コラム
【2025年最新統計】フィッシング詐欺の被害動向まとめ：報告件数は過去最多245万件、クレカ不...
フィッシング詐欺の被害は、いまどうなっているのでしょうか。 2025年の統計には、はっきりとした「明暗」があらわれました。フィッシング報告件数は約245万件と過去最多を更新し、証券口座の乗っ取りによる不正売買が社会問題化する一方で、クレジットカード不正利用の被害額は前年比8.0%の減少に転じました。「攻撃は増えているのに、一部の被害額は減った」——この構図を正しく理解することが、事業者が2026年の対策を考える出発点になります。 本記事では、フィッシング詐欺に関連する最新の公的統計を整理したうえで、実際の被害事例と、EC・ネットバンキング・証券などのサービスを提供する事業者が自社ユーザーを被害から守るために講じるべき対応策を解説します。 1. 2025年最新統計で見るフィッシング被害の全体像 フィッシング報告件数は約245万件で過去最多 フィッシング対策協議会によると、2025年の1年間に寄せられたフィッシング報告件数は2,454,297件と、前年（約171万件）の約1.4倍に達し、過去最多を更新しました。メールやSMSでユーザーを偽サイトへ誘導する攻撃そのものは、減るどころか増え続けているのが実態です。 クレジットカード不正利用は510.5億円、前年比8.0%の減少 日本クレジット協会の集計によると、クレジットカード不正利用の被害額は2024年に555.0億円と過去最悪を記録した後、2025年は510.5億円（前年比8.0%減）となり、コロナ禍の2020年以来5年ぶりに前年を下回りました。 減少の背景として大きいのが、2025年3月末を対応期限として原則すべてのEC加盟店に導入が求められた本人認証サービス「EMV 3-Dセキュア」の義務化です。なお、この「義務化」は割賦販売法に基づく実務上の指針「クレジットカード・セキュリティガイドライン」が求める必須対策としての位置づけであり、法令の条文で直接義務づけられたものではありません。決済時に追加の本人認証を挟む仕組みが広がったことで、盗まれたカード番号をそのまま使う不正が通りにくくなったと考えられています。 ただし、内訳を見ると楽観はできません。2025年の被害額のうち「番号盗用」による被害は475.4億円と、全体の93.1%を占めています。番号盗用の主要な入口がフィッシングであることを踏まえると、「カード情報が盗まれる段階」は依然として止められておらず、決済段階の防御でかろうじて被害額を抑え込んでいる、というのが正確な見方です。 なお、本記事の旧版では「フィッシング詐欺の被害額541億円」とご紹介していましたが、この541億円は2023年のクレジットカード不正利用被害額（日本クレジット協会集計）であり、フィッシング被害そのものの金額ではありませんでした。あわせて訂正いたします。 ネットバンキングの不正送金は約104億円で過去最悪を更新 警察庁の発表によると、インターネットバンキングに係る不正送金の被害は、2023年に5,578件・約87.3億円を記録した後、2024年も4,369件・約86.9億円と高止まりしていました。そして2025年は4,747件・約104億円にのぼり、被害額は過去最悪を更新しています。手口の約9割はフィッシングによるものとみられており、「メールやSMSから偽サイトへ誘導し、ログイン情報を盗む」という古典的な手口が、いまなお最大の脅威であり続けています。 証券口座の乗っ取り：不正売買は年間約7,393億円 2025年に最も注目を集めたのが、証券口座を狙ったフィッシングです。証券会社を装った偽サイトでIDとパスワード、さらにワンタイムパスワードまでリアルタイムに盗み取り、口座を乗っ取って保有株を勝手に売却、犯人側が保有する銘柄を買い付けさせる——という手口が急増しました。 金融庁の公表によると、2025年の1年間で証券口座への不正アクセスは17,559件、不正売買（売却・買付の合計）の金額は約7,393億円にのぼります。ワンタイムパスワード（二要素認証）を設定していても突破される点がこの手口の恐ろしさであり、詳しい仕組みや、この事態を受けて証券業界で進む「フィッシング耐性MFAの実質義務化」の制度動向は、以下の記事で解説しています。 関連記事: 急増するリアルタイムフィッシングの脅威と対策 関連記事: MFAを入れていても乗っ取られる？Microsoftが警告した「AIフィッシング」の新手口 関連記事: 証券口座乗っ取りで進む「フィッシング耐性MFAの実質義務化」 2. 実際の被害事例：フィッシングは「誰にでも」起こる 被害者に共通するのは、偽の通知やメールを「本物」と信じてしまう状況に陥った点です。国民生活センターに寄せられた代表的な相談事例と、近年の新しい被害パターンを紹介します。 【事例1】通販サイトを装うメールでカード情報を入力し、不正利用された 大手通販サイトから「会員満期通知」という件名のメールが届き、「月会費550円が引き落としできませんでした」との記載からリンクをタップ。遷移先の画面でクレジットカード番号を入力したところ、後日カード会社から連絡があり、第三者に5万円を不正利用されていた。（国民生活センター相談事例より） 【事例2】宅配業者の不在通知SMSからキャリア決済を悪用された...
