顔認証によるEC不正防止

不正をユーザーの具体的な操作に対応付けると、全員に同じ認証変更を求めるよりステップアップ確認が有効になります。攻撃者が利益を得ようとする箇所だけを保護し、通常の買い物の流れは維持できます。

すべてのユーザーに認証変更を求める方法は、ECサイトでは負担が大きくなりがちです。毎回のログインに追加の手順を設けても、攻撃者を止める以上に正当な購入者を困らせます。離脱が増え、コンバージョンが下がり、不正利用者も適応します。そのためチームは パスワードレス認証 と対象を絞ったステップアップ確認を組み合わせます。

ステップアップ確認のUXの基本は比例性です。リスクに応じて負担を変えます。呼び出されると、FACEIOの authenticate() ウィジェットが同じページ内で起動します。リダイレクトや別ページ、追加の端末は必要ありません。

EC サイトの重要な操作に顔認証を適用すると、すべての顧客に確認を求めずに不正リスクを下げられます。アイデンティティ設計の背景については、Web アプリの生体認証とクレジットカード詐欺を参照してください。

• 配送先住所の変更

  配送先住所の変更を高リスク操作として扱うことができます。保存前に顔認証を要求し、承認、拒否、確認の判断はバックエンドで行います。

• 高額注文

  自社で設定した金額を超える注文では、バックエンドが支払いを送信または確定する前に顔認証を起動できます。

• 不審なログインシグナル

  独自の端末、ネットワーク、位置情報シグナルからログイン後の顔認証を起動できます。FACEIOの結果はセッションポリシーの一つの入力になります。

• 支払い方法の変更

  新しい支払い方法の保存や請求情報の変更前に顔認証を要求します。支払い方法の検証と変更の承認はバックエンドが担当します。

• プロモーションコードの利用

  特典の適用前に authenticate() を呼び出し、返された Facial ID を現在のアカウントに関連付けた値と比較します。

ステップアップ確認は、ユーザーがすでに FACEIO に登録済みであることを前提とします。登録後は、重要な操作の前に authenticate() を呼び出して再確認できます。登録とセッションの設計については、顔認証ログインのフローを参照してください。

// 例：高額注文を処理する前に確認
async function processHighValueOrder(order) {
  try {
    const result = await faceio.authenticate({ locale: 'auto' });

    // 成功した場合のみ注文を処理
    await submitOrder(order, result.facialId);
  } catch (err) {
    // 顔認証に失敗したか、ユーザーがキャンセル
    return blockOrder(order, err);
  }
}

返された Facial ID をバックエンドへ送り、適切な非公開 API で検証して、ログイン中のアカウントに関連付けた Facial ID と比較します。その後、独自の認可ルールと不正対策ルールを適用します。REST API リファレンスを参照してください。