コラム

• 

  3DS・チャージバック 政策

  2026/01/21

  不正ログイン対策、もう先延ばしできない セキュリティチェックリストが届いたEC加盟店へ【202...

  近年、不正ログインや不正利用への対策は、一部の大手事業者だけの課題ではなく、規模を問わずすべてのEC加盟店に求められるテーマになっています。2025年3月に公表されたクレジットカード・セキュリティガイドライン6.0では、3Dセキュアの義務化に加え、不正ログイン対策も必須要件として明確化されました。その影響を受け、決済代行会社（PSP）からセキュリティチェックリストが送付され、各加盟店の対策状況を確認する動きが広がっています。 本記事では、なぜ今このタイミングで不正ログイン対策が求められているのか、その背景を整理したうえで、売上と両立し得る現実的な選択肢を考えていきます。 1. なぜ今、EC加盟店は不正ログイン対策に「向き合わざるを得ない」状況になっているのか 義務化を理解しつつも対応を後回しにしてきた背景 不正ログイン対策や本人認証の強化が求められる流れ自体は、2024年から2025年にかけて、すでに業界内で広く共有されていました。実際、経済産業省のガイドライン改訂や、不正利用被害額の増加といった情報に触れ、3Dセキュアについては対応を完了しているEC加盟店は少なくありません。一方で、不正ログイン対策については、具体的に何をどこまで実装すべきか判断が難しく、CV低下や離脱増加への懸念から、後回しにされがちな領域でもありました。とくに中小規模のECでは、ログインや購入フローに手間が増えることが、そのまま売上減少につながるという感覚が根強くあります。 認証を強化した結果、初回購入やリピート初期で離脱が増えたという話を見聞きし、「セキュリティは重要だが、事業への影響が大きい施策は選びにくい」と判断するのは、当時としては決して不自然な選択ではありませんでした。 結果として多くのEC加盟店は、不正ログイン対策の必要性を理解しつつも、「いずれ対応すべきだが、今ではない」という判断を続けてきたのです。 決済代行会社からのチェックリスト送付が意味するもの 近年、決済代行会社（PSP）からセキュリティチェックリストが送付されるケースが増えています。このチェックリストは、不正ログイン対策や本人認証の実装状況を確認するための書類であり、多くの場合、「Yes」「No」での明確な回答が求められます。 重要なのは、これが単なる形式的な書類提出ではなくなっている点です。 これまで「推奨」や「努力目標」とされてきた対策が、実際に実装されているかどうかを確認・管理する対象へと変わりました。書類上でYesと回答する以上、実運用や仕組みが伴っていることが前提となります。 その結果、セキュリティ対策は加盟店の自主判断に委ねられるものではなく、PSPによって確認される事項として扱われるようになりました。 さらに、チェックリストには提出期限が設けられるケースもあり、これまでのように判断を先延ばしにすることが難しくなっています。 これ以上先延ばしにできない状況で起こり得るリスク セキュリティチェックリストを提出しない、あるいは実装が確認できない場合、PSP側から不正対策未実施と判断される可能性があります。 PSPは多数の加盟店を抱えているため、すべてを個別に精査することは現実的ではなく、判断はどうしても書類ベースにならざるを得ません。 その結果、対策状況が不明確な加盟店は、リスクの高い取引先として内部管理されることになります。即時ではなくとも、状況次第では段階的な制限がかかり、決済停止や利用制限に発展することもあります。 一度停止や制限がかかった場合、その解除には追加資料の提出や再審査が必要となり、想像以上の時間と工数を要するケースも少なくありません。 決済が止まることで発生する売上損失は、事前に対策を講じておくためのコストを大きく上回ることもあります。 こうした背景から、現在は不正被害が発生してから対応するのではなく、未然に防ぐことが前提となっています。 2. IP制限やMFAでは踏み切れない、不正ログイン対策のジレンマ IPアドレス制限が実運用で機能しにくくなっている理由 IPアドレス制限は、比較的導入が容易でコストも抑えやすいことから、不正ログイン対策の第一歩として多くのEC加盟店に採用されてきました。 大きなシステム改修を伴わずに導入できる点は、特に中小規模の事業者にとって現実的な選択肢だったと言えます。また、「海外IPを遮断すれば一定の不正は防げる」という考え方も、過去には一定の効果を発揮してきました。 しかし現在では、VPNやプロキシ、ボットを用いて国内IPや正規ユーザーと同じ地域からアクセスする手法が一般的になり、「海外IP＝怪しい」という単純な判別は通用しなくなっています。加えて、モバイル回線ではIPアドレスが頻繁に変動するため、正規ユーザーを誤って遮断してしまうケースも少なくありません。 その結果、IP制限はチェックリスト上では「対策済み」と回答できる一方で、実運用においては不安が残る対策になりやすくなっています。 本人確認を行う仕組みではない以上、手法を変えた不正を完全に防ぐことは難しいのです。 多要素認証（MFA）が離脱やCV低下につながりやすい現実...

