CashlessSecurityReport
QUARTERLY REPORT

2023年(1-3月版)

キャッシュレス・セキュリティレポート
ー2023年1～3月版ー

2023.7.6

かっこ株式会社
ｆｊコンサルティング株式会社

はじめにかっこ株式会社とｆｊコンサルティング株式会社が、カード情報流出とECサイトの不正被害の実態を把握するため、独自調査・データをもとにまとめたレポートです。

コンテンツ
1. カード情報流出事件の概況（2023年1-3月）（1）カード情報流出事件数・情報流出件数の推移（2）商材別・情報流出期間別事件数・流出件数（3）カード情報流出事件のトピック
決済機能を持たないサービス事業者へのサプライチェーン攻撃により、国内で初めてカード情報流出事件が発生（4）クレジットカード情報保護対策に関する考察

2. ECにおける不正利用の概況（2023年1-3月）（1）クレジットカード不正利用被害額の推移（2）ECサイト不正利用の傾向（3）不正利用のトピック①クレジットマスター（クレマス）②置き配を悪用した不正③SIMスワッピング（SIMスワップ）（4）クレジットカード不正利用対策に関する考察1. カード情報流出事件の概況（2023年1-3月）（1）カード情報流出事件数・情報流出件数の推移
2023 年1月-3月のカード情報流出事件• 事件数• カード情報流出件数

16件
173,332件※クレジットカード、ブランドデビットカード、ブランドプリペイドカードを含む【調査方法】
かっことｆｊコンサルティングが、各社の公式サイトや報道などの公開情報により事件を特定し、集計

（2）商材別事件数・情報流出期間別事件数（3）カード情報流出事件のトピック
決済機能を持たないサービス事業者へのサプライチェーン攻撃により、国内で初めてカード情報流出事件が発生
2022年11月に公開された、入力フォーム最適化支援を提供するSaaSの脆弱性を突く攻撃を原因とするカード情報流出事件が、2023年1-3月に4件公表されました。昨年中に公表された事件とあわせると合計で12件、カード情報流出件数は15,469件となります。
広告サービスを提供する事業者の脆弱性を攻撃することで、一度に複数のECサイトからカード情報が流出する「サプライチェーン攻撃」の事例は海外では2019年に報告されていました。国内でもECのカートサービ
スや決済代行事業者など決済機能を持つサービス事業者を攻撃したサプライチェーン攻撃はこれまでにもありましたが、決済機能を持たないサービス事業者を攻撃してカード情報が流出したのは国内では初めてとなります。

（4）クレジットカード情報保護対策に関する考察
2021年に改正された割賦販売法により、決済機能を提供するECシステム会社などに新たにカード情報保護を義務付けられました。その実務上の指針である『クレジットカード・セキュリティガイドライン』（※1）
では、これらの事業者に対し、PCIデータセキュリティ基準（PCI DSS ※2）への準拠を求めています。
しかし、上記（3）で攻撃を受けたような決済機能を持たないサービスは、現状規制の対象であるかは判然としません。このような「 決済機能を持たないがカード決済ページのセキュリティに影響を与えるサービス」を提供する事業者への規制が今後の課題となります。
※1：https://www.meti.go.jp/press/2022/03/20230315001/20230315001.html※2:PCI DSS:クレジットカードなど国際ブランドのカード会員データを安全に取り扱う事を目的として策定された、カード業界のデータセキュリティに関する国際基準

2. ECにおける不正利用の概況 （2023年1-3月）（1） クレジットカード不正利用被害額の推移
2023 年1月-3月のクレジットカード不正利用• 不正利用被害額合計• 偽造

120.4億円
0.7億円• 番号盗用133.3億円

• その他

7.3億円

※日本クレジット協会調べ
https://www.j-credit.or.jp/information/statistics/index.html

（2）ECサイト不正利用の傾向【調査方法】
不正注文検知サービス「O-PLUX」（かっこが提供するクレカ不正、悪質転売など不正注文を検知するサービス）をご利用のお客様（累計11万サイト以上）における審査結果をもとに集計

3）不正利用のトピック①クレジットマスター（クレマス）
手口としては以前からありましたが、昨年頃から被害が急増しています。クレジットカード番号の規則性にしたがって、bot等を利用し他人の番号を割り出す行為です。カード情報が使えるかどうかを確認するた
め、ECサイトの決済ページや会員登録ページが悪用されます。

