CashlessSecurityReport
Quarterly Report

2023年(10-12月版)2024年4月発行

キャッシュレス・セキュリティレポート
ー2023年10～12月版ー

2024.4.16

かっこ株式会社
ｆｊコンサルティング株式会社

はじめにかっこ株式会社とｆｊコンサルティング株式会社が、カード情報流出とECサイトの不正被害の実態を把握するため、独自調査・データをもとにまとめたレポートです。

コンテンツ
1. カード情報流出事件の概況（2023年10-12月）（1）カード情報流出事件数・情報流出件数の推移（2）業種/商材別・情報流出期間別事件数・流出件数（3）2023年10-12月 カード情報流出事件のトピック
コールセンター業務委託先における不正持ち出しでカード情報が流出

2. ECにおける不正利用の概況（2023年10-12月）（1）クレジットカード不正利用被害額の推移（2）ECサイト不正利用の傾向（3）国内のカード発行会社（イシュア）におけるDMARC設定状況（4）2023年10-12月 不正利用のトピック①アカウント乗っ取りによる不正購入②EC加盟店におけるEMV 3-Dセキュアの導入率

11. カード情報流出事件の概況（2023年10-12月）（1）カード情報流出事件数・情報流出件数の推移
2023 年10月-12月のカード情報流出事件• 事件数• カード情報流出件数

7件
40,831件※クレジットカード、ブランドデビットカード、ブランドプリペイドカードを含む【調査方法】
かっことｆｊコンサルティングが、各社の公式サイトや報道などの公開情報により事件を特定し、集計

2

期間中のカード情報流出事件の数は7件、カード情報流出件数は40,831件となりました。事件のうち3件は後述するコールセンター業務委託先の担当者（派遣社員）による不正持ち出しによるものです。
2023年通年のカード情報流出事件数は37件、カード情報流出件数は536,291件となり、前年に比べると事件数で17件、カード情報流出件数で約31万件の減少となりました。流出したカード情報のうち290,771件はカード会社1社が自社のダイレクトメール表面に誤ってカード番号を印字した状態で送付したものとなります。

（2）業種/商材別事件数・情報流出期間別事件数※7-9月の「その他」のうち1件はカード情報流出件数不明※7-9月期の「その他」のうち1件はカード情報流出件数不明※7-9月の「その他」のうち1件はカード情報流出件数不明（3）カード情報流出事件のトピック
コールセンター業務委託先における不正持ち出しでカード情報が流出
2023年10月、コールセンター業務を提供しているサービスプロバイダーの1社が、コールセンターシステムの運用保守委託先の派遣社員による顧客データの不正持ち出しを公表しました。当該派遣社員は持ち出した顧客情報を名簿業者に売却しています。データの流出期間は約10年間と長期にわたっており、流出した個人情報は69の企業・自治体から取り扱いを委託された約928万人分にのぼります。流出した情報の中に、クレジットカード情報は81件含まれていました。
2024年2月に公表された社内調査委員会の調査報告書では、サーバーからの顧客データのダウンロード制限をはじめとするUSBメモリーなどの外部記録媒体への書き出し禁止、保守用PCのインターネット接続禁止、ログ監視、私有PCのネットワーク接続禁止といった基本的なセキュリティ対策がされていなかったことが「内部不正による情報漏洩リスクに対し極めて脆弱」と評価されています。
割賦販売法の実務上の指針である『クレジットカード・セキュリティガイドライン』では、カード情報を取り扱う業務を外部委託する場合、委託者自身が委託先のセキュリティ状況を確認し、責任を持ってPCI DSS準拠などの対策を求めることを要求しています。コールセンター業務などを外部に委託する場合、委託先に対しPCI DSS準拠を求めることは、カード情報を取り扱うための必要最低限のセキュリティ対策といえます。
3

2. ECにおける不正利用の概況（2023年10-12月）（1） クレジットカード不正利用被害額の推移
2023 年10月-12月のクレジットカード不正利用• 不正利用被害額合計• 偽造

138.6億円
1.1億円• 番号盗用128.1億円

• その他

9.4億円

※日本クレジット協会調べ
https://www.j-credit.or.jp/information/statistics/index.html

52023年1-12月までのクレジットカード不正利用被害額は、合計540.9億円で過去最多を記録しています。
これは、前年と比較すると104億円増加しており、2年連続で100億円以上の被害が増加していることになります。内訳としてはクレジットカード情報だけで決済ができる主にECサイトでの不正利用「番号盗用」が全体の93.3％を占める504.7億円になりました。

（2）ECサイト不正利用の傾向【調査方法】
不正注文検知サービス「O-PLUX」（かっこが提供するクレカ不正、悪質転売など不正注文を検知するサービス）をご利用のお客様（累計11万サイト以上）における審査結果をもとに集計

傾向としては、7-9月と比較し10-12月ではクレジットカード不正は0.2％、転売不正は0.5％、不正発生率がともに微増しました。これは、ブラックフライデーや年末セールの時期であり、商品の購買意欲が高まる時期に合わせて転売が増加するため、不正も多く発生したと考えられます。

6ふるさと納税は7-9月版では初ランクインで11位でしたが、今回は9位にランクアップとなりました。ふるさと納税の申請期日が12月末までになるため、特に年末は需要が高まる傾向にあります。そこを不正者は狙ってきたと推測できます。

