Cashless Security Report
Annual Report

2023

2023年10月26日
かっこ株式会社
ｆｊコンサルティング株式会社

はじめに
2023年6月に経済産業省が公表したデータによれば、2022年の決済手段の内訳は、コード決済の占める割合が2022年のキャッシュレス決済比率は36.0%と2021年に比べ電子マネーを上回った。一方、クレジットカードも、タッて3.5%の増加となった。東京オリンピック・パラリンピッ

チ決済など非接触決済対応の広がりもあり、2021年のクで2021年に加速したキャッシュレス比率の上昇傾向は、

27.7%から30.4%へと着実に増加している。キャッシュレ

2022年以降も継続している。政府は「2025年に民間最終ス決済に占めるクレジットカードの割合は84.5%となっ消費支出に占めるキャッシュレス決済比率40%」の目標をた。2021年の85.3%からはやや減少しているが、依然日本掲げているが、前倒し達成がほぼ確実となっている。

のキャッシュレスの８割以上をクレジットカードが占めている。

キャッシュレス比率が上がる一方で、クレジットカード

新している。不正利用されるカード情報は、不正アクセスなどのカード情報を狙った攻撃やキャッシュレス決済の不などにより加盟店から流出したもの以外にもフィッシング

正利用の被害は増加している。2022年は複数の加盟店が利やクレジットマスターなどの手口で取得されたものの割合

用するサービスプロバイダを狙った攻撃（サプライチェーが増えつつある。従来のクレジットカードセキュリティ

ン攻撃）が2件、公表された。それらのサービスを利用すは、カード情報流出事件が減れば不正利用も減るという相る多数の加盟店が被害を受け、計40万件以上のカード情報関を前提としていたが、それ以外の手口にも対応しなけれが流出した。

ば不正利用被害は減少しない状況に変化している。

クレジットカード不正利用金額は2021年をさらに上回
り、年間でついに400億円を突破し、過去最悪の記録を更© Cacco Inc.2023/©fjconsulting Inc.2023

1

キャッシュレスセキュリティの重要性が増す中、かっこ

年次レポート「キャッシュレスセキュリティ2023」は、こ株式会社とｆｊコンサルティング株式会社とは、2023年7の取り組みの一環として、国内のキャッシュレス不正被害

月より、クレジットカード情報流出事件に関する統計とECの現状と対策について、両社が共同で取りまとめた。本レに関する不正利用傾向に関するレポートを共同でとりまとポートが安全安心なキャッシュレス社会の実現に貢献でき

め、四半期ごとに公表している。

れば幸いである。

本レポートに記載された統計、数字などの情報を引用される際は、必ず出典元として「キャッシュレスセキュリティレ
ポート2023」（かっこ、ｆｊコンサルティング）と明記ください。
出典を明記されない形での転載及び複製を禁じます。

© Cacco Inc.2023/©fjconsulting Inc.2023

2

もくじ
はじめに
１．2022年のカード情報流出事件の概況(1) カード情報流出事件数・流出件数の推移(1)-1.年次推移(1)-2.四半期別推移(2) カード情報流出事件の傾向(2)-1.業種/取扱い商材別・情報流出期間別事件(2)-2.カード情報窃取の手口：カード情報入力画面のCSPを回避するオンラインスキミング(2)-3.プラットフォーム：EC-CUBE4.0系にも被害が拡大(3) 2022年のカード流出事件のトピック(3)-1. PCI DSS準拠済みの決済代行事業者A社(3)-2. Webマーケティング支援ツール提供会社 J社

２．2022年のECサイトにおける不正利用の概況(1) クレジットカード不正利用被害額の推移(1)-1. 2022年のクレジットーカード不正利用額と傾向(1)-2. クレジットカード不正利用被害増加の要因(2) ECサイトにおける不正注文の傾向(2)-1.「O-PLUX」導入加盟店における不正注文の傾向(2)-2. EC事業者の不正注文対策状況(3) 2022年のECサイトにおける不正利用のトピック(3)-1.クレジットカード不正利用における注文金額の低額化及び狙われやすい商材(3)-2.クレジットカード不正利用の手口の多様化(3)-3.クレジットマスターによる被害(3)-4.フィッシングによる被害(4)イシュア（カード発行会社）における送信ドメイン認証（DMARC）導入状況

３．制度・政策の動向(1) セキュリティ対策強化検討会とクレジットカード・セキュリティガイドライン改訂(1)-1. 非保持化済みEC加盟店に対するセキュリティ対策チェックリストの導入(1)-2. モバイルデバイスを利用した決済のセキュリティ対策(1)-3. 全てのEC加盟店に対し2025年3月末のEMV 3Dセキュア導入義務化へ(1)-4. 不正利用情報の共有に向けた検討を開始(1)-5. 警察等との連携強化(2) 「EMV3-Dセキュア」の現状(3) フィッシング対策の強化(4) FATF第4次審査結果を受けたクレジットカード業界の規制強化の方向性© Cacco Inc.2023/©fjconsulting Inc.2023

4
4
6
6
6
8
11
14
14
15

16
16
17
17
17
17
18
18
19
19
19
21

25
26
26
26
26
26
27
28
29

3

１. 2022年のカード情報流出事件の概況（1）カード情報流出事件数・流出件数の推移
クレジットカードやブランドデビットカードなどのペイ●カード情報流出件数：発表主体により公表された流出件

メントカード情報（以下、カード情報）流出事件に関して数で、クレジットカード、ブランドデビットカード、ブラは業界団体や官公庁などによる統計が存在しない。本レポ

ンドプリペイドカードを含む。公開された件数のうち、最ートをかっこ社とｆｊコンサルティング社の連名で公表す新の情報を正として集計るにあたり、カード情報流出事件数およびカード情報流出
件数の考え方について協議し、以下の通り定義した。
●カード情報流出事件数：カード情報流出を発生させた事
業者（発表主体）による公表情報に基づき集計▶加盟店が発表主体で、同時に複数のECサイトからカー
ド情報が流出した場合は、流出元となったサイトごとに1つの事件として扱う。
▶ECサイトから委託を受けてカード情報を扱っていた事(1)-1. 年次推移
2022年1月から12月に公表された事件数は54件と、2021
年に比べて21件減っている。一方でカード情報流出件数は849,950件と、2013年にｆｊコンサルティング社が調査を開始して以来最多となった。うち、2022年2月に公表された決済代行事業者 A社からの流出が460,829件と半分以上を占めている。

業者が発表主体として情報公開した場合は、公表された一連の攻撃を1つの事件として扱う。

© Cacco Inc.2023/©fjconsulting Inc.2023

4図1-1の通り、1事件あたりの流出件数は2017年以降減少

その結果、1事件あたり平均のカード情報流出件数は傾向にあった。2022年は1万件を超えるカード情報が流出し

16,345件、A社を除いた平均も7,630件と2021年の3,424件た事件が前述の決済代行事業者A社を含め10件公表された。

に比べて約2倍となり、2021年以降2年間続けての増加となった。

カード情報の流出規模別の事件数を見ると、流出件数占めるが、2021年は1,000件未満の事件が約5割を占めてい

500未満の事件が15件（28％）、500～999の事件が6件たのに比べると減少した。ここからも、1事件あたりの流（11％）となった。合計すると1,000未満の事件が約4割を出件数が増加に転じている傾向がうかがえる。

