広がるキャッシュレス決済に潜むリスク
ｆｊコンサルティング株式会社

瀬田

1．はじめに代表取締役 CEO陽介 Yosuke Seta

増加している2）（図1）。キャッシュレスといえば大量のテレビ広告や店頭でのポイント還政府は2018年4月に公表した『キャッシュ1）

元キャンペーンを行っている QR コード決済

レス・ビジョン 』にて、「支払い方改革宣言」の印象が強いが、実際にはクレジットカードとして2025年までにキャッシュレス決済比による決済がもっとも多く、金額シェアで9率※140％の目標を掲げ、さまざまなキャッ割近くを占める。
2020年以降の新型コロナウイルス感染拡シュレス推進の施策を実施している。
本稿では、急速に普及が進むキャッシュレ

大もキャッシュレス決済の普及を後押ししている。不特定多数の人の手を介して流通する

ス決済に潜むリスクについて解説する。

2．普及が進むキャッシュレ
ス決済と2つのリスク

現金に対する衛生面での懸念から、業種別の感染拡大防止ガイドラインの多くでキャッシュレス決済の利用が推奨されている。消費者も QR コード決済のような少額支払いをし2019年10月から2020年6月にかけて実施

やすい非接触キャッシュレス決済手段の普及された「キャッシュレス・消費者還元事業」

や、外出自粛による e コマース※2（Electronicを始めとするキャッシュレス推進政策によCommerce、電子商取引：以下、EC）利用のり、国内のキャッシュレス決済比率は順調に増加により、これまでは現金で支払っていた

図1

民間消費支出に占めるキャッシュレス決済比率の推移

29.7

30.0
25.0
20.0

15.0
10.0

26.8
21.3
20.0
0.37
0.30 1.7
18.2
1.7
1.5 0.14

24.1
0.44
1.8 0.05

21.9

1.9

0.56
0.31

2.1

24.0

25.7

2020

16.5

18.0

19.2

2015

2016

2017

2018

2019

QRコード

電子マネー

デビットカード

5.00.0

クレジットカード

野村総合研究所レポート 2）及び2020年統計を基に作成※ QR コードは2018年以降

0.79
1.10

※1
キャッシュレス決済比率
民間最終消費支出に占める、
クレジッ
トカード支払額・電子マネー支払額・デビッ
トカード支払額・QR コー
ド決 済 支払 額 合 計の割合。
※2
e コマース（EC）
本稿では主に消費者向けにインターネットを介して行われる商品やサービスの販売を指している。

SE 205 December 2021 21

ような買い物でもキャッシュレスで支払う機である（図2）。

会が増えている。
キャッシュレス決済は便利なものだが、そ（1）フィッシングの反面リスクも存在する。大きくは「盗まれ銀行やカード会社、EC サイトなどをかたるリスク」と「なりすまして使われるリスク」

り、偽のメール（フィッシングメール）を送の2つに分けることができる。

信して偽のサイト（フィッシングサイト）に3．カード情報流出はどこで発生しているか消費者を誘導する。誘導先のサイトで ID、パスワード、カード情報などを入力させてその情報を窃取する。
フィッシングメールの送信元は、正規の「盗まれるリスク」とは、クレジットカードカード会社などと紛らわしいドメインのメー※3

ルアドレスが使用される。文面は「第三者になど、決済に必要な情報が流出することを指よるクレジットカードの不正利用の可能性がす。現在、カード情報流出のほとんどはオンあります」「ログインがロックされました」

ラ イ ン で 発 生 し て い る。 代 表 的 な 手 段 がなど、今すぐ確認を促す文言と共に、紛らわ「フィッシング」と「オンラインスキミング」

しい URL のリンク先が提示される。の場合、カード番号やセキュリティコード※3
セキュリティコード
クレジットカード裏面に記載されている3桁のコード（クレジットカード会社によっては表面に記載された4桁のコード）。CVC、CVVとも言う。

図3は実際にカード会社をかたって送信さ図2れたフィッシングメールの例である3）。クレ

カード情報窃取の手段

ジットカードの不正利用があった旨を通知し、利用状況を確認するサイトとしてフィッシングサイトにリンクするボタンを掲載し誘
フィッシング

図 3

導している。誘導先のフィッシングサイトはオンラインスキミング

実際のカード会員向けサイトのログイン画面と 見 分 け が つ か な いものフィッシングメールの例

で、ログインのために ID

メール本文とパスワードを入力させ、●●カードをご利用いただき、ありがとうございます。
このたび、本人様のご利用かどうかを確認させていただきたいお取引がありましたので、誠に勝手ながら、カードのご利用を一部制限させていただき、ご連絡させていただきました。