お知らせ一覧
SMS認証の脆弱性を徹底解説：世界で加速する「脱SMS認証」の今、事業者が取るべき対策とは
SMS認証は、その利便性と低コストから多くのオンラインサービスで広く採用されてきましたが、その脆弱性を突いた不正アクセスや不正送金の被害が深刻化しています。 リアルタイムフィッシングやSIMスワップといった、従来の二要素認証を突破する手口はすでに確立されており、インターネットバンキングの不正送金被害は2025年通年で4,747件・約104億円にのぼります(警察庁)。 こうした状況のなか、米国NIST(国立標準技術研究所)は2025年7月公開の最新ガイドラインでもSMSによるワンタイムパスワードを「制限付き(restricted)」の認証手段と位置づけているほか、GmailやGビズIDといった大手サービス・行政サービスでもSMS認証の廃止・移行の動きが相次いでいます。 本記事では、SMS認証の脆弱性の全体像と「脱SMS認証」の最新動向を整理し、事業者が取るべき具体的な対策について紹介します。 1. SMS認証を突破される被害が深刻化 被害の実態 二要素認証は、パスワードなどの知識情報に加えて、別の認証要素を組み合わせるセキュリティ手法で、これまで比較的強固な認証方式とされてきました。 なかでもSMS認証は、ユーザーの携帯電話にワンタイムパスワードを送信し、それを入力してもらうことで本人確認を行う手軽な方式として、多くのサービスで採用されています。 しかし、このSMS認証を前提とした二要素認証が、フィッシング詐欺によって突破される被害が続いています。 警察庁と金融庁の発表によると、インターネットバンキングに係る不正送金被害は、2023年に5,578件・約87.3億円と、件数・金額ともに過去最多を記録しました。 2024年も4,369件・約86.9億円と高止まりが続き、2025年は通年で4,747件・約104億円と再び被害が拡大しました。警察庁によると、その手口の約9割をフィッシングが占めています。なお、フィッシング対策協議会への2025年のフィッシング報告件数は2,454,297件と過去最多を更新しており、攻撃の母数自体が拡大し続けています。 また、2025年にはフィッシングで盗んだ認証情報を使って証券口座を乗っ取り、株式を勝手に売買する手口が社会問題化しました。金融庁によると、2025年の証券口座への不正アクセスは17,559件、不正売買額は約7,393億円にのぼります。 背景には、SMS認証を含む二要素認証を突破する手口が確立され、従来のセキュリティ対策が無力化されていることがあります。 SMS認証の普及とその限界 SMS認証が広く普及した背景には、利便性とコストの低さがあります。 携帯電話さえあれば特別なアプリやデバイスを必要とせず、既存のモバイルネットワークを活用するため導入コストも低く抑えられることから、オンラインバンキングやEコマース、SNSなど広範な分野で二要素認証の一環として採用されてきました。 しかし、こうした利便性の裏には構造的な弱点があります。 SMS認証の本質的な問題は、「その電話番号宛てのメッセージを受け取れること」だけを本人性の根拠にしている点です。 このため、ユーザーを騙してコードを入力させるフィッシング、電話番号そのものを乗っ取るSIMスワップ、携帯電話網の制御信号(SS7)の脆弱性を悪用した通信の窃取など、複数の経路で突破される可能性があります。 「SMSは暗号化されていないから危険」と説明されることがありますが、実際に国内で被害の中心となっているのは通信経路上の傍受ではなく、フィッシングとSIMスワップによる突破です。攻撃者は暗号を解読するのではなく、「正規のコードを正規の手順で受け取る(または入力させる)」ことで認証を通過してしまうのです。 以下では、SMS認証を突破する代表的な手口を順に見ていきます。 2. リアルタイムフィッシング：入力した瞬間にコードが盗まれる リアルタイムフィッシングは、攻撃者が正規サイトそっくりの偽ログインページを用意し、ユーザーが入力したIDやパスワード、SMSで届いたワンタイムパスワードを「リアルタイムで」正規サイトへ中継する中間者型の攻撃です。 ワンタイムパスワードは短時間しか有効でないからこそ安全と考えられてきましたが、攻撃者がその有効時間内に即座にログインしてしまうため、SMS認証では防ぐことができません。 ユーザー本人が正規の手順どおりにコードを入力しているため、システム側からは正常なログインと区別がつかない点がこの手口の厄介なところです。 2025年に急増した証券口座の乗っ取りも、この中間者型フィッシングが主要な手口とされています。 リアルタイムフィッシングの詳しい仕組みと対策については、こちらの記事で解説しています。 →...