  お知らせ一覧
• 

  フィッシング詐欺 認証

  2025/09/09

  “パスキーなら安全”は本当か——アコム登録停止で露呈したフィッシング耐性の限界

  近年、AIが悪用された高度なフィッシング攻撃の登場により、パスワードやSMS OTPといった従来の認証方式の脆弱性が露呈しています。 こうした背景から、パスキー（生体認証を含むFIDO準拠の認証方式）は、フィッシングに強く安全な代替手段として注目され、金融サービスをはじめ導入が進んでいます。しかし2025年7月末、大手消費者金融のアコムがセキュリティ上の理由から新規の生体認証登録を一時停止すると発表し、その“絶対的な安全神話”に揺らぎが生じています。 本記事では、アコムの発表内容とその背景、そして生体認証の限界を補う具体的な解決策について解説します。 1. アコムが生体認証登録の一時停止を発表 2025年7月31日に緊急告知 アコム株式会社は2025年7月31日付で、公式サイトにて「新たな生体認証登録を一時停止する」との緊急告知を発表しました。同社は、偽のログインページで利用者が情報を入力する被害が確認されたため、被害拡大を防ぐ目的で新規登録を一時停止したと説明しています。 これにより、アプリの初回ログイン時やログイン後に生体認証の新規登録を行おうとするとエラーが表示され、手続きが完了できない状態となっています。すでに登録済みの利用者には影響がないとされるものの、セキュリティへの信頼性に疑問を抱かせる結果となりました。 利用できなくなるサービス一覧と代替手段 今回の一時停止措置は「新規の生体認証登録」のみが対象で、既存ユーザーは従来どおり利用できます。一方で、未登録の利用者は、ローン申込や契約手続きの一部に支障が出るほか、以下の機能が利用できなくなります。 スマホATMでの借入 クレジットカード情報の確認 暗証番号照会 アプリ経由でのApple Pay・Google Pay登録 急ぎで融資を受けたい利用者については、「口座振込による借入」を代替手段として利用できると案内されています。 登録停止はあくまで一時的な措置とされていますが、再開の時期は明らかにされておらず、利用者は当面の間、最新の発表を確認しながら対応する必要があります。 2. なぜ“登録停止”という強硬策に至ったのか 消費者金融を狙うフィッシング詐欺の急増 2024年秋ごろから、消費者金融の利用者を狙ったフィッシング詐欺が急増しています。典型的な手口は、偽のメールやSMSを送付し、あるいは検索広告を経由して偽サイトへ誘導するというものです。 消費者金融には、攻撃者にとって狙いやすい特性がいくつかあります。 スマホからの利用が中心であり、リンクを踏んですぐにログインするケースが多い 急ぎで資金を必要とする利用者が多く、冷静な判断が難しい アプリ内でATM出金や決済、暗証番号照会といった価値の高い機能に直結している 攻撃の流れとしては、偽サイトに誘導された利用者が会員番号やパスワード、暗証番号を入力し、その直後に不正利用や登録フローの乗っ取りが行われるというものです。本物そっくりのドメイン（typoやPunycode）、緊急を装う文言、さらには偽のサポート電話を併用する例も確認されています。 今回のアコムによる登録停止も、こうした背景にある攻撃環境を踏まえた対応であり、特定の企業だけでなく業界全体に及ぶリスクが存在していることを示しています。 生体認証の導入目的と裏目に出たリスク...