次に「セキュリティ強化のつきましては、以下へアクセスの上、カードのご利用確認にご協力をお願い致します。
お客様にはご迷惑、ご心配をお掛けし、誠に申し訳ございません。
何卒ご理解いただきたく、お願い申し上げます。

有効期限、カード名義人名、ご回答をいただけない場合、カードのご利用制限が継続されることもございますので、予めご了承下さい。
ご利用確認はこちら

クリック

ご不便とご心配をおかけしまして真に申し訳ございませんが、何卒ご理解賜りたくお願い申し上げます。
ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー
発行者
●●カード
東京都xx区xx町xx-xx
偽のカード会員ページログイン画面を表示→IDとパスワードを入力

情報窃取

偽のカード情報確認画面を表示→カード番号、有効期限、名義人名、セキュリティコードを入力22ため」としてカード番号、セキュリティコードを入力させる手口である。

（2）オンラインスキミ
ング
オンラインスキミング
は、EC サイトで偽のカード決済画面を表示したり、正規のカード決済画面の中に不正なプログラムのコードを埋め込むなどの手法で、入力されたカーカード情報を不正に入手して売却し利益を得ド情報を悪意のある第三者に不正に送信さる犯人と、実際にカード情報を不正利用してせ、窃取する手法である。店頭で使用するカー金銭的な利益を得る犯人の間で分業されておド決済端末に細工をして不正に磁気ストライり、一種のエコシステムが成立している。

プ情報を入手する「スキミング」という手法

4．銀行口座から不正に預金が引き出される事例も発生は古くから存在していた。この手法は、そのオンライン版ということでオンラインスキミ
ングと呼ばれている。
オンラインスキミングでは、カード情報の窃取は、消費者が決済画面にカード情報を入カード情報の不正利用もまたオンラインで力する都度行われる。決済の時に入力する、行われる。他人のクレジットカード情報を利カード番号、有効期限、カード名義人、セキュ用して不正に決済を行う「番号盗用」（なりリティコードが、決済代行事業者に送られるすまし）による不正利用被害は増加の一途をと同時に犯人にも送られる。決済自体は正常

た ど っ て お り、2020年 の 番 号 盗 用 被 害 はに完了するため商品やサービスは問題なく提223億円に達している4）。これはクレジット供されることが多く、消費者からのクレームカード不正利用全体の約9割に達している。

は発生しない。また、カード情報は消費者の不正に入手したカード情報は、そのままブラウザから犯人に直接送られるため、EC サ

EC サイトでの決済に使用することもできる

イトのサーバーに保存されたカード情報をまが、最近増えているのは、QR コード決済など、とめて窃取する手法と異なり、サーバーのロスマートフォン決済アプリの支払手段としてグ（通信履歴）に残らず気付かれにくい。そ

登録し、高額商品や換金性の高い商品を購入のため、被害は少しずつ長期に渡って発生し、して現金化したり、還元ポイントを窃取した

1事件あたりのカード情報の流出件数は比較りする手口である。いったんクレジットカー※4
ダークウェブ
アクセスするために特定のソフトウェアや設 定が必要で、通常のインターネットからはアクセスできない
ウェブサイト。
クレジッ
トカー
ド情報などの他、銃 器、違法薬物などの売買が行われている。

的少ないことが多い。国内
ではカード情報流出事件の1事件あたりの流出件数は2018年以降減少傾向にあ

図4

国内のカード情報流出事件発生状況（件）

事件数60（千件）

流出件数600

り、直近では大半の手口が50500

オンラインスキミングであ40400ると考えられる（図4）
。

30300

20200

10

10000

多くの場合、カード情報を窃取した犯人が、それらの情報を直接不正利用する
こ と は な い。 窃 取 さ れ た
カード情報は犯罪者が拳銃や違法薬物などを売買する「ダークウェブ

※4」と呼ばれるウェブサイトで売買されているといわれている。

2014年 2015年 2016年 2017年 2018年 2019年 2020年 2021年（7月まで）【年別の推移】発覚年
事件数
カード情報流出件数
1件あたり平均件数

2014年 2015年 2016年 2017年 2018年 2019年 2020年
12213025

245151

2021年（7月まで）
47138,717 123,527 255,689 564,844 283,374 375,479 90,147 185,857
12,611

7,266

9,132

23,535

12,321

7,362

1,768

3,957

ｆｊコンサルティング調べ

SE 205 December 2021 23

ドの登録に成功すると、EC サイトだけでな2020年には複数の QR コード決済サービ

く、対面店舗での決済でも利用が可能になる。

スを含むキャッシュレス決済サービスで決済

店舗では不正なクレジットカードで支払が行手段としてクレジットカードではなく銀行口われていることに気づく術はなく、また商品座を登録することで、銀行預金が不正に引きをその場で持ち帰れてしまうため犯人の特定出される事件が発生した。最も被害が大きも困難となる。この手口は2018年の終わり