お知らせ一覧
Webスキミングの最新インシデントとチャージバック対策の重要性
2024年10月3日、大手カフェチェーン「タリーズコーヒー」は、ECサイト「タリーズ オンラインストア」で大規模なクレジットカード情報の漏洩があったと発表しました。原因は「Webスキミング」という、よく使われる手口によるものです。Webスキミングは、ユーザーが正規のウェブサイトを利用している際に情報を盗み取るため、被害に気づきにくいという厄介な特徴があります。本記事では、タリーズの事例を取り上げ、Webスキミングの脅威や事業者が直面するチャージバック被害のリスク、その対策の重要性について解説していきます。 1.タリーズ オンラインストアからクレジットカード情報が漏洩 インシデントの概要 2024年10月3日、タリーズコーヒージャパン株式会社は、自社が運営する「タリーズ オンラインストア」において、第三者による不正アクセスが発生し、個人情報およびクレジットカード情報が漏洩した可能性があることを公表しました。 5月20日に警視庁から同オンラインストアでのクレジットカード情報漏洩の懸念について連絡を受けたことが発端です。タリーズは同日中にオンラインストアでのクレジットカード決済を停止し、5月23日にはオンラインストア自体を一時閉鎖しました。 その後、第三者調査機関による詳細な調査を実施した結果、オンラインストアのシステムの脆弱性を突いて不正アクセスが行われたことが判明しました。原因として、ペイメントアプリケーションの改ざんが行われたことが確認されています。 オンラインストアの再開は、セキュリティ強化策を講じた上で改めて告知される予定ですが、2024年10月15日時点で未だ閉鎖されている状態です。 被害の範囲 今回の不正アクセスにより、タリーズオンラインストアの会員92,685名の個人情報が漏洩した可能性があります。漏洩した可能性のある個人情報の内容は以下のとおりです。いずれもユーザーのプライバシーに深く関わるものであり、不正利用やフィッシング詐欺などの二次被害を引き起こす可能性があります。 ・氏名・住所・電話番号・性別・生年月日・メールアドレス・ログインID・ログインパスワード・配送先情報 さらに、2021年7月20日から2024年5月20日までの期間にタリーズオンラインストアでクレジットカード決済を行った52,958名のクレジットカード情報も漏洩した可能性があります。漏洩した可能性のあるクレジットカード情報は以下のとおりです。 ・クレジットカード番号・カード名義人名・有効期限・セキュリティコード 特に、通常はECサイト側で保存されないはずの「セキュリティコード」までもが漏洩している点は深刻です。セキュリティコードはオンライン決済における最後の砦であり、カードの不正利用を防止するための重要な情報です。この情報が漏洿したことで、第三者による不正なカード利用のリスクが極めて高まっています。 2.Webスキミングとは Webスキミングの仕組み ペイメントアプリケーションの改ざん Webスキミングでは、まず、攻撃者はウェブサイトの脆弱性を見つけ出します。 古いソフトウェアの使用、セキュリティパッチの未適用、弱いパスワード設定などが原因となります。脆弱性を特定した攻撃者は、ウェブサーバーやウェブアプリケーションに不正に侵入する流れです。 次に、侵入した攻撃者はユーザーがクレジットカード情報や個人情報を入力する決済ページに、スキマーと呼ばれる悪意のあるJavaScriptコードを埋め込みます。このスキマーは、ユーザーの入力情報を収集するように設計されています。 ユーザー情報の不正取得方法 ユーザーがオンラインショップの決済ページで商品を購入する際、クレジットカード情報や個人情報を入力します。この際に、攻撃者が埋め込んだスキマーが、ユーザーの入力データをリアルタイムで傍受する仕組みです。 通常、ウェブサイトとサーバー間の通信は暗号化されており、第三者が途中でデータを盗み見ても内容を理解できないようになっています。しかし、スキマーはユーザーのブラウザ内で動作しており、ユーザーが情報を入力するまさにその瞬間にデータを取得します。