不正検知は「高い注文」を止めた。だから犯人は「1万円未満」に降りてきた

2026年10月9日、不正注文検知サービスを提供するかっこ株式会社と株式会社リンクが「キャッシュレスセキュリティレポート2026」を公表しました。

見出しだけを追うと、明るいニュースに見えます。2025年のクレジットカード不正利用被害額は510.5億円。前年の555.0億円から、10年ぶりに減りました。

ただ、中身を読むと印象が変わります。被害が減った裏で、犯人は手口を「少額」と「本人に認証させる」方向へ移していることが、数字ではっきり出ているからです。

この記事では、レポートの数字を3つに絞って、EC事業者がいま何を見直すべきかを整理します。

---

1. 対策は揃った。それでも被害は500億円台のまま

まず、EC業界の対策がこの数年でどこまで進んだかを確認します。

• 3Dセキュア（EMV 3-Dセキュア。カード決済の時に本人かどうかを確かめる国際標準の仕組み）は、2025年3月末を期限に、EC加盟店への導入が義務化されました
• かっこの調査では、不正注文の対策を「実施している」EC事業者は69.6%。導入している対策で最も多いのは3Dセキュアで、65.2%でした
• 不正ログインについても、なんらかの対策をしている事業者は96.7%にのぼります

つまり、仕組みとしてはほぼ揃ったと言ってよい状態です。

それでも、2025年の被害額は510.5億円。レポート自身が「500億円を超える高止まり」と表現しています。そして、その約93%は「番号盗用」――盗んだカード番号でECサイトで買い物をする手口です。主戦場は、いまもECサイトです。

減ったのは事実です。ただ、「対策を入れたから安心」と言える水準ではありません。むしろ、対策が揃ったのに500億円台が残っているという点にこそ、注目すべきだと私たちは考えています。

---

2. 証拠①：1万円未満の不正注文が、2年で約3割まで増えた

レポートの中で、私たちがいちばん重く見ている数字がこれです。

かっこの不正注文検知サービス「O-PLUX」で検知したカード不正利用を金額帯ごとに見ると、1万円未満の注文の割合は次のように増えています。

2年で10ポイント以上の増加です。一方で、これまで主流だった「2万円〜6万円未満」の割合は、57.9%から48.0%へ下がりました。

なぜ、少額に降りてきたのか

レポートは理由を2つ挙げています。

1つ目は、カードが使えるかを試す「少額の試し打ち」です。カード会社の不正検知が進み、利用通知もすぐ届くようになったので、高い買い物をするとすぐに取引が止められ、カードも止められます。そこで犯人は、数千円〜1万円程度の少額決済を何度かに分けて試し、「まだ使える番号」だけを選び出してから、高額の不正や転売に回すようになりました。

2つ目は、初回限定品の「悪質転売」です。健康食品やコスメなどの、無料〜数千円の初回限定割引が付いた商品に、不正注文が集まっています。

これは「いたちごっこ」の証拠です

ここで起きていることを、たとえで言い換えます。

万引き対策として、高い商品だけを鍵付きの棚に入れた店があるとします。すると万引きは止まらず、鍵の掛かっていない安い商品が、何度にも分けて盗まれるようになった――今回の数字は、まさにこの状態です。

金額で疑う仕組みは、高額の不正には効きました。だからこそ犯人は、「疑われない金額」に合わせてきたのです。レポートも、本人認証の網を強くするほど、攻撃はその網の外側へ移るという構図を指摘しています。

高額の注文だけを見張っていれば安全、という前提は、もう成り立ちません。

---

3. 証拠②：3Dセキュアは「本人が鍵を渡してしまう」形で突破されている

もう1つの数字ではない証拠が、3Dセキュアの突破です。

レポートは、500億円台が続く理由の1つとして「中間者攻撃」を挙げています。リアルタイムフィッシングとも呼ばれる手口で、流れは次の3つの場面に分けると分かりやすくなります。

1. 犯人が、SNS広告やSMSで、本物そっくりの偽の通販サイトにお客様を呼び込む。お客様は買い物のつもりでカード情報を入れる
2. 犯人は、その情報を使って、同じ瞬間に別の本物のECサイトで買い物を始める。本物のサイトで3Dセキュアが動き、カード会社からお客様のスマートフォンにワンタイムパスワードが届く
3. 偽サイトは「認証コードを入れてください」と表示する。お客様は自分の買い物の認証だと思って入れる。そのコードは、犯人の取引の認証にそのまま使われる

お客様は正しい手順を踏んでいるつもりなので、気づけません。レポートも、ワンタイムパスワードは有効期限内にそのまま使われるので「認証手段を追加するだけでは防ぎきれない」と書いています。