かった QR コード決済サービスでは、11のに新規にサービスを開始した QR コード決済

銀行から128件、2,885万円の預金不正引きサービスで多発したことで広く知られるよう出し被害を認定している6）。また、複数のになった。これがきっかけで、2019年4月

キャッシュレス決済サービスで預金不正引き※5にはキャッシュレス推進協議会により、ア出しをされた銀行もあり、最も被害の大きカウント作成時や決済手段登録時の本人認証

かった銀行では7つのサービスにおいて210について QR コード決済事業者が講じるべき件、4,940万円が不正に引き出されている7）。

対策を定めたガイドラインが公開された。

キャッシュレス決済サービスを利用した銀QR コード決済アプリのログイン ID とパ

行預金不正引き出しの手口を図示したのが図スワードを乗っ取り、すでに登録されている5である。まず、犯人は、預金者になりすま決済手段を不正に利用する事件も発生していしてキャッシュレスサービスのアカウントをる。ログイン ID とパスワードのリストはカー開設する。その際に必要な名前、銀行口座番

ド情報と同様にダークウェブで売買されてお号、生年月日などの情報は、前述のフィッシ

り、複数のオンラインサービスでログインングやダークウェブでリストを購入するなどID とパスワードを使いまわしているようなしてあらかじめ入手しておく。アカウントが場合は被害に合う可能性が高くなる。2019開 設 で き た ら、 支 払 い 手 段 と し て 銀 行 の年夏に大手流通業がサービスを開始した QR

Web 口座振替サービスを利用して銀行口座コード決済サービスは、開始から半月余りでを登録する。登録できたら、キャッシュレス3,800万円以上の不正利用被害が発生し、開決済サービスにその口座からチャージ※6し、始から1ヶ月でサービス廃止を決定した5）。

タバコのカートンなどの換金性の高い商品を

図5

キャッシュレス決済サービス不正利用の手口

被害者※5
キャッシュレス推進協議会
2018年4月に発行されたキャッシュレス・ビジョン1）の提言を受け、キャッシュレス社会の実現に向けた業界 横断の推進組織として2018年7月に設 立された一般社団法人。
※6
チャージ
電子マネーや QR コード
決済サービスで、現金による支払いやクレジットカード決済、預金口座からの引き出しを事前に行い、利用可能な残高を増やすこと。

24

キャッシュレス決済サービス⑤店頭で提示し商品等を購入（想定）

換金性の高い商品③不正入手した口座情報を使って口座連携

銀行口座④キャッシュレス決済サービスにチャージ②被害者になりすましてキャッシュレス決済サー
ビスのアカウント開設

現金化

①不正入手
• 名前
• 口座番号• 生年月日 等

犯人購入して現金化する。
銀行口座の登録時には、当然、本人認証が5．キャッシュレス決済のリスクを回避するために必要となる。被害にあった銀行の多くが銀行口座番号と4桁のキャッシュカード暗証番号

ここまで見てきたようなキャッシュレス決のみ、あるいは加えて生年月日などの入手・済のリスクを回避するために、消費者が留意推測が容易な情報による本人認証のみで銀行すべきポイントを挙げる。

口座登録を認めていた。

最も基本的な注意として、クレジットカー

暗証番号が不明だった場合も、4桁の数字ド情報や ID、パスワードなどを入力する場であれば、最大でも1万回の試行で正しい暗合は、信頼できるサイトやアプリであること証番号に一致して認証に成功することになを十分に確認することが挙げられる。クレる。当然、銀行側でも対策はしており、同じジットカード情報を入力する場合は、EC サ

口座番号に対して一定回数連続して暗証番号イトの正規の決済画面であることを、画面のを間違えた場合は不正な試行とみなして登録

見た目だけでなくブラウザの URL を見て確をさせないようになっている。

かめる。スマートフォンの場合、URL が全

今回の事件では、逆に暗証番号を固定してて確認できない、表示される文字が小さいな銀行口座番号の方を総当りで入力する「リどの課題があるので注意が必要である。ある

バースブルートフォースアタック」（図6）

いは、アプリを利用する場合であれば、正規により認証が突破された可能性が指摘されてのアプリストアからダウンロードしたアプリいる。1回の試行毎に銀行口座番号を変更すだけを利用するといったことも必要である。

ることで別々の口座に対する認証試行となる

また、フィッシング防止のため、メールで届ため、「一定回数連続して暗証番号を間違えいた URL については怪しいものと考えてむた場合は不正な試行とみなす」という対応でやみにクリックしないことが重要である。不は防ぐことができない。