暗号化が行われる前のデータ、すなわち平文をそのまま攻撃者に送信することができるのです。クレジットカードのセキュリティコードまで漏洩したのは、このような仕組みによるものです。 Webスキミングの厄介な点 被害の拡大スピード Webスキミングの深刻な問題の一つは、被害が急速に拡大することです。一度サイトが攻撃者によって改ざんされると、そのサイトを訪れるすべてのユーザーが被害に遭うリスクがあります。 例えば、タリーズオンラインストアの事例では、約3年間にわたり不正アクセスが続いていた可能性があり、その間に約5万3千人のクレジットカード情報が漏洩した恐れがあるとされています。攻撃が長期間放置されると、被害者の数が急増し、被害の範囲も広がってしまいます。 タリーズのように、人気のあるオンラインストアほどアクセス数が多いため、被害の範囲が広くなりがちです。...
お知らせ一覧
マッチングアプリ詐欺の被害額が過去最悪に——JPKI導入後も残る課題と「継続的な本人認証」対策...
マッチングアプリを入口とするロマンス詐欺の被害が、過去最悪を更新し続けています。 マッチングアプリ事業者にとって、なりすまし・詐欺アカウントへの対策は、サービスの信頼性を左右する経営課題となっています。本記事を最初に公開した2024年秋の時点では、「政府がマッチングアプリの本人確認にマイナンバーカードの活用を働きかける方針」という段階でした。その後、デジタル庁と業界団体の協定締結、大手アプリでの公的個人認証サービス（JPKI）導入が相次ぎ、登録時の本人確認は大きく前進しています。 ところが、被害額は減るどころか増え続けています。登録時の確認強化だけでは防ぎきれない、構造的な課題が残っているためです。本記事では、2026年時点の最新統計と業界動向を整理したうえで、JPKI導入後もなお残る課題と、事業者が取り得る「継続的な本人認証」の対策を解説します。 1. マッチングアプリ詐欺被害の実態——2025年（令和7年）確定値で見る現状 出会いの主要手段として定着したマッチングアプリ マッチングアプリは、いまや恋愛・婚活における主要な出会いの手段として社会に定着しました。デジタル庁の発信でも、こども家庭庁の調査を引きながら「結婚した夫婦の4人に1人がマッチングアプリで出会う」時代とされており、大手アプリ「Pairs（ペアーズ）」は2023年9月時点で累計登録数2,000万を突破しています。低価格な月額料金や無料プランの提供により手軽に始められることもあり、若年層に限らず幅広い年代に利用が広がっています。 利用者の裾野が広がった一方で、その匿名性と手軽さを悪用する詐欺グループにとっても、マッチングアプリは格好の「入口」となってしまっています。 被害総額は1,834.3億円で過去最悪を更新 警察庁の広報資料（令和7年確定値）によると、2025年（令和7年）のSNS型投資・ロマンス詐欺の被害総額は1,834.3億円（SNS型投資詐欺1,288.0億円、SNS型ロマンス詐欺546.4億円）にのぼり、前年から562.4億円増加して過去最悪を更新しました。 とりわけ注目すべきは犯人との「接触ツール」です。SNS型ロマンス詐欺では、被害者が犯人と最初に接触したツールとしてマッチングアプリが32.7%で最多となっています。投資型の詐欺ではSNS上の広告やダイレクトメッセージが主な入口となる一方、恋愛感情を利用するロマンス型では、マッチングアプリが最大の入口になっているのです。 利用者がアプリを通じて知り合った相手と、直接会うことなくメッセージを重ねるうちに親密さや恋愛感情を抱き、最終的に投資名目などで金銭を騙し取られる——この構図は変わらないまま、被害の規模だけが拡大し続けています。 マッチングアプリ詐欺の被害事例 以下は国民生活センターが公表した相談事例です（2022年12月公表の報道発表資料より）。オンラインのやり取りだけでは相手の身元確認が不十分になりがちで、問題が発生した際に相手の足取りを追うことが困難になる点に留意が必要です。 