実際に、国民生活センターの裁判外の紛争解決手続（ADR）では、SNS広告から偽の通販サイトに誘導され、カード情報と3Dセキュアのワンタイムパスワードを入れてしまった事例が公表されています。カード会社は「パスワードは正しく入力されている」として当初は取り消しを認めず、最終的には、届いたSMSに決済金額が書かれていなかったことも踏まえて、被害額を半分ずつ負担する形で和解しました。

当社が繰り返しお伝えしてきたこと

この手口について、当社（インフロントセキュリティ）はこれまでセミナーや商談の場で、繰り返しお伝えしてきました。

SMSのコードも、ワンタイムパスワードも、「お客様に入力させる」認証は、偽サイトに丸ごと中継されると破られる。鍵を厚くしても、その鍵をお客様自身が偽の窓口に手渡してしまえば、意味がなくなる――ということです。

今回のレポートで、その構造が業界のデータとして改めて確認されました。レポートは、カード会社には「パスキーなどのフィッシングに強い認証」を、EC事業者には「3Dセキュアの成功だけで安全と判断せず、重ねて対策すること」を勧めています。

---

4. 見張る場所を「金額」から「誰の端末か」へ

ここまでの2つの証拠から言えるのは、次のことです。

• 金額で見張ると、犯人は少額に合わせてくる
• 入力させる認証を足しても、お客様が入力した瞬間に中継される

つまり、「いくらの注文か」や「コードが合っているか」ではなく、「いつものお客様が、いつもの端末から来ているか」を見る必要があります。

当社の電話番号認証は、この考え方で作っています。

仕組み：初回は1回の発信、2回目からは端末で照合

• 初回は、お客様が画面のボタンをワンタップすると、スマートフォンから指定の番号に1コールだけ発信して終わります（通話料はかかりません）。この時に、電話番号と端末の情報を照合して登録します
• 2回目からは、同じ端末であれば端末の照合だけで通ります。電話もコード入力も要りません

普段の認証では、お客様に何かを「入力させる」場面がないので、偽サイトに中継されるコードがそもそもありません。

リアルタイムフィッシングに強い理由

フィッシングに引っかかるのは、多くの場合、すでにそのサービスを使っているお客様です。そのお客様の端末は登録済みなので、普段は電話もコード入力もしません。

一方、犯人の端末は登録されていません。ですから、既存のお客様のはずなのに「電話での確認が必要」と返ってきた時点で、それ自体が異常の合図になります。

たとえるなら、常連のはずのお客様が、見たことのない顔で来たようなものです。そのまま通さずに、奥で確かめればよいのです。

限界も先にお伝えします

ゼロにできるとは言いません。初期設定のままでは、知らない端末には「電話での確認」を求めるだけです。お客様が偽サイトの指示どおりに電話をかけてしまえば、通る余地は残ります。

そこで、既存のお客様なのに知らない端末だった場合に、「止める」「コールセンターに回す」「別の確認を挟む」といった扱いを、事業者様のシステム側で決めていただきます。ここまで組めば、リアルタイムフィッシングの入口を大きく絞れます。

また、当社の認証が効くのは、会員のログインと、会員登録・初回限定の申し込みの入口です。偽サイトで抜かれたカードが、別のサイトの会員登録なしの購入でそのまま使われる型には、カード会社側の認証の強化（パスキー化や、決済金額の表示）と、加盟店側の不正検知を重ねることが基本になります。

少額・初回限定の不正にも、入口で効く

少額の試し打ちや初回限定品の転売は、使い捨てのアカウントを大量に作ることで成り立っています。

当社の認証は、音声通話ができる携帯電話の番号を使います。音声通話の契約には、法律で公的な身分証による本人確認が求められているので、使い捨ての番号を大量に揃えるのは簡単ではありません。会員登録や初回限定の申し込みの入口に入れれば、金額にかかわらず「同じ人の作り直し」を絞り込めます。

毎回の手間がないので、ログインだけでなく、カートの先や決済の直前にも入れられます。3Dセキュアの導入でカゴ落ちが増えた――レポートでも、導入済み事業者の78.6%が「増えたと感じている」という調査が紹介されています――という悩みを抱えたまま、さらにお客様の手間を増やす必要はありません。

---

まとめ：いたちごっこから抜けるために

• 2025年のカード不正利用は510.5億円。10年ぶりに減ったが、500億円台の高止まり
• 1万円未満の不正注文は、2年で19.3%から29.8%へ。金額で見張る仕組みに、犯人が合わせてきた証拠
• 3Dセキュアは、リアルタイムフィッシングで「本人に認証させる」形で突破されている
• 見張る場所を「金額」や「コード」から、「いつものお客様の、いつもの端末か」へ移す

自社の会員登録・ログイン・決済のどこに、どの確認を入れるべきか。現状の不正の傾向と合わせて整理したい事業者様は、お気軽にご相談ください。

お問い合わせはこちら

---