１. 2022年のカード情報流出事件の概況© Cacco Inc.2023/©fjconsulting Inc.2023

5

(1)-2. 四半期別推移
四半期別の事件数を2021年と比較すると、2022年1-3
月、4-6月、7-9月はいずれも前年同期よりも少なくなっているのに対し、10-12月は前年と同数となった。これは、2022年10月に公表されたサプライチェーン攻撃（加盟店が利用するプラットフォームやサービスを攻撃することで、が8件公表されたことによる（詳細は後述）。四半期別のカード情報の流出件数は、1-3月期に決済代行事業者A社のカード情報流出件数が公表された他にも流出件数が1万件を超える事件が3件公表されたことにより、流出件数が跳ね上がっている。また、7-9月にも1万件を超える事件が3件公表されており、流出件数が若干増加した。

一度に複数の加盟店から情報を窃取する攻撃）による事件（2）カード情報流出事件の傾向(2)-1. 業種/取扱い商材別・情報流出期間別事件数

加盟店の内訳を取扱い商材別に見ると、最も多いのがア

2022年のカード情報流出事件54件の内訳を図に示す。 パレル（9件）、次いで食品（8件）、コスメ（6件）／ホ
52件が加盟店からの流出、2件が加盟店以外からの流出で ビー（6件）となる。
ある。

© Cacco Inc.2023/©fjconsulting Inc.2023

6流出期間別の割合は以下となる。3ヶ月-1年の期間が最も多く24件（44%）を占める。次いで1-3年の17件（22%）となっている。2022年に発生した事件で、3年以上にわたる
長期間にわたり流出が継続した事件はなかった。

業種別・取扱い商材別にカード情報流出件数と流出期間

事件数で2位となっている食品は、平均流出カード情報についてとりまとめたのが以下の表となる。サービスプロ

流出件数は4,000件弱に留まっており、加盟店平均と比べ

バイダ2社（決済代行事業者、カード会社）を除いた、A.

ると半分強となっている。一方で、平均流出期間は320日

加盟店の1事件あたりの平均流出期間は296.9日、1事件でと加盟店平均よりも若干長い。

流出したカード情報の平均件数は7,630件となっている。

加盟店以外の業種については、図中B. 決済代行事業者が加盟店平均と比較して、コスメ、アパレルの２商材は事件

104日間分、460,829件のカード情報を流出させている。C.

数も多くかつ1事件あたりのカード情報流出件数が多くな

カード会社については、流出期間は8日間と公開されていっている。結果、加盟店から2022年に流出したカード情報

るが、カード情報流出件数については開示していない。

のうち、75%がこの２商材 を取り扱う加盟店から流出しているが、平均流出期間はそれぞれ169.3日、165.8日と比較的短くなっている。

© Cacco Inc.2023/©fjconsulting Inc.2023

7

(2)-2. カード情報窃取の手口：カード情報入力
画面のCSPを回避するオンラインスキミング
カード情報窃取の手口としては、2018年頃から、ECサ
イトを改ざんし、消費者が入力したカード情報を直接消費者から窃取する手法が増えている。対面加盟店でカードを読み取るときに不正な装置を用いて券面の磁気ストライプ
情報を盗み取る手法を「スキミング」というが、そのオンライン版ということで「オンラインスキミング」と呼ばれる。
具体的には、ECサイトの決済ページへのリンクを改ざんして偽の決済ページを挿入したり、決済ページに不正なJavaScriptを挿入することで、消費者が入力したカード情報を正規の決済代行事業者以外に、第三者にも送信する。
入力された情報がそのまま送信されるため、ほとんどの場
合はセキュリティコードも一緒に流出する。割賦販売法の実務上の指針である『クレジットカード・セキュリティガ
イドライン4.0版』（以下『ガイドライン4.0』と記載）
は、国内の加盟店のカード情報保護については、自社で保有する機器・ネットワークにおいて「カード情報」を「保存」、「処理」、「通過」しない「非保持化」が有効なセ
キュリティ対策の一つであるとしている。非保持化を達成© Cacco Inc.2023/©fjconsulting Inc.2023

するための方策としては決済代行事業者が提供する「リダイレクト（リンク）型決済」、もしくはECサイト内にある決済画面にJavaScriptを埋め込むことで決済代行事業者にカード情報を送信する「JavaScript型（トークン型）決済」の導入を挙げており、国内のほとんどのECサイトがいずれかを導入している。しかし、オンラインスキミングの手口では、Webブラウザに表示された決済ページに消費者が入力した情報を直接窃取するため、非保持化を達成した
ECサイトであっても防ぐことは困難である。
図1-8は、リダイレクト（リンク）型決済でオンライン
スキミングが行われている例である。正常な決済処理（上）であれば、消費者が支払い方法を選択した後、決済代行事業者のサイトに設置されたカード情報入力画面が表示され、カード情報を入力して決済を完了する。改ざんされたサイト（下）では、支払方法選択画面からサイト内に設置された偽のカード情報入力画面が呼び出される。ここ
でカード情報を入力すると、悪意ある第三者にカード情報が窃取されるが、同時に「通信エラー」などのエラー画面が表示される。エラー画面で「次へ」等のボタンをクリッ
クすると、決済代行事業者の正規のカード情報入力画面が表示される。そのまま手続きを進めると決済が正常に完了する。

8図1-9は、JavaScript型（トークン型）決済でオンライ
ンスキミングが行われている例である。正常な決済処理（上）であれば、支払方法を選択すると、消費者のWebブ
ラウザに読み込まれた決済代行事業者のJavaScriptによって、入力したカード情報が決済代行事業者に直接送信される。カード情報は決済代行事業者によってトークン情報に変換され、加盟店にはトークン情報をもとに決済が実行される。改ざんされたサイト（下）では、支払方法を選択す

ると、消費者のWebブラウザに加盟店サーバー内のファイ
ルに書き込み保存する不正なJavaScriptが読み込まれる。
消費者がカード情報を入力すると、不正なファイルへの書
き込みと同時に決済代行事業者に送信され、正規の決済が実行される。攻撃者は、不正なJavaScriptを埋め込んだ際に使用したバックドアを経由してサーバー内のファイルを抜き取ることでカード情報を窃取する。

以前は、決済情報ページに外部サイトの不正な業者C社のJavaScriptを読み込んでいた場合、加盟店が知JavaScriptを読み込ませて消費者のWebブラウザ上で実行

らないうちに⑤が消費者のWebブラウザ上で実行されるこすることで、カード情報を攻撃者に送信する手口がよく見とになる。すなわち、⑤が改ざんされてしまうと、加盟店られた。対抗する方法として、CSP（Content Securityが気づかないうちに消費者のWebブラウザに改ざんされた

Policy）のドメイン制御により明示的に許可したドメイン

コードが読み込まれ、カード情報が第三者に送信されるよ以外からのJavaScriptの読み込みを禁止する方法がある。

うなことが起こり得る。

図1-10は、消費者のWebブラウザに表示された決済ページ

CSP の ド メ イ ン 制 御 で は 、 決 済 ペ ー ジ で 実 行 で き るに読み込まれているJavaScriptの例である。①自サイト内

JavaScriptとして、①〜④の読み込み元のドメインを自ドのJavaScriptは、ナビゲーションバーなどのスクリプトでメイン含め明示的に指定する。これにより、読み込みを意ある。②決済情報入力送信用JavaScriptは、決済代行事業

図していなかった⑤のスクリプトはCSPにより読み込みを者が提供するカード情報送信用のJavaScriptである。これブロックされる。結果、消費者のWebブラウザに改ざんさ

ら以外にも、③アクセス分析サービスA社のJavaScriptやれたコードが読み込まれることがないので、攻撃者はカー④アドネットワークB社のJavaScriptなどを決済ページのド情報の窃取に失敗する。

機能として読み込んでいる。ここで④が、さらに⑤別の事© Cacco Inc.2023/©fjconsulting Inc.2023

9

CSPの導入が進んだことで、外部JavaScriptを改ざんす

JavaScriptを設置する。自サイトのドメインはCSPのドメる形でのカード情報窃取がし難くなったことから、CSPをイン制御で許可されているので、自サイト内に設置された