ケース1 マッチングアプリで日本在住のワイン輸入業者の役員を名乗るイギリス人男性と知り合い、無料メッセージアプリで連絡を取り合うようになりました。彼は「結婚後に資金を出し合って投資しよう」と提案し、利用者は暗号資産で130万円、さらに男性に会うために追加で40万円を送金しました。その後も追加の送金を求められ、20万円を送った後、男性との連絡が途絶えました。 ケース2 マッチングアプリで知り合った中国人女性に、FX取引で儲けていると勧められ、彼女の指示でスマホに取引アプリをインストールしました。アドバイザーと称する人物とも連絡を取り、まず10万円、その後さらに200万円を国内の外国人名義の口座に振り込みました。アプリ内で利益が出ているのを確認して出金を依頼しましたが、返信が来なくなりました。 両ケースに共通するのは、「アプリ上で知り合った後、早い段階で外部の連絡手段に誘導され、金銭のやり取りはアプリの外で行われている」という点です。これは後述する「JPKI導入後も残る課題」を考えるうえで重要なポイントです。 2. 本人確認は「券面撮影」から「JPKI」へ——実現した政府・業界の対策 従来型eKYCの限界が出発点 マッチングアプリの多くは、身分証の写真提出と顔照合を組み合わせたeKYC（電子的な本人確認）を採用してきました。しかし、券面の画像をベースとする確認方式は偽造書類に対して脆弱です。マイナンバーカードを含む偽造書類の製造拠点が摘発される事例が相次ぎ、精巧な偽造身分証が流通する状況では、画像照合だけでなりすましのリスクを排除することは困難でした。 こうした背景から2024年9月、当時の河野太郎デジタル大臣は、ロマンス詐欺抑止のため、マッチングアプリの本人確認にマイナンバーカードのICチップ読み取りや公的個人認証サービス（JPKI）を活用するよう業界に働きかける方針を示しました。 協定締結から大手アプリのJPKI導入へ——1年余りで進んだ実装 この方針は、その後1年あまりで具体的な実装へと進みました。 2025年6月19日: デジタル庁と一般社団法人恋愛・結婚マッチングアプリ協会が「マッチングアプリサービスにおけるマイナンバーカード活用等に関する協定書」を締結。本人確認に加え、年齢・独身証明・所得証明といった属性情報の確認への活用も視野に、官民で協力する枠組みが整いました。 2025年9月30日: 「タップル」がJPKIを用いた本人確認を開始しました。...
お知らせ一覧
急増するリアルタイムフィッシングの脅威と対策
現代のサイバー攻撃は、かつてないほど巧妙化しており、中でも急増しているのが「リアルタイムフィッシング」です。従来のフィッシング攻撃を進化させ、被害者が入力した情報をリアルタイムで盗み取ることで、瞬時に不正利用が可能となる仕組みです。 本記事では、リアルタイムフィッシングの被害事例や手口、旧来のセキュリティ対策の限界を詳しく解説していきます。リアルタイムフィッシングの脅威を正しく理解し、適切な対策を講じることが重要です。 1.リアルタイムフィッシングによる被害事例 NTTドコモ利用者のケース 2021年9月末から10月初めにかけて、NTTドコモの利用者がリアルタイムフィッシングの手口により、約1億円分のギフトカードを不正に購入される被害が発生しました。被害者は「ドコモお客様センター」からの支払い確認を求める偽のSMSを受け取り、添付されたURLをクリック。 遠隔操作ウイルスを含む偽アプリ「NTTセキュリティ」をインストールさせられる仕組みです。被害者が携帯端末に契約者確認用の暗証番号を入力すると、犯人は即座に盗み、ドコモのオンラインショップで不正購入を行ったと見られます。 従来のフィッシング攻撃と異なり、リアルタイムフィッシングでは、攻撃者が被害者の動作をリアルタイムで監視し、瞬時に情報を利用します。このため、被害者が何が起こったのかを理解する前に、重大な損害が発生するリスクが高まっているのです。 2.リアルタイムフィッシングの手口 偽メールやSMSによる誘導 攻撃者は、まず被害者を偽サイトやアプリに誘導するために、信頼できる企業やサービスを装ったメールやSMSを送信します。