  お知らせ一覧
• 

  基礎知識 認証

  2025/08/13

  【保存版】電話認証の種類と仕組みまとめ｜技術の違いと導入時のポイントを解説

  電話認証は、オンラインサービスの不正利用防止やセキュリティ強化に欠かせない仕組みです。本記事では、SMS認証、IVR認証、電話発信認証、電話発信×端末認証の4種類の技術について、それぞれの特徴や仕組みをわかりやすく解説します。 導入される業界や活用シーンにも触れながら、自社に最適な認証方式を選ぶための基礎知識を提供します。 1. 電話認証とは？種類と仕組みをわかりやすく解説 そもそも電話認証とは何か？ 電話認証とは、ユーザーの電話番号を使って本人確認を行う仕組みです。ID・パスワード認証に加え、電話回線を利用した二要素認証を組み合わせることで、本人確認の精度を高め、複数アカウントの作成やなりすまし、不正アクセスを防ぎます。現在は、SMSでコードを送る方式のほか、ユーザーが指定番号に電話をかけて認証する方式や、端末情報と連動させた高度な認証も登場しています。 これらはセキュリティの高さや利用環境に応じて選べるのが特長で、導入によって不正防止によるコスト削減や、認証がスムーズになることで離脱率を減らす効果も期待できます。 導入されている業界や利用シーン 電話番号は「複製が難しい」という特性から、多くの業界で幅広く活用されています。 例えばECサイトでは、初回クーポンの不正利用やサブスクリプション型サービスの無料トライアルを何度も申し込む行為を防ぐため、1つの電話番号につき1アカウントと制限しています。この仕組みにより、実在する番号だけが登録でき、架空アカウントの排除や健全な運営、収益の確保につながります。 チケット販売やイベント予約でも同様に、転売目的による大量アカウント作成を防止します。購入前に電話認証を挟むことで、実在する利用者だけが申し込める仕組みを作り、公平な販売環境を維持できます。 この「複製が難しい」という特性はセキュリティ面でも有効です。金融・証券業界では、IDやパスワードが漏れても本人からの電話発信がなければログインできず、フィッシング詐欺の対策として機能します。 さらに近年は行政サービスや公共料金支払いにも広がり、本人確認精度が求められる手続きで不正を防ぎつつ、高齢者やネット利用が不慣れな人にも使いやすい技術として注目されています。 2. SMS認証：最も一般的な電話認証技術 SMS認証の仕組みと流れ SMS認証は、ユーザーが登録した電話番号宛にワンタイムパスコード（OTP）をSMSで送信し、そのコードを入力させて本人確認を行う方式です。サービス側はユーザーが入力したコードと送信したコードを照合し、一致すれば認証成功となります。 コードは短時間で有効期限が切れるよう設定され、不正利用にも対策されています。 実装は比較的容易で、スマートフォン標準のSMS機能を活用できるため、多くのWebサービスやアプリに採用されています。 メリットとデメリット SMS認証のメリットとして、まず追加アプリや専用機器を必要とせず、SMS受信とコード入力だけで利用できる点が挙げられます。これにより、年齢層やITリテラシーを問わず直感的に操作でき、アプリのインストールやアカウント連携が不要な分、離脱率の低下にもつながります。 既存のスマートフォンと通信網を活用できるため初期投資がほぼ不要で、API連携のみで導入可能なサービスも多く、開発期間の短縮にも有効です。さらに、ガラケーを含むほぼすべての携帯電話で利用できるなど、対応環境の幅広さも大きな利点です。 ただし、ランニングコストは想定以上に高くなる場合があります。例えば「1回の認証＝1通のSMS送信」が前提でも、再送や入力ミスで平均4通程度になる事例があり、その分通数課金が増加します。 さらに、SMS受信用番号を大量取得・貸し出す業者の存在や、データSIM契約による容易な番号入手が不正利用やなりすましの温床となっている点も課題です。 加えて、回線状況やキャリア障害による遅延・不達、6桁コードの総当たり攻撃やSIMスワップ、端末乗っ取り、マルウェアによる傍受などセキュリティ面のリスクも残ります。 端末操作に不慣れな層やSMS利用経験のないユーザーは認証を完了できず離脱する恐れもあります。 向いているユースケースと注意点 SMS認証は、ECサイトの会員登録やパスワードリセット、ポイント交換など、中〜低リスクの取引に適しています。 例えば、オンラインゲームやSNSでの多重アカウント作成や短期間での大量登録を行う業者・BOTの排除に有効です。また、フリーWi-Fi利用登録やキャンペーン応募など、高度なセキュリティよりもスムーズな利便性が求められる場面でも活用できます。 一方、SMSが届かない場合の再送機能は利便性を高める反面、不正利用のリスクを伴う可能性があります。...

  お知らせ一覧