正利用のお知らせなど、緊急性を要する可能性が考えられるメールであれば、EC サイト

図6

リバースブルートフォースアタック

攻撃者

銀行口座番号

暗証番号

AAAAAAA8520

BBBBBBB

8520

CCCCCCC

8520

DDDDDDD

8520

EEEEEEE

8520

FFFFFFF

8520

GGGGGGG

8520

入力の都度変更

同じ数字に固定認証結果

××××××○キャッシュレスサービスの銀行口座紐付け
■■■
■■■
■■■
■■■
■■■
■■■
■■■
■■■
■■■

口座所有者として認証
正規の認証情報と一致⇒認証成功

異なる口座に対するログイン試行とみなされるためロックがかからない

SE 205 December 2021 25

やクレジットカード会社の問い合わせ窓口にキャッシュレス事業者により補償されて電話で問い合わせて確認する。その際も、メーいる。

ルに書かれた電話番号ではなく、EC サイト上に記載された問い合わせ窓口や、クレジッ

6．まとめ

トカードの裏面に書かれた電話番号を使用する。

QR コード決済など新しいキャッシュレス

複数のサービスで ID とパスワードの使い決済の登場により、クレジットカードの不正回しを行わないことも重要な対策である。ID利用だけでなく新しい決済手段を悪用した銀についてはメールアドレスを用いているサー行預金の不正引き出しなどの新たなリスクがビスも多い。変更が難しい場合は、パスワー生まれている。しかし、必要な対策を行い迅ドを十分な長さで、かつ推測されやすい英単速に気づくことができれば、被害は原則補償語などを避け、他のサービスと重複しないよされる。過度にキャッシュレスを恐れず、必うに設定することが望ましい。

要なセキュリティ対策をした上で利用するこ

また、キャッシュレスサービスの多くが、とが肝要である。

ID とパスワードに加えて、SMS（ショートメッセージサービス）やスマートフォンのアプリで提供されるワンタイムパスワード※7も認証要素として使用する「多要素認証」の導入を進めている。可能な場合は設定することで、決済情報を盗まれるリスクや不正利用のリスクは大きく軽減される。
もしも不正利用の被害にあった場合は、クレジットカードの場合、被害の届け出からさかのぼって60日以内の被害は原則としてクレジットカード会社から補償される。被害から時間が経ちすぎた場合は補償されないので、日頃からクレジットカードの利用明細をよく確認して、身に覚えがない決済がないか

参考文献 1） 経済産業省：キャッシュレス・ビジョン , 2018. https：//www.meti.go.jp/press/2018/04/20180411001/20180411001-1.pdf
2） 野村総合研究所：キャッシュレス決済比率 28.5％ のさらなる拡大に向けて，中小事業者への導入に伴うハードル低減を , NRI パブリックマネジメントレビュー，208，November，2020. https://www.nri.com/jp/knowledge/
publication/mcs/region/lst/2020/11/04
3）（一社）フィッシング対策協議会：フィッシングに関するニュース，202. https://www.antiphishing.jp/news/alert/4）（一社）日本クレジット協会：クレジットカード不正利用被害の発生状況 ,2021年9月．https://www.j-credit.or.jp/
information/statistics/download/toukei_03_g.pdf5）（株）セブン・アンド・アイ・ホールディングス：「7pay（セブンペイ）」サービス廃止のお知らせとこれまでの経緯，今後の対応に関する説明について，2019年8月1日．
https://www.7andi.com/company/news/release/201908011500.html
6） 日本経済新聞：ドコモ口座，判明被害の補償完了 128件で2885万円，2020年10月28日．https://www.nikkei.com/
article/DGXMZO65570570Y0A021C2000000/
7） 日本経済新聞：ゆうちょ銀，決済被害4900万円の補償完了 顧客210人に，2020年10月5日．https://www.nikkei.
com/article/DGXMZO64627370V01C20A0EE9000/

どうかをきちんと確認する習慣が大切だ。な
お、補償を受ける条件として、警察への被害届と、クレジットカードの裏面に署名欄がある場合は自筆サインがされていることが必須となる。
QR コード決済については、全国銀行協会、日本資金決済業協会、キャッシュレス推進協議会などが中心となって、セキュリティ対策※7
ワンタイムパスワード
認証の都度発行される、1回限りの使い捨てのパスワード。

26

や利用者への補償に関する業界統一ルールが整備されつつある。4章で紹介した事件については、不正利用と認定された被害は銀行やせたようすけ 

クレジットカードの国際的セキュリティ標準である PCI DSS の認 定 評 価 機 関（QSA） 代 表、 日 本 初 の PCI SSC（PaymentCard Industry Security Standards Council）認定フォレンジック機関（PFI）ボードメンバーを経て2013年ｆｊコンサルティング
株式会社を設立。キャッシュレスやセキュリティのコンサルタントとして、講演・執筆活動を行う。直近の著書は『改正割賦販売法でカード決済はこう変わる』（日経 BP 社、共著）