クレカ不正利用された話
クレカを持ち始めてからおよそ30年になるが、初めて不正利用に遭遇した。
不正利用された場合、初動はどのように動けば良いのか。
どのような手口で不正利用されるのか。
そして被害に遭わないためにはどう対策すれば良いのか。
今回の経験から考察してみたので役に立てば幸いである。
①不正利用に遭う
とある金曜日の夜遅く、メインで使っているカードが不正利用されたことに気づいた。
スマホに利用明細を随時照会できるアプリを入れているため、決済がかかるタイミングで都度通知が来ることになっている。通知によって示された利用金額と利用店舗名からして、自分が利用したものではないことは明らかだった。
店舗によってはシステムに設定している店舗名がスペースなしローマ字の羅列で読みづらかったり、系列店名の総称や通称で設定していたりと、利用した本人が認識しづらい店舗名で登録されている場合がある。
また、決済のタイミングもリアルタイムではない時があるため、必ずしも通知が来たタイミング＝利用の瞬間とは言えない。
これらの特性を鑑みても、やはり自分が利用したものではなかった。
いわゆる不正利用に遭ったのかもしれない。
②クレカ会社へ通報
疑念が確信に変わり、取り急ぎすべきことはクレカ会社へ連絡することだ。
この時点で既に日付が変わっている。こんな夜更けのしかも土曜日という時間外＆営業外にコールセンターに繋がるのだろうか。
しかし、週明けを待っていたらその間に更なる被害が出るかもしれない。
できることはやっておこうと、コールセンターへ電話をかけた。
そうだろうなと思っていたが、予想通り「営業時間外なのでおかけ直しを」との自動音声が流れ一瞬落胆したが、「お急ぎの場合は」と自動音声が続き、問い合わせ内容に応じた番号をプッシュすると、BOTでない生身の人間である担当者に切り替わった（最初AIかと思ったが）。
土曜未明、AM2時すぎである。
クレカ不正利用に遭ったことを告げると、以下のポイントを確認された。
・（物理カード）の紛失・盗難ではないか
・フィッシュサイトのような所にカード情報などを入力していないか
・自分以外の者（家族等）が利用していないか
これらは全ての顧客に尋ねる定型の確認事項で、本人に重大な過失がないことが確認されれば、不正利用分の債務を本人が負わずに済むよう担当部署に補償制度適用を申請することができるとのこと。
今回の場合、いずれの問いもNOであったため、申請を上げてくれることになった。
③不審なオーソリ
実は今回の不正利用に遭う少し前に別件で不審な動きを確認していた。
話は数日前に遡る。
アプリの通知により、不審な決済情報が確認されたのだ。
前述の実際に不正利用された店舗（EC事業者「Z」とする）とは別である。
とあるサービスを提供する事業者（「X」とする）にて「￥１」の決済が上がったのだ。
「￥１」の決済金額はいわゆる「オーソリ（Authorization）」と呼ばれるもので、例えば毎月の公共料金の支払いをカード払いに切り替えた場合など、そのカードが有効であるか、与信があるかを確認するため「￥１」の決済をダミー的にかけるものである。最終的にその「￥１」は取り消し処理がされるため、実際に支払う必要はない。
当然、そのサービスを当方は利用していない。
これは、不正利用を目的とする何者かが当方のカードをオーソリにかけたものなのでは？という仮説を立てた。
犯人が何らかの方法で不正にカード情報を入手
サービス提供事業者「X」にてオーソリをかける
但しX社のサービス自体は不正利用の本来の目的ではないオーソリによってカードが有効であることを確認
後日、本来の目的である不正利用を行う→EC事業者「Z」で商品を購入
④手口の全容
この不審なオーソリの件を、カード会社担当者に伝えた。
すると「そうなんです！」と電話口の担当者の声のテンションが上がった。
カード会社に寄せられたここ数日間の不正利用の通報のうち、複数の事案においてこのサービス提供事業者「X」のオーソリが絡んでいるとのことだった。
当方が遭った被害は、EC事業者「Z」における不正利用だが、他ユーザーは必ずしも同店で不正利用されているわけではなく、不正利用が行われた店舗は複数に渡っているという。
しかしながら、事前にサービス提供事業者「X」にてオーソリがかけられている点は共通しており、これらの複数の事案は、おそらく同一犯によるものだろうというのがカード会社の見解だった。
手口の全容が見えてきた。
これはいわゆる「クレジットマスターアタック」によるものと見られる。
カード番号の規則性を悪用し、BOTによってオーソリを番号総当たりでかけ、有効なカード情報を不正に割り出す手口だ。
したがって、不正利用されたユーザーは、カードを物理的に紛失・盗難されていないし、またフィッシュサイトに引っかかったわけでもない。番号を自動化ツールによって機械的に総当たりするのだから、一定の確率で悪いクジに当たってしまうようなものだ。