回避して情報窃取を図るために攻撃用のコードを自サイト⑥のスクリプトも読み込まれ、実行される。これにより、内に設置する方法が多く見られるようになっている。図1-

攻撃コードが読み込まれ、カード情報が攻撃者に送信され11では、攻撃者は加盟店のサーバーに侵入して⑥攻撃用のる。

© Cacco Inc.2023/©fjconsulting Inc.2023

10これを防ぐには、CSPやSRI（Subresource Integrity）①オンラインスキミング：公式発表で「決済画面が2枚により、スクリプトの読み込み先のドメインを制御するだあった」「画面に入力したカード情報が第三者に送信けでなく、スクリプトの完全性を証明するハッシュ値を併された」等のオンラインスキミングであることがわか

用することにより、改ざんされたスクリプトを読み込まなる記載がある。

いように制御する対策が挙げられる。

②オンラインスキミングの可能性高：公式発表でオン
ラインスキミングであることがわかる記載はないが、カード情報流出事件の原因については被害企業の公式発

セキュリティコードが流出している。

表では明確に言及されないことが多い。そのためｆｊコン③オンラインスキミングの可能性低：公式発表で原因がサルティングでは、2022年に公表された54件のカード情報

明確にわかる記載がないが、セキュリティコードが流流出事件の原因がオンラインスキミングである可能性を、出していない。

公表内容から以下の観点で推定し、その割合を集計した。

④オンラインスキミングではない：公式発表でSQLイン
ジェクション等、オンラインスキミング以外の原因が明記されている。

2022年度に発生した54件のカード情報流出事件のうち、 ラインとして、2023年3月に公開した『ECサイト構築・運
前述の決済代行事業者A社に対する攻撃、および加盟店の 用セキュリティガイドライン』を取りまとめた（詳細は3
うち流出したカード情報の項目、流出期間、流出件数が不 章を参照）。
明の1件を除く52件は、全てオンラインスキミングか、もしくはその可能性が高いという結果となった。これらの事件によるカード情報流出件数は合計389,121件である。
2018年以降、一度に大量のカード情報が流出する事件は減少傾向にあった。非保持化により大型の事件を防ぐ一定の効果があったといえる。一方で、非保持化対応済みのEC
サイトからもカード情報流出は続いており、非保持化だけ
ではECサイトのセキュリティ対策は不十分である。非保持化対応済みの加盟店であっても、従業員に対するセキュリ
ティ教育や脆弱性対策、ウイルス対策、管理者権限の管理、デバイス管理等の基本的なセキュリティ対策が求められる。
具体的な対策として、独立行政法人情報処理推進機構(2)-3. プラットフォーム： EC-CUBE 4.0系にも被害が拡大
オープンソースのECプラットフォームとして国内でNo.1のシェアを占めるEC-CUBEについては、脆弱性が攻撃の対象となりやすいことから2019年12月には経済産業省から注意喚起の文書が公表されている。セキュリティ情報サイト「フォックスエスタ」の調査結果をもとに2022年に発生したカード情報流出事件のうちEC-CUBEが占める割合を推計したところ、事件数で31件（57％） に達している。
2020年、2021年に比べると割合は減ったとはいえ、依然として半数以上を占める。

（IPA）がECサイトを構築・運用する中小企業向けのガイド© Cacco Inc.2023/©fjconsulting Inc.2023

11カード情報流出件数に占めるEC-CUBEの割合は251,766は減っているように見えるが、加盟店からのカード情報流

件（30％）となっている。2022年は決済代行事業者からの出件数（389,121件）に対する割合は65%に達しており、流出件数が半分以上を占めるため、一見、EC-CUBEの割合

2021年とほぼ変わらない 。

攻撃を受けたEC-CUBE のバージョンについて、2020年か2022 年 は 、 事 件 数 そ の も の は 減 っ て い る も の の 、 EC-

ら推移を調べたのが図1-17である。2020年以前は、EC-

CUBE 3.0系の割合が増加しており、さらにEC-CUBE4.0系

CUBE2.0系がほとんどを占めていたが、2021年には4分の1が攻撃された例も出てきている 。

程度をEC-CUBE 3.0系が占めるようになった。2021年5月か

今後もEC-CUBE3.0系、4.0系の被害が増えることが予想

ら6月にかけ、EC-CUBE 3.0系と4.0系で相次いで管理画面される。EC-CUBEなどオープンソースソフトウェアを利用にクロスサイトスクリプティング（XSS）脆弱性があるこする際は、セキュリティパッチを迅速に適用して既知の脆とが公表されており、これを悪用した攻撃と推定される。

弱性に対応する必要がある。

© Cacco Inc.2023/©fjconsulting Inc.2023

12© Cacco Inc.2023/©fjconsulting Inc.2023

13

(3) 2022年のカード情報流出事件のトピック：
カード情報を直接扱わない事業者に対してもサプライチェーン攻撃が発生
加盟店のサイトそのものを攻撃するのではなく、加盟店が利用するプラットフォームやサービスを攻撃することで一度に複数の加盟店から情報を窃取する「サプライチェー
ン攻撃」が発生している。2022年は、2つのサプライチェーン攻撃が公表されている。

理のために必要な措置を講じていたとは認められないとし(3)-1. PCI DSS準拠済みの決済代行事業者A社

定義している。

2022年2月、約46万件のカード情報の流出を公表した。
前述の通り、これは2022年に流出したカード情報の半数以上を占める。影響を公表したECサイトなどの数は100を超えている。
決済代行事業者であるA社は、カード情報を取り扱うサー
ビスプロバイダーであり、割賦販売法でPCI DSS準拠が義務付けられている。A社も求められる通りPCI DSSに準拠していたが、2022年6月に公表された第三者委員会報告書によれば、PCI DSS審査時に提出する脆弱性診断の報告書が改ざんされるなど、運用が適切に行われているとは言い難い状態であった。結果、A社はクレジットカード番号等の適切な管© Cacco Inc.2023/©fjconsulting Inc.2023て、経済産業省から業務改善命令を受けた。
『ガイドライン4.0』では、割賦販売法第35条の16第１項で、カード情報保護義務を負うセキュリティ対策の実施
主体者として挙げられた1号〜7号事業者を図1-18のように
図1-16にある通り、『ガイドライン4.0』では、２号事業者（加盟店）以外のカード情報保護義務を負う事業者に対してPCI DSS準拠・維持を求めている。カード情報保護対策としてPCI DSSに準拠する事業者は、年１回の外部審査や自己問診のクリアを目的化するのではなく、顧客から預かっているカード情報を保護するという本来の目的を再認識することが求められる。
A社は業務改善命令に対する改善措置を実施しつつ、カード情報を取り扱うシステムについてPCI DSSの再審査を進め、2023年1月以降順次サービスを再開している。

14

(3)-2. Webマーケティング支援ツール提供会社 J社
もう一つのサプライチェーン攻撃は、2022年10月に公表された、Webマーケティング支援ツール提供会社J社に対する攻撃である。J社が提供するサービスは、会員登録画
面や決済画面などの入力フォームのエラーチェックや、PC
サイトの表示をスマートフォン用に最適化するものであり、直接カード決済処理には関わらない。しかし、当該サービスのプログラムコードが改ざんされたことで、 入力

フォームから送信した内容が悪意のある第三者に送信されるようになっていた。
当該サービスは5,000サイト以上での導入実績があり、個人情報を入力するフォームでサービスを利用していた複数のサイトから個人情報が流出した。うち、カード情報を入力するページで当該サービスを利用していたとして、カード情報の流出を公表したのは2023年8月時点で11社12サ
イトに上る。

