デジタルウォレットは、不正利用のリスクを軽減する追加のセキュリティレイヤーであるトークン化によりユーザーの決済情報を保護するため、一般的に安全性が高いと考えられています。しかし、このような保護を追加しても、デジタルウォレットの不正利用は発生する可能性があります。悪意のある行為者は、盗んだカード情報を自身のモバイルウォレットに追加したり、トークン化されたカード資格情報を悪用したり、デジタルウォレットアカウントを乗っ取って被害者の保存された決済手段にアクセスしたりする可能性があります。また、不正な取引は正当な購入と同じように見えるため、発見することが困難な場合があります。
ここでは、最も一般的な手口を含む、デジタルウォレットの不正利用について説明します。トークン化によってデジタルウォレット決済がどのように保護されるか、セキュリティが追加されているにもかかわらず脆弱性が残る理由、そしてどのような防止策が役立つかについて説明します。
この記事でわかること
デジタルウォレットの不正利用は決済の不正利用の一種であり、悪意のある行為者はソーシャルエンジニアリングやフィッシングなどの手口を使用して、デジタルウォレットに保存されているアカウントへのアクセスを試みます。
トークン化によってデビットカードとクレジットカードのカード詳細は暗号化されますが、デジタルウォレットを使用している人物が実際の口座名義人であることの確認は行われません。
悪意のある行為者が別の場所でアクセス権を取得した場合でも、商品の紛失や不審請求の申し立てによって、デジタルウォレットの不正利用によるコストを負担する可能性があります。
不正利用対策ソリューションの導入や、デジタルウォレットの一般的な詐欺手口の理解など、デジタルウォレットの不正利用を防ぐための対策を講じることで、リスクにさらされる可能性を減らすことができます。
デジタルウォレットの不正利用とは
デジタルウォレットの不正利用は、決済の不正利用の一種です。これは、使用許可のない資格情報を使用して、モバイルウォレットで決済を行った場合に発生します。悪意のある行為者は、非対面 (CNP) での不正利用と同様に、カード番号、セキュリティコード (CVV)、有効期限などのカード詳細を盗み、新しいデジタルウォレットに追加する可能性があります。あるいは、既存のデジタルウォレットアカウントや、アカウント所有者が保存した決済手段 (Apple Pay や Google Pay など) を乗っ取り、不正な購入を行う可能性もあります。
悪意のある行為者による取引は正規のセキュリティプロセスを通過するため、未承認のデジタルウォレット決済に気づくことは困難な場合があります。決済が行われる時点では、通常、有効なトークン (安全な代替カード番号である静的コード)、取引のクリプトグラム (決済を検証する 1 回限りの動的コード)、およびパスコードまたは生体認証が伴います。
しかし、不正利用のリスクがあるにもかかわらず、デジタルウォレットによる決済は一般的にクレジットカード取引よりも安全であると考えられています。
デジタルウォレットの不正利用の最も一般的な手口とは
デジタルウォレットの不正利用の最も一般的な手口は以下のとおりです。
フィッシング攻撃
フィッシング攻撃は、悪意のある行為者が正当な機関を装った偽のメールやメッセージを使用し、口座名義人を騙して機密情報を共有させることで発生します。これらの攻撃では、クレジットカードのカード詳細、口座番号、個人情報、およびパスワードが標的となります。
ソーシャルエンジニアリング
ソーシャルエンジニアリングは、悪意のある行為者が人間の感情につけ込む巧妙な手口を使用し、被害者を騙して機密性の高いログイン情報を共有させることで発生します。たとえば、悪意のある行為者が金融機関の担当者を装って電話をかけ、デジタルウォレットがハッキングされたと主張する可能性があります。そして、虚偽の緊急性を煽り、パスワードや認証コードなどを提供させようとします。
Subscriber Identity Module (SIM) スワッピング
SIM スワッピングとは、悪意のある行為者が SIM カードを取得し、携帯電話会社を騙して標的となる人物の電話番号をそのカードに移行させる手口です。機密情報 (ワンタイムパスワードなど) を含む電話やテキストメッセージを傍受することで、悪意のある行為者は被害者のデジタルウォレットの制御権を取得できます。
デバイスのプライマリアカウント番号 (DPAN) の悪用
