VisaがBioCatchを24億ドルで買収：行動生体認証でAIエージェント時代の不正対策を固める狙い
Visaが行動生体認証のイスラエル企業BioCatchを24億ドルで買収合意。キーストロークや端末の扱い方から人間・AIエージェント・詐欺ボットを判別する技術が、エージェンティックコマース時代の決済に何をもたらすかを解説します。
この記事のポイント
- Visaが行動生体認証のBioCatchを24億ドルの現金で買収することに合意、2027会計年度第2四半期末までのクローズを見込む
- キーストロークや端末の扱い方から「正当な人間・正当なAIエージェント・詐欺ボット」を判別する信頼インフラを、決済ネットワークが自前で抱え込む動きである
- エージェント経由の取引が増えるほど不正判定の前提が変わるため、EC事業者は決済ネットワーク側の信頼シグナルを前提にした不正対策の見直しが必要になる
24億ドルの買収、その中身
カードネットワーク大手のVisaは、AIを燃料とする不正への防御を強化するため、イスラエル企業BioCatchを買収する計画だ
www.paymentsdive.comVisaは2026年8月3日、行動生体認証と不正検知を手がけるイスラエル企業BioCatchを24億ドルの現金で買収することで合意したと発表しました。売り手はPermiraが助言する投資ファンドおよびその他の株主で、クロージングはVisaの2027会計年度第2四半期末までを見込み、規制当局の承認を含む通常の完了条件を満たすことが前提となります。
BioCatchは2011年創業、テルアビブに本社を置く企業です。顧客は21カ国350の銀行に広がり、そこには世界の大手銀行100行が含まれます。保護対象は18億台のデバイスと7億6,000万人のユーザーに及び、毎月190億件のユーザーセッションを解析しています。
評価額の推移も見逃せません。Permiraが2024年9月に過半数株式を取得した際、BioCatchの評価額は13億ドルでした。2年足らずで買収価格は24億ドルへとほぼ倍増しており、AI不正対策という領域に付いた需要の強さを物語ります。一方で、BioCatch単体の売上高や収益性といった財務詳細は今回のリリースでは未開示です。
BioCatchの行動生体認証は何を見ているのか
行動生体認証（Behavioral Biometrics）は、指紋や顔のような「体の特徴」ではなく、「操作のクセ」で本人性を判定する技術です。BioCatchのプラットフォームは、キーストロークのリズム、タッチジェスチャー、スマートフォンを持つ角度、マウスの動かし方、さらにAIエージェント利用の有無まで、3,000を超える匿名化されたシグナルを継続的に収集し、正当なユーザーと詐欺犯をリアルタイムで見分けます。
このアプローチの特徴は、判定のタイミングが決済の「前」にあることです。カード番号が入力されて取引が飛んでくる段階ではなく、ログインからセッション中の操作までを観察するため、アカウント乗っ取りの兆候や、詐欺師に誘導されながら送金操作をしている被害者の「ためらい」まで検出対象になります。銀行の口座開設からトランザクションまでを上流でカバーする点が、Visaのいう「upstream threat prevention（上流での脅威予防）」に合致します。
顧客の意図に対するリアルタイムの洞察は、金融機関がデジタルバンキングのセッション内で信頼を確立するうえで、ますます不可欠なものになり続けています
近年の製品展開はすでにAIエージェントを意識したものになっています。2026年3月に発表されたDeviceIQは、エージェンティックブラウザやディープフェイク注入、AI支援によるアクセスをデバイスレベルで検知する機能を備えると報じられています。エージェントによる操作を検知した場合に、銀行経由で顧客本人へ「このエージェントに操作を許可しますか」と確認し、承認されたエージェントだけを通すという運用も構想されており、単なるボット遮断ではなくエージェントの認可管理へ踏み出している点が重要です。
Featurespaceに続く2件目、Visaが不正対策を内製化する理由
Visaにとって不正対策企業の大型買収はこれが初めてではありません。2024年には英国のFeaturespaceを約10億ドルで買収しており、BioCatchは2年で2件目となります。両社は守備範囲が異なり、組み合わせると決済の前後をまたぐ防御線ができあがります。
| 項目 | Featurespace（2024年） | BioCatch（2026年） |
|---|---|---|
| 買収額 | 約10億ドル | 24億ドル（現金） |
| 本社 | 英国ケンブリッジ | イスラエル・テルアビブ |
| 中核技術 | 取引データの適応型行動分析 | 行動生体認証（キーストローク・タッチ操作・端末の扱い方） |
| 主な検知タイミング | 決済トランザクションの実行時 | 決済前のログイン・セッション操作の段階 |
| 主な検知対象 | 決済取引の異常パターン | アカウント乗っ取り、詐欺誘導、ボット・AIエージェントの判別 |
| 顧客基盤 | 金融機関・決済事業者 | 21カ国350の銀行（大手銀行100行を含む） |
背景にあるのは、AIによって不正の性質が変わったという危機感です。Visaのバリューアデッドサービス部門プレジデントを務めるAndrew Torre氏は、買収発表の中で被害規模を次のように述べています。
アカウント乗っ取りと詐欺は世界経済に年間1兆ドルを超える損害を与えており、AIがこうした攻撃をかつてない規模で可能にしています