J社は、カード情報処理には関わっていないため、前述

盟店やカード会社には「カード情報を取り扱う業務を外部の割賦販売法で定める1〜6号事業者いずれにも該当しな

委託している」という認識はなかったと思われる。 だが現い。さらに当該サービスはクレジットカード決済機能や決実には、当該プログラムの改ざんにより想定外に不正な者

済代行事業者に接続する決済モジュールを提供しているわにカード情報が流出することとなった。

けではないので、７号事業者にも該当するとは言い切れない。

このような「直接カード情報は取り扱わないが、カード情報を入力するページのセキュリティに影響を与えるサー『ガイドライン4.0』では、セキュリティ対策の実施主ビス」を提供する事業者に対しても、何らかのセキュリテ

体者がカード情報を取り扱う業務を外部委託する場合、委ィ対策を求める必要がある。しかし、PCI DSS準拠等のセ託社自身が委託先のセキュリティ状況を確認し、責任を持

キュリティ対策を求めることは、現行法やガイドラインのってPCI DSS準拠等の必要な対策を求めるとしている。と下では難しいと考える。こういった事案に対応するためはいえ、J社の提供していたサービスは、フォーム送信前に、どのような対策を求めるのか、法整備やガイドラインの入力支援や、Webブラウザ にあわせたスタイルシート最改訂など検討していく必要がある。

適化といった機能を提供するものであり、利用していた加© Cacco Inc.2023/©fjconsulting Inc.2023

15

２. 2022年のECサイトにおける不正利用の概況（1）クレジットカード不正利用被害額の推移(1)-1 2022年のクレジットーカード不正利用
被害額と傾向
2022年の年間不正利用額は436億円となり、前年に比べて100億円増加した。これは2014年の不正利用額の3.8倍に相当しており被害は増加を続けている。特に注目すべきは、この被害の94.3％が番号盗用によるものであり、多くはECサイトでの不正注文によるものである。[不正注文とは、クレジットカード不正の場合は、他人のクレジットカ
ード情報を使いECサイトにて、第三者がなりすまして決済する行為で、それ以外にも転売不正、あと払いの未払いなどがある。ECサイトでのクレジットカードの番号盗用被害の増加傾向 に対処するため、経済産業省は「クレジットカ
ード・セキュリティガイドライン」 を策定し、指針対策を定めている。

© Cacco Inc.2023/©fjconsulting Inc.2023

主なポイントとしては、「高リスク商材取扱加盟店（オンラインゲームを含むデジタルコンテンツ、家電、電子マ
ネー、チケット、宿泊予約サービスを主たる商材として取り扱う加盟店）」および「不正顕在化加盟店（アクワイア
ラ（加盟店契約カード会社）各社が把握する不正利用金額
が３ヶ月連続50万円を超える加盟店）」における対策の強化だ。高リスク商材取扱加盟店は、セキュリティを強化するための4つの方策（券面認証、本人確認、属性・行動分
析、配送先確認）の内1方策以上を導入する必要があり、不正顕在化加盟店は2方策以上の導入が求められている。
さらに、2023年3月に公開された『ガイドライン4.0』では、高リスク商材取扱加盟店と不正顕在化加盟店以外も含む
全ての加盟店に対して、2025年3月末を期限としたEMV 3Dセキュア(以後EMV3DS)の導入が指針対策として明示された。

16

(1)-2 クレジットカード不正利用被害増加の要因
オンラインショッピングの利用者が急増している 。市場の成長に伴い、不正注文も増加した。その一方、不正アク
セスやフィッシング、クレジットマスターなどによりクレジット カード情報などの流出が増加し、システムの脆弱性
対策不足も顕著である。2020年以降、新型コロナウイルス
感染症拡大により、クレジットカードにおける2020年から2022年の不正発生率は約2倍になっていた。(図2-2)
市場の成長に伴い、ECサイトの新規事業者も増加している。新規参入事業者の中には、セキュリティ対策が不十分なケースも多く、攻撃者の標的になりやすい傾向がある。
また、（2）-2で述べる通り、企業規模によっても不正利用の対策状況に差があるのが実態である。これらの要因が組み合わさり、クレジットカードの不正利用が大幅に増加したと考えられる。新規参入事業者や小規模事業者は、予算やリソースに制約があるため、まず自社のリスクを理解し、最適な対策を考える必要がある。たとえば、現時点では不正被害が少ない場合でも、換金性の高い商品や人気商
品、限定商品等に関しては配送先住所が存在するか、電話
番号の疎通があるかを確認するなど、自社でできる範囲の対策を検討するべきである。また、自社の対策だけでは不十分な場合、不正検知サービスを利用するなど、状況に応じた対策方法を選択することが、今後のセキュリティ対策のポイントとなる。

（2）ECサイトにおける不正注文の傾向(2)-1「O-PLUX」導入加盟店における不正注文の傾向(2)-2 EC事業者の不正注文対策状況施した。全体で見ると77.5%が不正注文対策をしている。

2022年12月、かっこ社では「EC事業者実態調査」とし

年商別に見ると、年商10億円未満のEC事業者の対策実施率て、EC事業者530社で不正利用対策に携わる担当者を対象

は 68.9 ％ に と ど ま る 一 方 、 年 商 10 億 円 以 上 の 事 業 者 はに、セキュリティ意識や不正対策の実態について調査を実

86.1％が対策を実施している。(図2-3)© Cacco Inc.2023/©fjconsulting Inc.2023

17

（3）2022年のECサイトにおける不正利用のトピック(3)-1 クレジットカード不正利用における注文金額の低額化及び狙われやすい商材
2022年はクレジットカード不正利用において、注文金額が低額化している傾向があった。かっこ社の調べによると、2020年は5万円以下が全体の60%だったのに対し、2022年は75%に増加していた。(図2-4)© Cacco Inc.2023/©fjconsulting Inc.2023

2022年において、クレジットカード不正利用で狙われやすい商材においては、「クレジットカード・セキュリティ
ガイドライン」で高リスク商材取扱店に指定されているデジタルコンテンツ、家電、旅行などで不正が多い傾向があった。ここ3年で共通するのはホビー・ゲームが毎年上位となっている。巣ごもり需要の高まりもあり、市場における転売価値が上がり不正が増えたと推測ができる。(図2-5)

18

(3)-2 クレジットカード不正利用の手口の多様化
クレジットカード不正利用の手口においては、多様化、巧妙化の傾向はこれまでと変わらないが、目立った傾向としてはフリマアプリやオークションサイトを悪用した不正注文が急増した。また、クレジットカード不正利用増加の主たる要因は、加盟店や決済代行事業者などからのカード情報流出と考えられていたが、最近ではその傾向に変化が出ている。あるカード会社2社の調査（図2-６）では、カード番号の規則性を利用し総当たりで番号を割り出すクレジットマスターやフィッシングに起因する不正利用がカード情報流出を上回るという報告がされている。

(3)-3 クレジットマスターによる被害(3)-4 フィッシングによる被害

クレジットマスター（クレマス）は以前からある手口だ

フィッシング対策協議会によると、フィッシング被害のが、近年被害が増加している。クレジットカード番号の規報告件数は2017年〜2022年の5年間で約100倍に増加して則性にしたがって、bot等を利用し他人の番号を割り出すいる。ターゲットになりやすいサイトで最も多いのはネッ