クレマスが発生すると、事業者への影響としては、大きく4つあげられます。①大量のアクセスがくるため、ECサイトへの負荷がかかる、②無駄なオーソリゼーション費用が発生する、③入手したカード情報でカード不正利用につながる、④カード情報が割り出され不正利用された場合に、カードが使えなくなり、カード保持者からクレームが入るなど顧客の信用喪失につながります。
消費者への影響としては、普段使っていないクレジットカードなので、カード情報が盗まれる機会が全くない
場合でも、クレマスで割り出されると不正利用の被害にあいます。

② 置き配を悪用した不正
様々な宅配業者が、対面で荷物を受け取る必要がない「置き配」サービスに対応する傾向にあります。置き配を利用したことがある割合も、2019年から3年間で2.3倍に増加しており、6割以上が利用したこと※1があるほど一般化しています。それを悪用した者が、不正利用により買い物した荷物を週末のオフィスなど人がいない場所を指定し受け取る手口が増えています。
※1:株式会社ナスタ「置き配に関する実態調査」 2022年11月

③ SIMスワッピング(SIMスワップ)
SIMスワップとは、金融機関を狙った不正送金被害に使用される手口の一つです。この手口では、悪意のある第三者があなたのスマートフォンの契約者になりすまし、新しいSIMカードを再発行し不正利用に活用しています。
具体的な流れは以下の通りです：
1. フィッシング: まずフィッシングで、あなたの氏名、電話番号、ネットバンキングのID、パスワードなどの個人情報を盗みます。
2. 身分証明書の偽造: 盗んだ個人情報を元に、悪意のある者は身分証明書として偽造した免許証などを用意します。
3. SIMの再発行: 悪意のある者は、偽造した身分証を使い、紛失したと偽って携帯ショップに行き、新しいSIMカードを再発行してもらいます。このとき、悪意のある者はあなたの電話番号を乗っ取ります。
4. 不正送金: 悪意のある者があなたの電話番号を乗っ取ると、金融機関からの本人確認のためにワンタイムパスワードがその携帯に届きます。悪意のある者は、事前に入手したネットバンキングの情報を使用して、不正送金を行います。
このようにSIMスワップは、フィッシングから始まり、個人情報の盗難と身分証明書の偽造、そしてSIMカードの再発行といった手順を経て、最終的に不正送金が行われる手口です。

（4）クレジットカード不正利用対策に関する考察『クレジットカード・セキュリティガイドライン』では2025年3月末までに原則、全てのEC加盟店に国際ブランドが推奨する本人認証サービスである「EMV 3-Dセキュア」の導入を求めています。
「EMV 3-Dセキュア」は、カード利用者の決済情報等を基にリスクベース認証を実施し、高リスクと判断される取引にのみ、ワンタイムパスワード等の追加認証を実施します。事業者は、「EMV 3-Dセキュア」を導入することで、従来懸念されていたかご落ちのリスクを低減した上で、クレジットカード不正利用の金銭被害を減らすことが期待できます。
その一方、「EMV 3-Dセキュア」のすり抜けが発生し、事業者より相談を受けることがあります。これは、審査に使用するデータの連携が少ないことや、推奨されているワンタイムパスワードではなく、固定パスワードを利用していること(フィッシングで固定パスワードが流出)に起因していると考えられます。不正利用の被害を減少させるためには、「EMV 3-Dセキュア」だけに頼るのではなく、複数のセキュリティ対策を組み合わせた重層的な対策を取ることが重要です。不正利用被害が続くと、カード会社からの与信条件の厳格化や、決済手数料の引き上げ交渉など、様々な事業への影響が出る可能性がある点にも留意する必要があります。

【本レポートに関するお問い合わせ】
かっこ株式会社
広報担当

前田

Mail: pr@cacco.co.jp
Mobile : 050-3627-8878

ｆｊコンサルティング株式会社
広報・マーケティング担当

板垣

Mail: info@fjconsulting.jp【免責事項】
本レポートの作成にあたり、かっこ株式会社とｆｊコンサルティング株式会社は、可能な限り情報の正確性を心がけていますが、確実な情報提供を保証するものではありません。本レポートの掲載内容をもとに生じた損害に対して、かっこ株式会社とｆｊコンサルティング株式会社は一切の責任を負いません。
【データの利用について】
本レポート内の数表やグラフ、および記載されているデータ等を使用される際は、出典として「かっこ株式会社・ｆｊコンサルティング株式会社 『キャッシュレスセキュリティレポート（2023年1-3月版 ）』を明記下さい。