クレジットマスターアタックとは？EMV 3-Dセキュア義務化後も続くカード不正への事業者対策【2026年最新】

3DS・チャージバック
公開日: 2024年8月28日｜最終更新日: 2026年7月17日
クレジットマスターアタックとは？EMV 3-Dセキュア義務化後も続くカード不正への事業者対策【2026年最新】

クレジットカード詐欺の手口は年々巧妙化の一途を辿っています。 2025年3月末にはEMV 3-Dセキュア(3DS)の導入が原則すべてのEC加盟店に義務化され、業界を挙げた対策が一つの節目を迎えました。しかし、クレジットマスターアタック(クレマス)やフィッシングによる不正は、義務化後もなくなっていません。 ユーザー自身の注意だけで被害を防ぐことはすでに限界を迎えています。そして被害は、チャージバックや決済停止といった形で事業者自身の損失にも直結します。詐欺からユーザーを守る対策強化は、事業者自身を守る取り組みでもあるのです。 本記事では、最新の被害統計と3DS義務化後の環境変化を踏まえ、いまも続く詐欺の手口と、事業者が取るべき具体的な対策をご紹介します。

1.クレジットカード不正利用の最新動向：減少に転じても被害は500億円超

一般社団法人日本クレジット協会の調査によると、クレジットカードの不正利用被害額は2024年に555.0億円と過去最悪を記録しました。その後、2025年は510.5億円と前年比8.0%の減少に転じています。年間被害額が前年を下回るのは、コロナ禍の2020年以来5年ぶりのことであり、後述するEMV 3-Dセキュア義務化をはじめとする業界全体の対策が、一定の効果を上げ始めたと見ることができます。

しかし、これで安心できる状況では決してありません。2025年の被害額510.5億円は、依然として年間500億円を超える高い水準です。

内訳を見ると、被害の中心は「番号盗用」です。番号盗用とは、クレジットカード番号やセキュリティコードなどのカード情報が不正に取得され、その情報を基に非対面(EC)取引などで不正利用される手口です。2025年の番号盗用被害額は475.4億円で、被害全体の93.1%を占めています。これは2014年の番号盗用被害額(67.3億円)と比較して約7倍にあたる水準であり、この10年余りで「カード情報がどこかで盗まれ、本人になりすまして使われる」タイプの不正がいかに急拡大してきたかを物語っています。

統計上は減少に転じたとはいえ、番号盗用への対策こそが引き続き最大の課題であることに変わりはありません。

2.転機となったEMV 3-Dセキュア義務化(2025年3月末)

こうした状況を受け、経済産業省も参画するクレジット取引セキュリティ対策協議会(事務局: 日本クレジット協会)が策定する「クレジットカード・セキュリティガイドライン」に基づき、2025年3月末までに、原則すべてのEC加盟店に対してEMV 3-Dセキュア(本人認証サービス)の導入が義務化されました。なお、この「義務化」は割賦販売法に基づく実務上の指針(ガイドライン)が求める必須対策としての位置づけであり、法令の条文で直接義務づけられたものではありません。

EMV 3-Dセキュアは、決済時に取引のリスクを判定し、リスクが高いと判断された取引にのみワンタイムパスワード等の追加認証を求める仕組みです。従来型の3Dセキュア(1.0)と比べて利便性と安全性のバランスに優れており、番号盗用対策の柱として位置づけられています。2025年の被害額が前年から減少に転じた背景には、この義務化の効果があると考えられます。

ただし、注意すべきは「3DSを導入すれば不正はなくなる」わけではないという点です。

  • フィッシングでカード情報とともにワンタイムパスワードまでリアルタイムに詐取し、3DS認証を突破する手口が確認されています。
  • リスク判定で「低リスク」とされた取引は追加認証なしで通過するため、正規ユーザーになりすました不正が通り抜ける余地が残ります。
  • 3DSはあくまで「決済時」の防壁であり、会員登録やログインといった決済前の接点は守ってくれません。

実際、義務化後の2025年も番号盗用被害は475.4億円にのぼっており、3DS義務化を前提としたうえで、なお残るリスクにどう向き合うかが、事業者に問われる新しい課題となっています。

3.義務化後も続く手口：「クレジットマスターアタック」と「フィッシング」

では、義務化後もなお残る不正の入口とは何でしょうか。代表的な手口である「クレジットマスターアタック」と「フィッシング」の仕組みを見ていきましょう。

クレマスの仕組み

クレジットマスターアタック(クレマス)は、従来のクレジットカード詐欺とは異なり、カード保有者が自らの番号をどこにも提供していなくても不正利用される可能性があるという点で、非常に厄介です。

通常のカード詐欺は、攻撃者がカード番号やセキュリティコードを盗み取り、その情報を不正に利用する形を取ります。 しかしクレマスでは、攻撃者がクレジットカード番号の生成規則(アルゴリズム)を利用して機械的に大量の番号を生成し、ECサイトの決済画面やカード登録フォームなどで自動的に試行します。その中から「実在する有効な番号」を見つけ出すのです。