手法で、カード情報が使えるかどうかを確認するため、ECト通販などのECサイト、続いてキャリアなどの通信事業

サイトの決済ページや会員登録ページが悪用される。事業者、次にクレジットカード会社を装ったフィッシングサイ者にとっての主な被害は以下の3点である。

トとなっている。これらに共通するのは、日常的に利用するサービスで利用者が多く、大手企業がサービス提供して①カード情報が割り出されればカードの不正利用につながる。

いるなどユーザーがだまされやすい点である。さらには、
こういったサイトにはIDやパスワード等の個人情報やクレ②無駄なオーソリゼーション費用が発生する。

ジットカード情報が含まれることも多く、不正な者がフィ③大量のアクセスが発生するため、ECサイトへの負荷がかッシングで個人情報やカード情報の詐取を狙っていること

かり売上機会の損失が発生する。

が見てとれる。
フィッシング手口は巧妙化しており、ワンタイムパスワ

なかには、十数万件のクレマス攻撃や数十〜数百万円にードですら1万件以上が突破されたケース が確認されていも及ぶ無駄なオーソリゼーション費用が発生するケースもる。これは正規サイトとユーザーの間にフィッシングサイ

確認された。攻撃対象としてECプラットフォームを狙うケトを中継させる中間者攻撃 （図2-8を参照）といわれるもース もあり、一度に大量のカード情報を詐取しようとしてので、入手したIDなどの個人情報を悪用し、不正ログインいる傾向があることもうかがえる。現状の対策方法としてされ金銭を振り込ませる詐欺も確認されている。

は、カード決済における利用回数制限、アクセスがbotか
ど う か を 判 断 す る Google が 提 供 す る 無 料 ツ ー ル「reCAPCHA」の導入、外部からの大量アクセスを検知するWAF(Web Application Firewall)の利用、不正検知サービ
スの利用などが挙げられる。
© Cacco Inc.2023/©fjconsulting Inc.2023

19

© Cacco Inc.2023/©fjconsulting Inc.2023

20

（4）イシュア（カード発行会社）における送信ドメイン認証（DMARC）導入状況
自社になりすましたフィッシング（なりすまし）メール

ポ リ シ ー に は 、 「 何 も し な い （ none ） 」 「 隔 離の送信を防止するための対策として有効とされるのが、ド （quarantine）」「拒否（reject）」のいずれかを指定す
メ イ ン 認 証 技 術 の 一 つ で あ る DMARC (Domain-based る。受信側メールサーバーは、受信したメールがSPF認証
Message Authentication, Reporting, and Conformance) やDKIM認証に失敗した場合、DMARCレコードの有無を送である。送信元メールサーバーのIPアドレスを利用してド 信元ドメインのDNSに問い合わせる。DMARCレコードが存
メインを認証するSPF認証や電子署名を利用して認証する 在し、かつポリシーが隔離または拒否に設定されている
DKIM認証を補完する技術で、これらの認証に失敗したメ と、SPF認証やDKIM認証に失敗したメールはメール受信者
ールの受信側メールサーバーの取り扱いを、送信元ドメイのメールボックスに届かない。これにより、送信者になりンのDNSで指定できる。具体的には、DNSサーバのテキス すましたフィッシングメールが消費者に届くことを防止でトレコードにDMARCポリシーを記述した「DMARCレコー きる。
ド」を作成する。

フィッシング被害の増加を受け、2023年2月、経済産業要望の背景には、2023年1月に経済産業省が公表した『省・総務省・警察庁は、クレジットカード会社等に対し、 クレジットカード決済システムのセキュリティ対策強化検DMARCの導入をはじめとする、なりすまし（フィッシン 討会 報告書』で、イシュア（カード発行会社）に対して
グ）メール対策の導入の要請を連名で行った。 「クレジッ DMARC導入を含めた、なりすまし対策の強化を求めたこ
トカード会社等に対し、DMARCを導入すること」および とが挙げられる。
「DMARC導入にあたっては受信者側でなりすましメール

イシュアは割賦販売法で「登録包括信用購入あっせん事の受信拒否を行うポリシーでの運用を行うこと」、すなわ 業者」として登録が義務付けられており、一覧が経済産業
ちDMARCを導入し、ポリシーを「拒否（reject）」または 省のWebサイトで公開されている。実際にイシュアがどの「隔離（quarantine）」で運用することを求めている。 程度DMARCを導入しており、どのようなポリシーで運用
フィッシング対策のためにDMARCが効果がある話を先に しているかを調べるために、以下の通り調査を行った。
書く必要がある。
© Cacco Inc.2023/©fjconsulting Inc.2023

21

＜調査方法＞

この中には、ワンタイムパスワードサービスやカード会① 調査対象のイシュアがWebサイト等でメール送信元とし員向けWeb明細提供サービスなどを提供する外部委託先がて公開しているドメイン（サブドメインを含む）を収集管理するドメインも含まれる。フィッシング対策の実効性し、対象ドメインを確定を考えると、これらの外部委託先に対してもイシュアは、② ①で収集した全てのドメインのDNSに問い合わせを行

自社のカード会員のフィッシング被害を防止するためにセい、DMARCレコードの設定有無と、設定がある場合ポキュリティ対策を求める必要があると考え、調査対象に含リシーを確認めることとした。

＜調査実施時期＞
2023年8月上旬

2. ドメインのDMARC対応状況と運用ポリシー
340件の対象ドメインに対してDNSレコードを調査した
ところ、有効なDMARCレコードが設定されていたのは92＜調査結果＞

件（全体の27%）であった。この92件のDMARCポリシー

1. 対象ドメインの確定の内訳は、最も厳しい「拒否（reject）」が24件（実施済

246社のイシュアに対し、コーポレートサイトのドメイ み企業の26%）、「検疫（quarantine）」が9件（10%）
ン、およびWebサイトなどで「メール受信設定のお願い」 だった。残りの59件（64%）は、DMARCは設定されてい等で案内されている「受信許可が必要なドメイン」を「メ るもののなりすましメールの受信拒否はしない「何もしなール送信元として利用しているドメイン」とみなして収集 い（none）」に設定されている。
したところ、340ドメインが抽出された。

© Cacco Inc.2023/©fjconsulting Inc.2023

22

3. 会社ごとのDMARC対応状況
会社ごとに、メールの送信元として利用しているドメイ
ンのDMARC対応状況を集計し、以下の３カテゴリーに分類した。
①対応済み：メール送信元として使用しているドメイン
全てにDMARCレコードが設定されている。

②一部対応：メール送信元として使用しているドメインの一部にDMARCレコードが設定されている。
③未対応：メール送信元として使用している全てのドメインにDMARCレコードが設定されていない。
結果、246社中「対応済み」は43 社（18%）、「一部対応」は23社（9%）であり、7割以上のイシュアがDMARCにまだ対応していない。

© Cacco Inc.2023/©fjconsulting Inc.2023

23

4. 総括日経225企業を対象としたTwoFive社の調査によれば、対象企業の62%が少なくとも1つのメール送信元ドメイン
でDMARCを導入しているという。比べるとイシュアの
DMARC導入率は半分以下で、監督官庁からの要望が出されているにもかかわらず、比較して低い割合に留まっている。未導入のイシュアは早急に導入することが求められる。また導入済みのイシュアについても、フィッシングメ
ール対策として実効性を持たせるために以下の対応が求め② 委託先企業のドメインに対してもDMARC設定を求める
こと
今回の調査で、イシュアが外部委託先ドメインについても受信を「許可」するようにカード会員向けに案内していることが明らかとなった。これらの外部委託先ドメインの中には、DMARCレコードが設定されていないドメインも存在する。イシュアは自社のフィッシングメール対策の一貫として、外部委託先に対してもメール送信ドメインにられる。

DMARC対応を求めていく必要がある。

① DMARCポリシーを適切に設定すること③カード会員への継続的な啓発活動

DMARC設定が不適切な場合、フィッシングではない正規のメールの受信が拒否される可能性があるなど、業務への影響が大きい。しかし、DMARCによるフィッシング対策の実効性を高めるためには導入するだけでなく、適切なポリシーで運用することが必要となる。
フィッシング対策協議会では、DMARCを最初に設定する時は、ポリシーを「何もしない（none）」に設定してレポートを取得し、正規メールとフィッシングメールの配
信状況を確認しつつ、徐々に強制力のあるポリシーへと調整することを推奨している。