また、オーソリに利用されたサービス提供事業者「X」においては「クレカ決済システムに不具合が生じ、繋がりにくくなっている」とのアナウンスが出ていた。
このことから、犯人によるオーソリ目的の大量アタックを受けたことが伺える。
そもそもX社の有料サービスが利用されたわけではないため、X社は収益を上げられていないどころか、システム不具合が生じたことによるビジネス的な機会逸失、および不具合解消のために割くリソースも考慮すると、大きな損失を被った被害者と言えるだろう。
⑤カード即時再発行・不正利用代金は免責
クレカ会社担当者との通話は20分ほど続いた。
通話の間、不正利用にあったカードは廃止され、新しいカード番号が即時再発行された。通話中にアプリ上で自動的に番号が置き換わっていることを確認できた。物理カードは数日中に発送されるとのこと。
番号が変わるため公共料金支払いなど月々の引き落としに利用している各サービスについては登録変更の手間はかかるが、不正利用にかかる代金は補償制度により免責になる見込みとのことで、とりあえず当方的には安心することができた。
⑥不正利用に遭わないためには
といわれても、今回のような「クレマスアタック」の場合、ユーザー側で防止することは不可能である。
とはいえ、当たる確率を減らすためには下記のような対策ができるのではと思う。
🟢所持クレカ数を最小限にする
→昔作ったものの現在は利用していないカードや、会費無料だからなんとなく持っているだけのカードは廃止する。
🟢所持クレカのブランドを見直す
→セキュリティが不安、補償制度が充実していなさそう、24時間コールセンター対応が無いようなブランドは廃止も視野に見直す
🟢利用状況を常に監視
→本件が一番重要である。カードの支払いは締日の関係から利用日の翌月末だったりするため、不正利用に気づくタイミングが遅れる場合がある。それでも気づいたのならまだいい方で、人によっては不正利用に気づかずそのまま銀行引き落としがかかる場合もあるそうだ。
また、犯人は決して足が付きやすい高額商品を一点買いするわけではなく、他の正規の利用に紛れて「気づきづらい金額」を巧妙に不正利用してくるようだ。
したがって、やはり利用状況を常に監視することが重要で、最低限毎月利用明細を確認するのはもちろんのこと、できればアプリなどを利用しリアルタイムで利用状況を監視することをおすすめしたい。
⑦不正利用に遭ってしまったら
🟢クレカ会社に通報
→不正利用が発覚したらスピード勝負になる。まずは迷わずクレカ会社に一報を入れよう。
カードの停止・廃止から再発行までやってくれるはずなので、指示に従う。
🟢警察に被害届（任意）
→Web情報によると、補償制度適用の条件としてユーザー側から警察に被害届を提出することが求められることがあるらしい。（今回のケースでは求められなかった）
後述する「クレカ不正利用における被害者とは」の考察も参考にしてほしい。
🟢引き落としカード情報を更新
→カードが再発行されたら、公共料金支払いなど毎月引き落としに設定しているカード番号を変更する。地味に煩雑な作業であるが仕方がない。
⑧不正利用における「被害者」とは
結果的に補償制度の適用によって当方は不正利用の代金を負わなくて良いことになったが、犯人をこのまま野放しにしておくのは非常に腹が立つ。
ダメ元で警察に被害届を出した方が良いのだろうか。
クレカ不正利用は年々増える一方で被害額も膨大になっているとのこと。こんな少額の被害額でいちいち捜査をしてくれるのだろうか。
参考：「クレジットカード不正利用被害の発生状況」一般社団法人日本クレジット協会
しかし考えてみれば、不正利用された店舗名（EC事業者「Z」）および金額は既にこちら側でわかっているし、不正利用されたおおよその時間も把握している。
また「Z」の業態からすると犯人は何らかの物理的な商品を購入しているはず。
ということは、商品の配送が生じるため、捜査さえ入れば警察側で犯人およびその居住地を容易に特定することができるのでは？
そして、それをきっかけに同犯人による他の余罪も芋づる式に検挙できるのでは？
しかしながらここである疑問が浮かんだ。
「被害届」・・・被害者が届け出るもの
代金免責となった当方は果たして被害者と言えるのだろうか？
今回のクレカ不正利用にかかる登場人物をおさらいしてみよう。
⚫️犯人
🟢当方
🟢クレカ会社
🟢サービス提供事業者「X」
🟢EC事業者「Z」
登場人物は上記の5者となる。
以下に各人の状況をまとめる。
⚫️犯人
＝不正利用者である。
BOTを利用したクレマスアタックにより複数の有効なカード情報を入手、それらを利用して複数のEC事業者において不正に物品を購入している。
足がつきづらくするため、高額商品の一点買いなどは避けている模様。
また、不正利用のタイミングをコールセンターの時間外を狙って行っている？