決済システムがハッキングされた場合、悪意のある行為者が顧客の DPAN (デバイス固有のトークン) を暴露できる可能性がありますが、その背後にある実際のカード番号にはアクセスできません。しかし、悪意のある行為者が関連するデバイスも盗んだ場合、DPAN を悪用して顧客のデジタルウォレットから不正な支払いを行う可能性があります。
トークン化により、デジタルウォレットの不正利用はどのように防止されるか
トークン決済の際、デジタルウォレットは機密性の高いカード番号を、ランダムに生成されたコード (トークン) に置き換えます。トークンは実際の番号のように機能しますが、盗まれても価値はありません。顧客が支払いを行った後、ビジネスはトークンのみを保存します。実際のカード詳細は通常は決済代行業者である トークンサービスプロバイダー (TSP) に送信され、「保管庫 (ボルト)」と呼ばれる一元化されたデータベースに保存されます。
セキュリティを強化するため、各デジタルウォレット取引では、動的で一意のコードであるクリプトグラムも使用されます。悪意のある行為者が取引データを取得したとしても、クリプトグラムは 1 回限りのコードであり、すでに有効期限が切れているため使用できません。
多くのデジタルウォレットでは、顔認証や指紋認証などの生体認証も使用されています。これにより、ユーザーの暗証番号 (PIN) に加えて保護レイヤーが追加され、アカウント所有者以外の人物が決済のオーソリを行うことが困難になります。
デジタルウォレットのセキュリティに脆弱性はあるか
デジタルウォレットは一般的に、カード決済よりも不正利用が発生しにくいと考えられていますが、セキュリティの脆弱性が存在する可能性はあります。たとえば、悪意のある行為者がプロビジョニングプロセスでソーシャルエンジニアリングを使用してログイン資格情報を取得し、新しいデジタルウォレットにアカウントを設定する可能性があります。また、悪意のある行為者がデバイスのパスコードを知っていたり、自身の生体認証を追加したりした場合、顧客のデバイスが侵害される可能性もあります。
デジタルウォレットの不正利用のリスク
悪意のある行為者がプロビジョニングレイヤーの標準的なセキュリティ対策を回避すると、決済前の段階でデジタルウォレットの不正利用のリスクにさらされる可能性があります。また、盗まれたデジタルウォレットを使用して購入の支払いが行われた場合、その取引は多くの場合、正当なデジタルウォレットの取引と区別できません。そのため、不審な支払いに気づくことが困難になります。さらに、不審請求の申し立てやチャージバックへの対応が必要になる場合もあり、結果として収益の損失につながる可能性があります。
Stripe Radar でできること
Stripe Radar は、Stripe のグローバルネットワークからのデータでトレーニングされた AI を使用して、不正利用を検出し、成長を促進します。Radar により、収益に影響が及ぶ前に、顧客のライフサイクル全体を通じて不正利用が防止され、より多くの正当な顧客や支払いを承認できるようになります。
Radar の特徴
不正利用による損失の防止: Radar の AI は、Stripe のグローバルネットワーク全体で年間 1 兆 9,000 億ドル以上の取引から学習し、個々のビジネスでは発見できない可能性のある不正利用のパターンを特定してブロックします。
進化する不正利用攻撃に対する一元的な保護: Radar は、取引の不正利用、アカウントの不正利用、顧客の不正行為に対する保護を 1 つのソリューションに統合し、主要な不正利用のタイプ全体で一元的な保護を提供します。
進化する不正利用への適応: Radar は、ファーストパーティによる不正行為から自律的な取引まで、変化する不正利用のパターンに継続的に適応し、新たな脅威から保護します。
既存のテクノロジースタックとの連携: 実装不要で Stripe 決済と併用して Radar を使用することも、Stripe で決済を処理しているかどうかに関係なく、プログラム可能な API を通じて Radar のインテリジェンスにアクセスすることもできます。
デジタルウォレットの不正利用に関するよくあるご質問
この記事の内容は、一般的な情報および教育のみを目的としており、法律上または税務上のアドバイスとして解釈されるべきではありません。Stripe は、記事内の情報の正確性、完全性、妥当性、または最新性を保証または請け合うものではありません。特定の状況については、管轄区域で活動する資格のある有能な弁護士または会計士に助言を求める必要があります。