© Cacco Inc.2023/©fjconsulting Inc.2023

イシュアを騙るフィッシングメールには、紛らわしいド
メインを送信元のドメインやフィッシングサイトのドメインとして使用し、気づかない消費者から情報を窃取する手口も多くある。DMARCポリシーによって消費者へのフィッ
シングメールの到達を防いでも、「よく似た紛らわしいドメイン」のメールについては効果が無い。フィッシングの被害を防ぐためには、メールの送信元のドメインをよく確認することや、メールに記載されたリンクを直接クリック
せずに検索サイトやブックマークを使用することなど、カード会員への継続的な啓発も欠かせない。

24

３. 制度・政策の動向（1）セキュリティ対策強化検討会とクレジットカード・セキュリティガイドライン改訂
クレジットカード不正利用の増加が止まらないことを受非保持化済達成済みのEC加盟店のセキュリティ強化を目け、経済産業省は2022年8月から6回にわたり「クレジット

的として、2022 年10月より新規加盟店契約するEC加盟店

カード決済システムのセキュリティ対策強化検討会」を開がセキュリティチェックリストにより自身の脆弱性対策の催し、2023年1月に報告書をとりまとめた（以下『セキュ実施状況をアクワイアラ（加盟店契約カード会社）や決済

リティ対策強化検討会報告書』）。

代行事業者に申告する制度の試行が開始された。『セキュその内容は、割賦販売法の求めるセキュリティ対策の実

リティ対策強化検討会報告書』ではEC加盟店の脆弱性対策

務上の指針である『ガイドライン4.0』にも反映されていをアクワイアラ等による加盟店管理義務の対象とするたる。ガイドライン4.0に追加された新たな施策や『セキュめ、チェックリストの調査項目EC加盟店全般に拡大し、リティ対策強化検討会報告書』から読み取れる今後の方向

2024年度末までにガイドラインに追加することを当面の対性について概観する。

応とした。セキュリティ対策要件の参考として、独立行政法人情報処理推進機構（IPA）が公表している『ECサイト(1)-1. 非保持化済みEC加盟店に対するセキュリティ対策チェックリストの導入
国内のEC加盟店のほとんどが、カード情報保護対策として自社のシステムにカード情報を保存・処理・通過しない

構築・運用セキュリティガイドライン』を挙げている。
『セキュリティ対策強化検討会報告書』では併せて、2025
年4月以降、アクワイアラ等の加盟店管理の実施状況について監督を監視する方針を示している。

「非保持化」を選択していることは前述の通りである。

© Cacco Inc.2023/©fjconsulting Inc.2023

25

(1)-2. モバイルデバイスを利用した決済のセキュリティ対策
対面加盟店では、従来使用されていたPOSレジに代わってスマートフォンやタブレットなどの汎用モバイルデバイ
スに専用の決済端末を連携してカード決済を実現する
mPOSや、決済端末を使用せず市販のスマートフォンやタ
ブレット単体で非接触決済を実現するMPoCの利用が増えている。EC加盟店でも、スマートフォンアプリを提供して、Webサイトを利用せず決済代行業社等が提供するSDKを通してアプリ内で決済を行う方式が増えている。こうした状況を受け、『ガイドライン4.0』の付属文書として『スマートフォン・タブレット等のアプリを利用した決済に関するセキュリティ対策の技術要件について』が関係事
業者向けに公表された。汎用モバイルデバイスを利用する(1)-4. 不正利用情報の共有に向けた検討を開始
現状イシュア（カード発行会社）各社は、取引ごとに個別に過去の取引履歴等の情報から不正利用か否かを判断す
るオーソリゼーションモニタリングのためのシステムを導入しており、不正検知精度の向上が課題となっている。
『セキュリティ対策強化検討会報告書』では、イシュア間の不正利用情報の共有化により、不正検知がより精度高く効率的に行えることを期待している。当面の対応としては
AI等による不正利用検知にも活用できるよう、イシュア間で不正利用情報共有に向けた具体的な枠組みの検討と連携の促進を図るとしている。
情報共有の実現のためには個人情報の取り扱いが課題である。今後、クレジットカードセキュリティ協議会等での具体化に向けた検討が期待される。

際の決済端末や通信のセキュリティについて、技術要件が記載されている。
『ガイドライン4.0』では、EC加盟店の非保持化の方策にスマホアプリ等のSDKを使用する場合は本技術要件を参照することが追記された。また、対面加盟店の非保持化導入方策の内回り方式の導入例に、PCI SSC（PCI DSS等のクレジットカードセキュリティの管理・運用を行う機関）が制定した「PCI MPoC認定ソリューション」が追加された。

(1)-5. 警察等との連携強化
偽造カード取締等のクレジットカード決済に関する犯罪については、カード会社と警察組織との連携が古くから行われてきたが、不正アクセス等のサイバー攻撃によるカー
ド情報流出や不正利用などのサイバー犯罪対策の点でも連携を強化することが公表された。『セキュリティ対策強化
検討会報告書』では、当面の対応として以下3点を挙げている。

(1)-3. 全てのEC加盟店に対し2025年3月末のEMV 3Dセキュア導入義務化へ『クレジットカード・セキュリティガイドライン』では、EC加盟店における不正利用対策の具体的方策として、本人認証、券面認証（セキュリティコード）、属性・行動分析（不正検知システム）、配送先情報の4つを挙げ、不正利用発生のリスクに応じて導入を求めていた。しかし、不正利用が増え続けていることを受け、さらなる対策強化
として、2025年3月末を期限としてEMV 3Dセキュア（以下EMV3DS）を原則全てのEC加盟店に導入することを義務付けるとした。これまでは善管注意義務とオーソリゼーショ
ン処理の体制整備が課されていたのみであった、不正利用が顕在化していないEC加盟店や高リスク商材を取り扱わな
いEC加盟店についても対応が必要となる。
EMV3DSはデバイス情報や利用者から提供される個人情報等を活用して本人の利用であるかどうかを判定し、リスクに応じた認証を行う「リスクベース認証」がベースとなる本人認証手段である。リスクが低いと判定された取引については、ID・パスワードの追加入力不要で取引が実行できる。一方、リスクが高いと判定された取引にはチャレン
ジモードとして追加認証を要求する。その際の認証も、生体認証やワンタイムパスワードなど、固定パスワード以外の認証方法を採用することを求めている。EMV-3DS導入の①経産省と警察庁の連携強化
サイバー攻撃によるカード情報流出事件について、経産省から警察庁サイバー警察局に情報提供する。また、クレジットカード会社等のカード情報保護対策の参考になるサ
イバー攻撃の手口、対策等の情報を警察庁から経産省に提供し、業界に周知する。
②都道府県警等とイシュアの連携強化
現在も個別案件ごとに不正利用されたカード番号などの情報を都道府県警察からイシュアや決済代行事業者に連携しているが、これを継続する。
③攻撃を受けたEC加盟店や不正利用を受けた消費者などの当事者から警察への早期通報および捜査協力の促進
現状、サイバー攻撃を受けカード情報が流出した際に、警察への相談や届出が円滑に受理されていないことがある。また、カード情報を不正利用された消費者に対しても、届出をしてもカード自体が紛失・盗難にあったわけではないことから、被害者であることが認識されず対応が疎かにされることがある。結果、サイバー犯罪全体の傾向や手口を警察が把握することが困難になっているという問題が指摘されている。対策として、業界内でのカード情報流
出時のマニュアル整備や捜査協力時の対応フロー等を提示し、警察への早期通報や捜査協力を促進する。

