡大すれば、行動インテリジェンスによる詐欺検知は、銀行ごとに導入する仕組みから、各金融機関の情報がほかの参加機関の検知精度も向上させるグローバルなネットワーク型の仕組みへ移行する可能性があります。
●承認済みプッシュ決済（APP）詐欺とは何ですか？なぜ行動検知が特に有効なのですか？
APP詐欺とは、犯罪者が被害者を操り、犯罪者の管理する口座へ被害者自身に銀行送金を行わせる手口です。被害者本人が支払いを承認するため、従来のトランザクションレベルの監視では、明確な異常取引としてフラグを立てられません。行動生体認証は、ためらい、不自然な画面移動、外部からの圧力を示す兆候など、リアルタイムで指示を受けている被害者に見られるセッションレベルの行動上の特徴を検知し、送金が完了する前に銀行へ警告できます。2025年だけで英国の被害者はAPP詐欺により5億7640万ポンド、約7億7400万ドルを失いました。また、APP詐欺の世界的な分析によると、2023年にはデジタルバンキング詐欺全体の被害額の75％をこの手口が占めました。
●この買収は、Visaのより広範な詐欺対策戦略にどのように位置づけられますか？
Visaはすでに、トランザクションレベルの不正検知にAIを適用するケンブリッジ大学発の企業Featurespaceを保有しています。BioCatchは、トランザクションより上流にあるセッションレベルの行動分析を追加します。両社の技術を組み合わせることで、利用者の行動をセッション全体にわたってスコアリングし、個別の支払いが開始された時点でもスコアリングする2層の不正対策基盤を構築できます。公式の買収発表によると、Visaは過去5年間で技術とインフラに130億ドル以上を投資してきました。Mastercardも2024年にRecorded Futureを26億5000万ドルで買収しており、両カードネットワークがセキュリティ技術を単なる防御コストではなく、戦略的な収益事業と位置づけていることがうかがえます。
元記事: Visa Acquires BioCatch for $2.4 Billion, Betting Behavior Catches What Transactions Miss