（3）2023年12月末の国内のカード発行会社（イシュア）におけるDMARC設定状況
フィッシングにより窃取されたカード情報の不正利用が増加していることを受け、経済産業省は、2023年1月に公表した『クレジットカード決済システムのセキュリティ対策強化検討会 報告書』で、カード発行会社（以下イシュア）に対し、DMARC導入を含めた、なりすまし対策の強化を求めています。
イシュアは割賦販売法で「登録包括信用購入あっせん事業者」として登録が義務付けられており、その一覧が経済産業省のWebサイトで公開されています。ｆｊコンサルティングは、経済産業省のWebサイトで公開されているイシュア245社を対象に、DMARCの導入状況を調べました。
【調査方法】①

調査対象のイシュアがWebサイト等でメール送信元として公開しているドメイン（外部委託先やサブドメインを含む）を収集し、対象ドメインを確定②①で収集した全てのドメインのDNSに問い合わせを行い、DMARCレコードの設定有無と、設定がある場合ポリシーを確認③

会社ごとのDMARC対応状況を以下の3段階に分類
１）対応済み：メール送信元として使用しているドメイン全てにDMARCレコードが設定されている。
２）一部対応：メール送信元として使用しているドメインの一部にDMARCレコードが設定されている。
３）未対応：メール送信元として使用している全てのドメインにDMARCレコードが設定されていない。

【調査対象】
登録包括信用購入あっせん事業者（イシュア）245社【調査実施時期】
2023年12月末

7【調査結果（2023年12月31日）】① 調査対象ドメイン数

392件② 調査対象ドメイン毎のDMARC対応状況と運用ポリシー③会社ごとのDMARC対応状況

2023年12月末時点で、イシュアがメール送信に利用しているドメイン392件のうち、有効なDMARCレコードが設定されているのは142件（約36%）となりました。DMARCレコードが有効なドメインのうち、最も厳しい「reject（拒否）」ポリシーが設定されているドメインは37件（約26％）で、85件（約60%）はポリシーを「none（何もしない）」にして運用しています。組織別にみると、DMARCを一部でも導入しているイシュアは97社（約40%）となっています。
フィッシングメール対策としてのDMARCの実効性を持たせるためには、導入率を引き上げる、および導入しているドメインにおいてもポリシーを「reject（拒否）」もしくは「quarantine（検疫）」に設定して運用することが求められます。
8

（4）不正利用のトピック①アカウント乗っ取りによる不正購入
昨年末より、ECサイトにおけるアカウント乗っ取りによる不正注文被害の相談が増加しています。手口としては、まずはダークウェブやフィッシングからECサイトの会員アカウントのIDやパスワードを詐取します。つづいて、詐取したIDやパスワードを用いて、ECサイトにログインした際に、マイページから氏名、住所、クレジットカード情報等の会員情報を書き換え、不正注文をするという流れで行われます。（後払い決済での不正注文も増加中です）この手口の巧妙な点は、既存顧客に対する不正対策が甘くなりがちなところを狙っている点です。さらに会員情報にクレジットカード情報を紐づけている場合には、不正者はクレジットカード情報を盗む手間もなく、容易に不正注文ができてしまいます。
ECサイトを運営する事業者は、会員アカウントが乗っ取られることで事業者責任が問われる可能性があります。さらに、個人情報漏洩の事案として扱われるため、個人情報保護委員会や関連する団体への報告が求められます。このため、EC事業者は、会員アカウントを守る対策を強化する必要があります。

②EC加盟店におけるEMV 3-Dセキュアの導入率『クレジットカード・セキュリティガイドライン【5.0版】』（2023年3月公表）では、増加し続けるクレジットカード不正利用被害への対策として、全てのEC加盟店に対し2025年3月までに「EMV3-Dセキュア」（以下、EMV3DS）の導入を求める方針が示されています。
かっこが2023年11月に実施したEC事業者実態調査において、「EMV3DS」の導入率は36.1％にとどまっている状況です。「EMV3DS」の懸念点としては、ランニングコストが最も多くなっています。従来の「3Dセキュア」は無償で利用ができましたが、最新版の「EMV3DS」は原則有償になりました。また、高価格帯の商品や換金性の高い商品を扱う場合でも、加盟店リスク判定のカスタマイズができない点を懸念する声が多くなっています。※グラフ<EMV3-Dセキュアの懸念点>参照。
導入率をより高めるには、運用コストと使い勝手において更なる支援をすることがポイントになると考えます。また、精度の面では、「EMV3DS」は不正利用被害の軽減には有効ですが、突破されるケースも発生しています。『クレジットカード・セキュリティガイドライン』にもある通り、リスクに応じ多面的・重層的な対策を実施することが重要になります。

8

【本レポートに関するお問い合わせ】
かっこ株式会社
広報担当

前田

Mail: pr@cacco.co.jp
Mobile : 050-3627-8878

ｆｊコンサルティング株式会社
広報・マーケティング担当

板垣

Mail: info@fjconsulting.jp【免責事項】
本レポートの作成にあたり、かっこ株式会社とｆｊコンサルティング株式会社は、可能な限り情報の正確性を心がけていますが、確実な情報提供を保証するものではありません。本レポートの掲載内容をもとに生じた損害に対して、かっこ株式会社とｆｊコンサルティング株式会社は一切の責任を負いません。
【データの利用について】
本レポート内の数表やグラフ、および記載されているデータ等を使用される際は、出典として「かっこ株式会社・ｆｊコンサルティング株式会社 『キャッシュレスセキュリティレポート（2023年10-12月版 ）』を明記下さい。

9