数字の出どころはVisa自身の観測とも整合します。同社は直近5年間で130億ドル超をテクノロジーに投資し、脆弱性を大規模に洗い出すオープンソースのAIセキュリティツール「Vulnerability Agentic Harness」も公開してきました。また、EC決済を扱う世界の加盟店担当者約1,200人を対象にした同社の2026年版グローバルEC決済・不正レポートでは、約80%が「データとテクノロジーが最大の不正管理上の課題」と回答しています。不正検知をカードネットワークの付加価値サービスとして外販する体制を整えるほど、買収による内製化の合理性は高まるという構図です。
エージェンティックコマースの信頼レイヤーとしての意味
今回の買収を単なるセキュリティ強化と読むと、半分しか見えていません。もう半分は、AIエージェントが商品を探し、比較し、決済まで実行するエージェンティックコマースの信頼インフラをめぐる布石です。
VisaはすでにVisa Intelligent Commerceでエージェント決済の基盤を整備し、Trusted Agent Protocol（TAP）で「このボットはVisaが承認した正規のエージェントである」ことを暗号署名で証明する仕組みを構築してきました。ただし、暗号署名が保証するのはエージェントの登録済みの身元までです。その背後にいる人間が本人なのか、エージェントに指示を出したのが口座の持ち主なのか、あるいはセッションを乗っ取った詐欺犯なのかは、署名だけでは分かりません。
ここに行動シグナルがはまります。エージェンティックコマースの取引では、「正当な人間」「人間に認可された正当なエージェント」「不正なボットや乗っ取られたセッション」の3者を切り分ける必要があり、TAPのような身元の証明とBioCatchのような振る舞いの検証は補完関係にあります。エージェント由来のトラフィックが不正の温床にもなり得ることは小売業界でも懸念されており、決済ネットワークが両方のレイヤーを自社で持つ意味は大きいといえます。
Mastercardの先行と、行動生体認証への留保
競合の動きを見ると、この買収は後追いの側面もあります。Mastercardは2024年12月に脅威インテリジェンス大手Recorded Futureの26.5億ドルでの買収を完了しており、エージェント決済基盤のAgent Payにはトークン化・認証・アクセプタンスの枠組みに加え、Recorded Futureによる脅威監視をインテリジェンス層として組み込んでいます。カードネットワーク2社が、エージェント決済の受け皿とセキュリティ企業の買収をセットで進めている構図はきれいに重なります。金融機関側の危機感も強く、Accentureの調査では金融機関の78%がAIエージェントに関連する不正の大幅な増加を見込んでいると報じられています。
ただし、留保も必要です。行動生体認証は「人間の操作のクセ」を前提に築かれた技術であり、正当なAIエージェントが人間の代わりに操作する取引が増えるほど、観察対象だった人間のシグナルそのものがセッションから消えていきます。米銀行業界では、ボットを一律に脅威とみなしてきた不正検知モデルはエージェント時代に作り直しを迫られるという指摘が出ており、BioCatch自身がDeviceIQでエージェント検知・認可へ軸足を広げているのは、この前提の変化への対応にほかなりません。買収価格に見合う価値が出るかは、人間のクセの検出ではなく、エージェントの真正性検証という新市場をどれだけ早く確立できるかに懸かっています。クロージングまで1年前後の規制審査が残っている点も含め、成果を評価できるのはまだ先です。
EC事業者への示唆
EC事業者の立場からは、この買収は「不正判定の主戦場が自社サイトの外へ移っていく」流れとして読むべきです。エージェント経由のアクセスが増えると、IPアドレスやCAPTCHAといった従来のボット対策は正当なエージェントまで弾いてしまい、機会損失に直結します。正規エージェントの識別は、TAPのようなプロトコルとネットワーク側の行動・デバイス分析に委ねる比重が高まるはずです。
実務面では、決済ネットワークやPSPが提供する不正スコアやエージェント検証シグナルを取り込める体制を整えておくことが先決です。Visaの加盟店調査が示したとおり、不正管理の課題はデータとテクノロジーに集中しています。自前でボット判定を精緻化するより、ネットワーク側で標準化されつつある信頼シグナルへの接続性を確保するほうが、投資対効果は高くなる局面に入っています。
あわせて、チェックアウトやログインの計測設計も見直しが必要です。エージェント経由の正当な取引を「異常な速度の操作」として誤検知すれば、エージェンティックコマースの売上をみすみす落とすことになります。人間とエージェントを区別したうえで、それぞれに適した検証を通すという発想への転換が求められます。
まとめ
VisaによるBioCatchの24億ドル買収は、AIが不正の道具にも防御の道具にもなる時代に、決済ネットワークが「誰が操作しているのか」を見極める能力を中核資産として抱え込む動きです。Featurespaceで決済取引の異常検知を、BioCatchで決済前の行動検証を手に入れ、TAPやVisa Intelligent Commerceと組み合わせることで、人間・エージェント・詐欺ボットを判別する信頼スタックが姿を現しつつあります。
Mastercardも同様の布陣を先行して整えており、エージェント決済の競争はチェックアウトの利便性だけでなく、信頼インフラの厚みで争われることがはっきりしました。EC事業者にとっては、ネットワーク側の信頼シグナルを活用できる体制づくりが、エージェンティックコマース対応の実質的な第一歩になります。クロージングは2027会計年度第2四半期末までと先が長いものの、備えを始めるなら発表の今がその時期です。