つまり、攻撃者が機械的に生成した番号が偶然にも実際のカード番号と一致すれば、カード保有者がどれほど情報管理に気をつけていても、知らないうちに不正利用の被害に遭うことになります。 また、クレマスの試行に自社サイトの決済フォームが悪用されると、事業者側にも大量のオーソリゼーション(信用照会)手数料の発生、カード会社からの警告、決済停止といった直接的な損害が及びます。クレマスは単なる情報漏洩の問題に留まらず、ユーザーと事業者の双方を脅かすリスクなのです。

フィッシングの仕組み

フィッシングは、番号盗用の主要な入口となっている手口です。 攻撃者はまず、カード会社や宅配業者、公的機関などを装ったメールやSMSを送信し、「あなたのアカウントに不正なアクセスがありました」「カードの有効期限が切れています」といった内容でユーザーの不安を煽り、即座の対応を促します。 メッセージには公式サイトに見せかけたリンクが含まれており、クリックすると本物とほとんど区別がつかない偽のログインページやフォームに誘導され、カード情報やパスワードを入力させられます。

近年はさらに、入力された情報を攻撃者がその場で本物のサイトに中継し、3DSのワンタイムパスワードまで同時に詐取する「リアルタイムフィッシング」も確認されています。3DS義務化後もフィッシング経由の不正利用が続いている大きな要因です。

こうして詐取・生成されたカード情報は、ECサイトでの商品購入とフリマアプリ等での換金という「出口」に流れ込みます。不正カードを使った転売スキームと事業者側の対策については、関連記事「国際犯罪組織の転売スキーム：不正カードを利用した詐欺の手口と対策」で詳しく解説しています。

4.ユーザーの注意だけでは防げない時代に

ここまで見てきた通り、近年のクレジットカード詐欺は、カード情報を一切渡していなくても被害に遭うクレマス、本物と見分けのつかない偽サイトに誘導するフィッシングなど、ユーザーの注意力ではそもそも防ぎようのない手口が中心になっています。 さらに、生成AIの悪用によって、フィッシングメールの文面や偽サイトの精巧さは一段と向上しており、「不自然な日本語を見抜く」といった従来の自衛策は通用しなくなりつつあります。

ユーザー側だけに責任を負わせ、対策を求めるのは無理がある時代に突入しているのです。

被害を防ぐためには、事業者側がセキュリティ対策を強化し、利用者を保護する仕組みを積極的に導入することが不可欠です。3DS義務化はその第一歩ですが、前述の通り3DSだけではカバーできない領域が残ります。万が一インシデントが発生すれば、チャージバックによる金銭的損失に加え、ブランド価値の毀損にもつながりかねません。

5.Infront Securityによる解決策

ユーザー側の注意力に依存しない仕組みとして、Infront Securityはパスワードレス認証(電話+端末認証)を提供しています。決済時の3DSに加えて、会員登録・ログインといった「決済前の接点」で本人性を担保することで、クレマス攻撃の抑止やフィッシング経由の不正ログイン・不正決済の防止が可能になります。クレマスの大量試行は、攻撃者がカード情報を入力できるフォームへ自由にたどり着けることが前提です。会員登録・ログインの段階で本人性を確認する認証を挟むことで、機械的な試行そのものを入口で遮断できます。

電話+端末認証の仕組み

電話番号認証は初期登録時等のみで、通常のログインはID認証+端末認証で完結します。

Infront Securityは特許技術に基づき、顧客データベース(DB)に登録されている電話番号と利用者から発信された電話番号を認証サーバで照合し、端末認証を行います。 併せて接続している端末の情報を取得し、端末DBに登録します。

ID入力のみ(パスワード入力も可能)と利用者の端末情報の認証を組み合わせることで、ワンタイムパスワード等の入力を不要とし、簡単かつセキュアなログイン方法を提供しています。

ログインには登録済みの端末情報が必要な二要素認証となっているため、仮にIDやパスワードがフィッシングで漏洩しても、第三者の端末からのログインを防ぐことができます。ワンタイムパスワードを入力させる方式と異なり、ユーザーが認証情報を偽サイトに「入力してしまう」余地がない点も、リアルタイムフィッシング対策として重要です。

高い本人担保性

Infront Securityが認証に用いる電話番号(音声通話契約)は、契約時に公的証明書を用いた本人確認が必要とされています。 公的証明書には、運転免許証、パスポート、マイナンバーカードなどが含まれ、これらを提示することで契約者の身元が確実に確認されます。

例えば、万が一クレマスでカード番号を割り出されたり、フィッシングでカード情報を詐取されたりした場合でも、Infront Securityによる認証を導入しているサイトでは、カードの持ち主本人の電話番号・端末による認証が必要となるため、第三者による不正利用を防ぐことができます。

3DS義務化後の「なお残るリスク」への備えとして、決済前の接点から不正を遮断する電話+端末認証の導入をご検討ください。

更新履歴

  • 2026年7月17日: 日本クレジット協会公表の最新統計(2024年・2025年の不正利用被害額、2014年比の長期推移)への更新、EMV 3-Dセキュア義務化(2025年3月末)を踏まえた構成の見直し、関連記事へのリンク追加を行いました。
  • 2024年8月28日: 記事を公開しました。

参考資料

記事一覧へ戻る

認証のお悩みを
オンラインで無料相談

まずは相談する