例えば、「ご利用料金のお支払いが確認できません」や「アカウントに不審なアクセスがありました」といった内容で、緊急性を感じさせるメッセージがよく使われる手口です。被害者はメッセージに記載されたリンクをクリックしてしまい、偽のログインページやアプリに誘導されます。 偽ログインページと偽アプリの使用 リンクをクリックした被害者は、正規のログインページやアプリに見せかけた偽のページに辿り着きます。この偽ページやアプリは被害者が疑いを持たないよう、本物と精巧に似せて作成されていることが通常です。被害者は、普段通りログイン情報や暗証番号を入力してしまいますが、実際にはその情報は攻撃者のサーバーに送信される仕組みです。 リアルタイムでの情報収集 被害者が入力した情報は、リアルタイムで攻撃者に送信されます。これにより、攻撃者は被害者がまだログイン中である間に、その情報を利用して正規のサービスにアクセスすることが可能になります。例えば、銀行口座にアクセスして送金を行ったり、オンラインショップで商品を購入したりといった不正行為が即座に実行可能です。 即時不正利用の実行 攻撃者は、盗み取った情報を利用して、瞬時に不正な操作を行います。被害者がログインしている間に、攻撃者が同じ情報を使って別のデバイスからアクセスし、アカウントの乗っ取りや資金の不正送金を行うことができます。このプロセスは非常に迅速に行われるため、被害者が異常に気付く前に不正利用が完了しているケースがほとんどです。 3.リアルタイムフィッシングを可能とする仕組み データ転送のリアルタイム性 リアルタイムフィッシングの最大の特徴は、被害者が入力した情報が瞬時に攻撃者へ送られる点です。通常、被害者は偽のログインページやアプリに自分のIDやパスワードを入力しますが、その情報はリアルタイムで攻撃者のサーバーに転送されます。攻撃者は被害者がログインしているその瞬間に、同じ情報を使って正規のサイトにアクセスし、不正行為をできる仕組みです。 中間者攻撃で2要素認証も突破 リアルタイムフィッシングの一部では、「中間者攻撃」という技術が使われることがあります。これは、攻撃者が被害者と正規のウェブサイトやアプリの間に割り込み、通信を傍受する手法です。攻撃者は、被害者が送信するデータを盗み取るだけでなく、被害者と正規サイトのやり取りをリアルタイムで操作することで、2要素認証を突破することも可能です。 例えば、攻撃者は偽サイトを作成し、被害者に「アカウントにリスクがある」と警告するメッセージを送信します。被害者が偽サイトにIDとパスワードを入力すると、それが正規サイトに転送され、セキュリティコードが被害者に送信されます。 被害者がそのコードを偽サイトに入力することで、攻撃者はコードを使って正規サイトにログインし、アカウントを乗っ取ることができるのです。これにより、被害者が全く気付かないうちに、情報が盗まれ、悪用されます。 動的に生成されるフィッシングサイト リアルタイムフィッシングで使用されるフィッシングサイトは、非常に短期間だけ存在し、その後すぐに消えることが多いです。偽サイトは動的に生成され、攻撃者がターゲットを誘導するためだけに使われます。従来のセキュリティ対策では、このような短命なサイトを発見しブロックすることが難しいため、被害を未然に防ぐことが難しくなっています。 4.旧来のセキュリティ対策の限界 静的パスワードの脆弱性 静的パスワードは、最も基本的なセキュリティ手段として広く使用されてきました。ユーザーが一度設定したパスワードをずっと使い続けるこの手法は、シンプルで便利ですが、リアルタイムフィッシングの前では脆弱です。 被害者が偽のログインページに入力したパスワードは、即座に攻撃者に渡ります。攻撃者はその瞬間に、このパスワードを使って正規のサイトにアクセスし、アカウントを乗っ取ることが可能です。 秘密の質問とセキュリティ質問の限界...
お知らせ一覧
クレジットマスターアタックとは？EMV 3-Dセキュア義務化後も続くカード不正への事業者対策【...