現状と課題についてはこの後詳述する。
© Cacco Inc.2023/©fjconsulting Inc.2023

26

この方針を受け、警察庁と経産省は2023年6月『サイバー攻撃によるクレジットカード番号等の漏えい事案に関する対策の推進に関する覚書』を締結した（https://www.meti.go.jp/press/2023/06/20230630004/2
0230630004.html）（2）「EMV3-Dセキュア」の現状
2022年12月のかっこ社のEC事業者実態調査※1によると、「EMV3DS」を導入している事業者は全体の28.9％にとどまり、従来のバージョンである「3-Dセキュア1.0※2」を含めると、全体の62.9％が対応していた。「3-Dセキュア
1.0」から最新版のEMV3DSへの移行は、81.7％が予定していた。
一方、前項でふれた『ガイドライン4.0』では、2025年3月を期限としたEMV3DSの導入義務化がうたわれており、さらに導入が促進されることが想定される。しかし導入を躊躇している加盟店の背景には、利用している決済代行事
業者やECシステムにより異なるが、ランニングや導入コストに不安を抱える事業者が多いことが実態調査で分かった。実際の費用は、導入するためのシステム開発に数百万円かかったケースもあれば、費用がほぼかからずに移行できたケースもあり、事業者により大きく異なった。
またEMV3DSを導入する際は、以下の点を考慮すべきである。
①EMV3DSのリスクベース認証の精度不足
EMV3DSはリスクベース認証を行ってから、リスクの高
いもののみに追加認証をしていく仕組みである。しかしリ
スクベース認証をすり抜けるケースも発生しており、EMV3DSを導入していても数百万円のクレジットカード不正利用被害※3が発生した事例が確認されている。そのため
EMV3DSだけではなく多面的・重層な対策が必要である。
②ライアビリティシフト（損失の移転）の適用による不正
利用情報の把握困難
EMV3DSの導入により、不正利用に関する責任が加盟店からカード会社に移転し、ライアビリティシフトが適用さ© Cacco Inc.2023/©fjconsulting Inc.2023

れ、加盟店がチャージバック※4を受けることはなくなる。
金銭的負担がなくなる一方で、クレジットカード不正利用に関する通知が加盟店には送られなくなり、不正利用の把握が難しくなる。例えば加盟店が不正検知サービスを導入している場合、この状況が検知精度に影響を与える可能性がある。なぜなら、不正検知サービスは、実際の不正利用被害をシステムにフィードバックし、検知精度向上を行っているからだ。そのため、EMV3DSを使用している場合でも、不正利用の発生状況を加盟店自身が把握することは非常に重要である。
※1 EC事業者の不正対策に関する実態調査（かっこ株式会社）
https://prtimes.jp/main/html/rd/p/000000084.0000
09799.html※2 「3-Dセキュア1.0」は、2022年10月でサポートが終了。2022年10月以降、不正利用が発生した場合、基本的にはEC事業者が負担することになる。
※3 EMV3DSを導入しているためEC事業者は補償される
が、カード会社が負担した金額。
※4 チャージバック：クレジットカードの持ち主が決済に対して同意しない場合に、クレジットカード会社がその決済を取り消して持ち主に返金する仕組み。

27

（3）フィッシング対策の強化
フィッシング対策協議会が公表している最新の『フィッにおけるフィッシング対策の構成で作成されている。そのシング対策ガイドライン（2023年度版）』は、2023年5月

なかでも特に重要となる「フィッシング対策ガイドライン

31日付で公開された。2022年度版に続き、フィッシングに

重要5項目」の要点を解説する。その他のフィッシング対関する基礎知識、フィッシング対策ガイドライン重要５項

策については、『フィッシング対策ガイドライン（2023年

目、Webサイト運営者におけるフィッシング対策、利用者度版）』を参照されたい。

①利用者に送信するメールには「なりすまし（フィッシン

複数の部門でそれぞれの目的のために複数のドメイン管理グ）メール対策」を施すこと

サービスを利用するような状況は、全容把握ができず、セ

送 信 ド メ イ ン 認 証 技 術 「 DMARC 」 （ Domain-based
Message Authentication, Reporting, and Conformance）

キュリティ配慮に欠けた運用がされたり管理が放置される原因となる。

を導入し、不正者からのメールを利用者に受信させない対策が重要である。また、「DMARC」レポートを活用し現④すべてのページにサーバー証明書を導入すること

状の不正傾向を把握し、受信制御ポリシーに「reject」を

近年では大半の企業が対応しているが、セキュリティを設定することが効果的である。さらに、国内直接接続の強化するために、すべてのWebページにサーバー証明書を

SMS を利用し、発信者番号を Webサイトなどで事前に告導入することを推奨している。これにより、利用者がフィ知することも対策の一環として示されている。

ッシングサイトにアクセスすることを防ぎ、アクセス先の正当性を確認できるようになるためだ。

②複数要素認証を要求すること

また、近年では利用者が検索エンジン等で検索した際、本フィッシングサイトによる個人情報の詐取を防ぐため

来のサイトよりもフィッシングサイトの方が上の検索順位に、ログイン時には複数要素認証を要求することを推奨しになっているケースも報告されており、SEOの観点でもサている。特にポイントやマイルなど資産の移動機能を提供

ーバー証明書の導入は必須である。

している場合は資産の移動操作時にも複数要素認証を行うことが求められている。但し、複数要素認証はユーザーの使い勝手を阻害する可能性もあるため、認証対象を不正ログインに絞るなどの工夫が実運用では必要となる。

⑤フィッシング詐欺について利用者に注意喚起すること
不正者はあらゆる手段で利用者をフィッシングサイトへ誘導し、重要情報を詐取しようとするため、企業は利用者に対し、フィッシング詐欺対策啓発活動を行う責任があ③ドメインは自己ブランドと認識して管理し、利用者に周る。これに加え、フィッシング詐欺に関する報告窓口を設知すること

けること、更に一歩踏み込み、フィッシングサイトを検知

フィッシングから利用者を守るために、自社のドメインする体制を整備することが重要である。

名を利用者に正確に周知することが重要となる。正しいドメイン名を繰り返し示すことで、利用者がフィッシングサ
イトに気づきやすくなるためだ。さらに企業側では、ドメイン名の登録と利用に関するルールと手順を確立し、自社で取得する全てのドメインに対してセキュリティに配慮した管理を徹底する必要がある。

© Cacco Inc.2023/©fjconsulting Inc.2023

28

（4) FATF第4次審査結果を受けたクレジットカード業界の規制強化の方向性
2021年8月、FATF（Financial Action Task Force：金融
活動作業部会）による第4次対日相互審査報告書が公表された。FATFは国ごとのマネーロンダリング（以下マネロン）
およびテロ資金供与防止対策の状況を審査する政府間会合である。
FATF第4次相互審査では技術的コンプライアンス（法令等の整備状況）40項目（40の勧告）、有効性（体制の運用面）について11項目の評価が行われた 。日本は「重点フォローアップ国」と評価され、5年後のフォローアップ審査までの間に3回、FATFに改善状況を報告する必要がある。
審査結果において優先して取り組むべき事項として一番に挙げられたのが「事業者ごとのリスク評価導入・実施、
リスクベースでの継続的な顧客管理、取引のモニタリン
グ、資産凍結措置の実施、実質的支配者情報の収集と保持」である。また、大手銀行や資金移動業者以外の金融機
関（クレジットカード発行会社含む）は、マネーロンダリ
ング・テロ資金供与リスクについての理解が不十分で、リ
スクに基づいた低減措置を適用していないと評価されている。
審査結果の公表を契機に、政府一体となってマネーロン
ダリング対策等に取り組むため、警察庁・財務省を共同議長として17省庁が参加する「マネロン・テロ資金供与・拡散金融対策政策会議」（以下「マネロン対策政策会議」）が設置され、『マネロン・テロ資金供与・拡散金融対策に関する行動計画』が確認された。
上記の行動計画には、金融機関向けのガイドライン更新・策定が含まれている。経済産業省でも、2021年11月に『クレジットカード業におけるマネー・ローンダリング及びテロ資金供与対策に関するガイドライン 』を改訂した。