余罪は多数と見られる。
🟢当方
当方のカード情報が不正に使用された。
不正利用分の代金は免責になる見込みのため、金銭的な被害はない。
🟢クレカ会社
不正利用分の代金について当方が免責になったため、クレカ会社が一時的に建て替えているが、のちにEC事業者「Z」に対して「チャージバック（返金を求める処理）」を通知すると見られる。
したがって、クレカ会社も最終的には金銭的損失を負わない。
🟢サービス提供事業者「X」
犯人が有効なカード情報を割り出すためのオーソリに利用されたサービス提供事業者。
大量アタックによりシステム障害が発生させられ、ビジネスにおける機会逸失だけでなく、システム復旧に伴うリソース投入の費用、さらにクレカ会社に支払うオーソリ手数料も負担しなければならないため、一番の被害者と言える。
🟢EC事業者「Z」
犯人が何らかの商品を不正に購入したネットショップ。
代金は一時的にクレカ会社が建て替えているが、のちに「チャージバック（クレカ会社に返金しなければならない処理）」が入るため、最終的には代金を回収できなくなる。
また「Z」の他にも同様の被害に遭っている事業者が複数あると見られ、皆、被害者と言える。
以上のことから、直接的な被害者となるのはサービス提供事業者「X」およびEC事業者「Z」の二者となる。
当方自身は不正利用された代金の債務について免責となっているため、被害者と言えないと解釈し、今回の不正利用に関しては警察へ被害届を出さないことにした。（個人的な解釈です）
⑨余談：EC事業者「Z」とやり取りしてみた
不正利用が行われたEC事業者「Z」は有形の商品を販売するオンライン店舗のため、ここで何らかの商品を購入すれば、必ず物理的な商品の発送が生じるはずだ。
そして同店によれば土日が定休日とのことなので、金曜夜遅くに受けた注文の発送処理は早くても週明けになるだろう。
したがって、この週末のうちにEC事業者「Z」に不正利用された時間と金額を情報提供し、店側で該当の注文を特定した上で商品発送を差しどめれば、代金未回収の事態を回避できるのでは、と思った。
善は急げ、ということで同店に本件をメールした。
そして週明け返ってきた返信にずっこけた。
「ご注文の注文番号か商品名をお知らせください」
「それらがわからないと注文を特定できません」
当方は注文者ではなくカードを不正利用された側であること、したがって注文内容や商品名を知る由もないこと、また商品発送の差しどめを当方からお願いする強制力はなく、後に貴店が被るであろうチャージバックの損失を考慮して、あくまでも任意で（善意で）不正利用の状況をお知らせした迄、というやり取りをメールで何往復かしたが、最後まで全く理解してもらえなかった。
かくして同店舗は商品を無料で提供し、のちにチャージバックを受け、不幸にも代金未回収状態に陥ることになるだろう。
そして犯人ただ一人を利する結果となる。
⑩終わりに：EC事業者から見る不正利用
販路拡大のため各事業者がECサイトを開設することは今日では必然となっている。集客力および売上のUP、昼夜を問わず販売できる、実店舗の維持が不要といった大きなベネフィットがある反面、リスクも無視できない。
今回の不正利用にかかる被害を事業者別に見ると、下記の通りとなる。
🟢サービス提供事業者「X」
・大量アタックに伴うシステム障害によるビジネス機会逸失
・システム復旧に伴うリソース投入の費用負担
・大量のオーソリ手数料にかかる費用負担
🟢EC事業者「Z」
・チャージバックによる代金回収不能＆商品のロスト
・チャージバックを受け入れない場合は「反証」しなければならず、そのリソースの確保が必要
また、ひとたび今回の手口が通ってしまうと、セキュリティが甘いと犯人に認知され、さらなる被害が拡大するという点は事業者XおよびZの両者に共通する。加えてセキュリティに不安があると顧客の信用を失い、同業他社に顧客が流出することは避けられない。一度失墜した信用を再獲得するためにどれだけのリソースを投入しなければならないかを考慮すると、クレカの不正利用は各事業者にとって無視できない深刻なリスクと言える。
事業者側でできる対策
これらのリスクを回避するためにEC事業者側でできる対策は下記の通りとなる。
・チャージバック保険の加入
・本人認証サービス（3Dセキュア）を導入する
・セキュリティコード入力を必須化する
・決済サービス業者のAI不正検知オプションを導入する
・BOT対策を行う・・・「私はロボットではありません」
・決済情報の入力制限を設け、大量オーソリを回避する
いずれも費用がかかることは避けられないが、ベネフィットとリスクのバランスを勘案し、必要な対策を行うことが求められるだろう。
最後に、事業者「X」と「Z」においてはダメ元でも被害者として警察に被害届を出してもらいたい。
犯人に「成功体験」を与えてはならないからである。