クレジットカード詐欺の手口は年々巧妙化の一途を辿っています。 2025年3月末にはEMV 3-Dセキュア(3DS)の導入が原則すべてのEC加盟店に義務化され、業界を挙げた対策が一つの節目を迎えました。しかし、クレジットマスターアタック(クレマス)やフィッシングによる不正は、義務化後もなくなっていません。 ユーザー自身の注意だけで被害を防ぐことはすでに限界を迎えています。そして被害は、チャージバックや決済停止といった形で事業者自身の損失にも直結します。詐欺からユーザーを守る対策強化は、事業者自身を守る取り組みでもあるのです。 本記事では、最新の被害統計と3DS義務化後の環境変化を踏まえ、いまも続く詐欺の手口と、事業者が取るべき具体的な対策をご紹介します。 1.クレジットカード不正利用の最新動向：減少に転じても被害は500億円超 一般社団法人日本クレジット協会の調査によると、クレジットカードの不正利用被害額は2024年に555.0億円と過去最悪を記録しました。その後、2025年は510.5億円と前年比8.0%の減少に転じています。年間被害額が前年を下回るのは、コロナ禍の2020年以来5年ぶりのことであり、後述するEMV 3-Dセキュア義務化をはじめとする業界全体の対策が、一定の効果を上げ始めたと見ることができます。 しかし、これで安心できる状況では決してありません。2025年の被害額510.5億円は、依然として年間500億円を超える高い水準です。 内訳を見ると、被害の中心は「番号盗用」です。番号盗用とは、クレジットカード番号やセキュリティコードなどのカード情報が不正に取得され、その情報を基に非対面(EC)取引などで不正利用される手口です。2025年の番号盗用被害額は475.4億円で、被害全体の93.1%を占めています。これは2014年の番号盗用被害額(67.3億円)と比較して約7倍にあたる水準であり、この10年余りで「カード情報がどこかで盗まれ、本人になりすまして使われる」タイプの不正がいかに急拡大してきたかを物語っています。 統計上は減少に転じたとはいえ、番号盗用への対策こそが引き続き最大の課題であることに変わりはありません。 2.転機となったEMV 3-Dセキュア義務化(2025年3月末) こうした状況を受け、経済産業省も参画するクレジット取引セキュリティ対策協議会(事務局: 日本クレジット協会)が策定する「クレジットカード・セキュリティガイドライン」に基づき、2025年3月末までに、原則すべてのEC加盟店に対してEMV 3-Dセキュア(本人認証サービス)の導入が義務化されました。なお、この「義務化」は割賦販売法に基づく実務上の指針(ガイドライン)が求める必須対策としての位置づけであり、法令の条文で直接義務づけられたものではありません。 EMV 3-Dセキュアは、決済時に取引のリスクを判定し、リスクが高いと判断された取引にのみワンタイムパスワード等の追加認証を求める仕組みです。従来型の3Dセキュア(1.0)と比べて利便性と安全性のバランスに優れており、番号盗用対策の柱として位置づけられています。2025年の被害額が前年から減少に転じた背景には、この義務化の効果があると考えられます。 ただし、注意すべきは「3DSを導入すれば不正はなくなる」わけではないという点です。 フィッシングでカード情報とともにワンタイムパスワードまでリアルタイムに詐取し、3DS認証を突破する手口が確認されています。 リスク判定で「低リスク」とされた取引は追加認証なしで通過するため、正規ユーザーになりすました不正が通り抜ける余地が残ります。 3DSはあくまで「決済時」の防壁であり、会員登録やログインといった決済前の接点は守ってくれません。 実際、義務化後の2025年も番号盗用被害は475.4億円にのぼっており、3DS義務化を前提としたうえで、なお残るリスクにどう向き合うかが、事業者に問われる新しい課題となっています。 3.義務化後も続く手口：「クレジットマスターアタック」と「フィッシング」 では、義務化後もなお残る不正の入口とは何でしょうか。代表的な手口である「クレジットマスターアタック」と「フィッシング」の仕組みを見ていきましょう。 クレマスの仕組み クレジットマスターアタック(クレマス)は、従来のクレジットカード詐欺とは異なり、カード保有者が自らの番号をどこにも提供していなくても不正利用される可能性があるという点で、非常に厄介です。 通常のカード詐欺は、攻撃者がカード番号やセキュリティコードを盗み取り、その情報を不正に利用する形を取ります。 しかしクレマスでは、攻撃者がクレジットカード番号の生成規則(アルゴリズム)を利用して機械的に大量の番号を生成し、ECサイトの決済画面やカード登録フォームなどで自動的に試行します。その中から「実在する有効な番号」を見つけ出すのです。 つまり、攻撃者が機械的に生成した番号が偶然にも実際のカード番号と一致すれば、カード保有者がどれほど情報管理に気をつけていても、知らないうちに不正利用の被害に遭うことになります。...
お知らせ一覧