© Cacco Inc.2023/©fjconsulting Inc.2023

改訂前（2019年）のガイドライン に比べると以下の点が強化されている。
①リスクベースアプローチにおける「リスク評価」において、疑わしい取引の届出の状況等の分析を考慮すること②顧客 管理において、顧客の営業内容、所在地等が取引目的、取引態様等に照らして合理的ではないなどのリスクが高い取引等については、取引開始前、あるいは多額の取引を実施する際などに営業実態や所在地等を把握するなどの追加的な措置を講ずること③疑わしい取引を検知するためのシナリオや閾値などの基準を含むモニタリング体制を構築し、改善を図ること④制裁対象取引（経済制裁の対象となる相手型や国、地域との取引や、対象品目の取引）をフィルタリングする体制を構築すること
経済産業省では、上記も含め、ガイドラインで「対応が求められる事項」として挙げている項目について、2024年3月末までに完全実施を求めている。
FATF第5次審査は2025年以降順次実施予定で、FATFでは勧告の改訂を進めている。第5次審査に向けて、マネロン対策政策会議では2022年5月に『マネロン・テロ資金供与・拡散金融対策の推進に関する基本方針 』を策定した。
日本の第5次審査のスケジュールは未定だが、基本方針にのっとり法改正などの対応を進めていくとしている。

29

＜参考文献＞
1.『2022年のキャッシュレス比率を算出しました』（経済産業省 2023年4月）
https://www.meti.go.jp/press/2023/04/20230406002/20230406002.html
2.『クレジットカード不正利用被害の発生状況』（一般社団法人日本クレジット協会 ）https://www.j-credit.or.jp/information/statistics/download/toukei_03_g.pdf
3.『クレジットカード・セキュリティガイドライン【4.0版】』（クレジット取引セキュリティ対策協議会 2023
年3月）
https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_4.0_published.pdf
4.『株式会社イーシーキューブが提供するサイト構築パッケージ「EC-CUBE」の脆弱性等について（注意喚起）』（経済産業省 2019年12月）
https://warp.da.ndl.go.jp/info:ndljp/pid/12685722/www.meti.go.jp/press/2019/12/20191220013/2019122001
3.html5.『クレジットカード情報漏洩事件のまとめ（2022年上半期）』（フォックスエスタ）
https://foxestar.hatenablog.com/entry/2022/01/19/155606
6.『クレジットカード情報漏洩事件のまとめ（2022年下半期）』（フォックスエスタ）
https://foxestar.hatenablog.com/entry/2023/01/10/121218
7.『EC-CUBE4.0におけるクロスサイトスクリプティングの脆弱性(JVN#97554111)』（株式会社イーシーキューブ
2021年5月）
https://www.ec-cube.net/info/weakness/weakness.php?id=77
8.『EC-CUBE3.0におけるクロスサイトスクリプティングの脆弱性(JVN#95292458)』（株式会社イーシーキューブ
2021年5月）
https://www.ec-cube.net/info/weakness/weakness.php?id=79
9.『クレジットカード番号等取扱業者に対する行政処分を行いました』（経済産業省 2022年6月）
https://www.meti.go.jp/press/2022/06/20220630007/20220630007.html
10.不正アクセスに関するお知らせとお詫び（株式会社ショーケース 2022年10月）
https://www.showcase-tv.com/pressrelease/202210-fa-info/
11.『EC事業者実態調査』（かっこ株式会社 2022年12月27日）
https://prtimes.jp/main/html/rd/p/000000084.000009799.html
12.『クレジットカード不正利用被害のうち 「番号盗用」の内訳について』（一般社団法人日本クレジットカード協会 第2回クレジットカード決済システムのセキュリティ対策協議会検討会 2022年9月）
https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/pdf/002_02_00.pdf
13.『カード決済の不正な大量アタック(クレジットマスター)の増加と対策について（2023/01/13）』（株式会社
イーシーキューブ 2023年1月13日）
https://www.ec-cube.net/news/detail.php?news_id=432
14.『From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud』（米Microsoft 2022年7月12日）
https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitmphishing-sites-as-entry-point-to-further-financial-fraud/
15.『フィッシング報告状況（月次報告書）』（フィッシング対策協議会）
https://www.antiphishing.jp/report/monthly/© Cacco Inc.2023/©fjconsulting Inc.2023

30

16.『クレジットカード会社等に対するフィッシング対策の強化を要請しました 』（経済産業省 2023年2月）
https://www.meti.go.jp/press/2022/02/20230201001/20230201001.html
17.『クレジットカード決済システムのセキュリティ対策強化検討会 報告書』（経済産業省 2023年1月）
https://www.meti.go.jp/shingikai/mono_info_service/credit_card_payment/pdf/20230120_1.pdf
18.『登録包括信用購入あつせん業者一覧 令和5年5月31日現在』（経済産業省 2023年5月）
https://www.meti.go.jp/policy/economy/consumer/credit/R5-5tourokuhoukatsuichiran.pdf
19.『ECサイト構築・運用セキュリティガイドライン』（独立行政法人情報処理推進機構 2023年3月）
https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html
20.『サイバー攻撃によるクレジットカード番号等の漏えい事案に関する対策の推進に関する覚書』（経済産業省
2023年6月）
https://www.meti.go.jp/press/2023/06/20230630004/20230630004.html
21.『フィッシング対策ガイドライン（2023年度版）』（フィッシング対策協議会 2023年5月）
https://www.antiphishing.jp/report/antiphishing_guideline_2023.pdf
22.『マネロン・テロ資金 供与対策 日本 相互審査報告書 仮訳』（金融活動作業部会（FATF） 2021年8月）
https://www.mof.go.jp/policy/international_policy/amlcftcpf/20221228.pdf
23.『マネロン・テロ資金供与・拡散金融対策に関する行動計画 』（マネロン・テロ資金供与・拡散金融対策政策
会議 2021年8月）
https://www.mof.go.jp/policy/international_policy/councils/aml_cft_policy/20210830_2.pdf
24.『クレジットカード業におけるマネー・ローンダリング及びテロ資金供与対策に関するガイドライン 』（経済産業省 2021年11月）
https://www.meti.go.jp/policy/economy/consumer/credit/pdf/20211118creditmanerongl.pdf
25.『マネロン・テロ資金供与・拡散金融対策の推進に関する基本方針 』（マネロン・テロ資金供与・拡散金融対策政策会議 2022年5月）
https://www.mof.go.jp/policy/international_policy/councils/aml_cft_policy/20220519_1.pdf© Cacco Inc.2023/©fjconsulting Inc.2023

31

本レポートに記載された統計、数字などの情報を引用される際は、必ず出典元として「キャッシュレスセキュリティレ
ポート2023」（かっこ、ｆｊコンサルティング）と明記ください。
出典を明記されない形での転載及び複製を禁じます。

キャッシュレスセキュリティレポート2023
2023年10月26日発行
発行者
かっこ株式会社
https://cacco.co.jp/
ｆｊコンサルティング株式会社
https://www.fjconsulting.jp/
文中の会社名、商品名、サービス名は各社の登録商標です。

© Cacco Inc.2023/©fjconsulting Inc.2023