決済の不正利用は、あらゆる規模と業種の事業者にとって大きな問題となりつつあり、2020 年のみでの全世界の損害額は 420 億ドルを超えると推定されています。ほとんどの事業者にとって、特に大量の顧客の決済を処理する事業者にとっては、決済の不正利用は、事業を行ううえで頭の痛い問題ですが、避けて通ることはできません。決済のセキュリティの管理は、デジタルコマースと新しい決済手段の台頭に伴い、複雑さを増しています。不正利用者の戦術がますます巧妙になっていることから、不正利用の検出と防止の対策も同様に高める必要があります。決済の不正利用が事業者に与える影響は、経済的損失、評判の失墜、法律や規制上の罰則など、深刻なものになりかねません。

事業者が決済の不正利用を防ぐためにあらゆる対策を講じたとしても、不正利用は発生します。しかし、さまざまな不正利用の種類と仕組みを学ぶことで、不正利用を防止するための最善の体制を整えることができます。ここでは、不正利用について知っておくべきこと、不正利用が行われる仕組み、事業者が自社と顧客を守るためにできることについて説明します。

この記事の内容

• 決済の不正利用とは何か
  
• 決済の不正利用の種類
  
• 決済の不正利用が発生する仕組み
  
• 決済の不正利用のリスクが最も高い業界
  
• 決済の不正利用が事業者に与える影響
  
• 決済の不正利用から事業者を守る方法
  

決済の不正利用とは何か

決済の不正利用とは、意図的に虚偽の決済情報または盗まれた決済情報を使用して購入を行う金融詐欺の一種です。たとえば、不正利用者は、盗まれたクレジットカード情報を使用したり、小切手を偽造したり、不正な電子送金を行ったりします。

小売事業者は、大量の取引を処理し、すべての決済手段を詳細に審査するリソースを持たない場合があるため、決済の不正利用の被害を受けやすくなります。決済の不正利用は、事業者に深刻な経済的損失をもたらし、評判を毀損し、法的責任を発生させる可能性があります。

決済の不正利用の種類

決済の不正利用には、次のような種類があります。

クレジットカードの不正利用

クレジットカードの不正利用とは、クレジットカードを不正に使用して、商品を購入したり、現金を取得したりすることです。たとえば、この不正利用は、盗まれたクレジットカード情報を使用するか、偽造クレジットカードを作成することで行われます。クレジットカードの不正利用の手口としては、不正利用者が盗んだクレジットカードを使用してオンラインや対面で購入を行ったり、クレジットカードを使用して ATM から現金を引き出したりといったものがあります。

クレジットカードの不正利用による損失は、2019 年は 35 億ドルでしたが、2020 年には 42 億ドルに増加しました。非対面のカード支払いによる不正利用は、2019 年の 57% から、2024 年までに 74% に増加すると予想されています。

デビットカードの不正利用

デビットカードの不正利用はクレジットカードの不正利用と似ていますが、デビットカードを不正に使用するものです。不正利用者は、盗んだデビットカードやカード情報を使用して、商品を購入したり、ATM から現金を引き出したりします。デビットカードの不正利用は、誰かがカードに関連付けられている PIN を取得した場合にも発生します。

銀行の不正利用

銀行の不正利用とは、銀行や金融機関に関わるあらゆる種類の不正利用を指します。これには、不正融資、口座の乗っ取りによる不正利用、なりすまし犯罪などがあります。銀行の不正利用は、個人や金融機関に多大な経済的損失を与える可能性があります。

2022年の ACFE 国民への報告書によると、銀行および金融サービスは、2 番目に不正利用の標的になりやすい業界であり、不正利用 1 件あたりの損失額の中央値は 10 万 ドルです。

電信送金の不正利用

電信送金の不正利用とは、不正利用者が他人の銀行口座や電信送金の情報を取得し、それを使用して自分の口座に送金する行為です。不正利用者は、フィッシング詐欺、被害者のコンピューターやメールアカウントへのハッキングなど、さまざまな手法を利用して被害者の情報を手に入れます。

FBI のインターネット犯罪苦情センター (IC3) の報告によれば、電信送金の不正利用は、2020 年に最も多く報告された種類のビジネスメール詐欺 (BEC) およびメールアカウント侵害 (EAC) 詐欺です。

小切手の不正利用

小切手の不正利用とは、小切手を偽造または改ざんして不正に資金を取得することです。たとえば、署名の偽造や小切手の金額の改ざんが行われます。小切手の不正利用は、小切手帳を盗んだり、被害者の当座預金口座情報を入手することで発生します。

小切手は不正利用の被害を最も受けやすい決済手段であり、2020 年には支払いの不正利用の 66% を占めました。

モバイル決済の不正利用

モバイル決済の不正利用とは、Apple Pay や Google ウォレットなどのモバイル決済サービスを不正に使用して、商品の購入や送金を行うことです。これは、被害者のモバイルデバイスや決済情報へのアクセスを取得することで行われます。また、モバイル決済の不正利用は、不正利用者が他人の情報を使用してモバイル決済アカウントを偽造した場合にも行われます。

2022 年には、モバイルデバイスで行われた不正取引が 70% を占めています。

決済の不正利用が発生する仕組み

不正利用者は、次のようなさまざまな手法を使用して機密性の高い決済情報を入手したり、不正取引を実行したりします。

• フィッシング
  フィッシングは、クレジットカードの詳細、ログイン認証情報、その他の個人情報といった機密情報を取得するための技術です。フィッシングの多くは、メールまたはソーシャルメディアを通じて行われます。不正利用者は、虚偽のログインページや決済ポータルを作成して被害者を騙し、個人情報を入力させます。

• スキミング
  スキミングとは、正当な決済端末に装置を取り付けて、クレジットカードやデビットカードの情報を盗むことです。この装置で取得したカード情報と PIN 番号を使用して、偽造カードを作成したり、ATM から現金を引き出したりできます。

• なりすまし犯罪
  なりすまし犯罪は、不正利用者が名前、住所、社会保障番号といった他人の個人情報を入手して、不正取引を行う行為です。たとえば、新しいクレジットカードの作成、融資の申請、不正購入などを行います。

• 不正チャージバック
  不正チャージバックは、顧客がクレジットカードまたはデビットカードを使用して商品を購入した後で、購入を承認していないとか、商品に欠陥があったとか主張して、銀行との取引に対して不審請求の申請を行う行為です。不正チャージバックでは多くの場合、カード保有者が行った正当な購入であっても、事業者が顧客に返金することになります。

• ビジネスメール詐欺 (BEC)
  BEC は、事業者の従業員を標的とした詐欺の一種です。不正利用者は、従業員 (通常は上級幹部やビジネスパートナー) にフィッシングメールを送信して、不正利用者に機密情報を渡す、あるいは不正利用者に送金するように従業員に要求します。

• マルウェア
  マルウェアとは、機密情報を取得したり、被害者のコンピューターやデバイスを制御したりするために設計された、あらゆる種類の悪意のあるソフトウェアを指します。不正利用者は、マルウェアを使用して、クレジットカード情報、ログイン認証情報、その他の個人情報を盗みます。

決済の不正利用のリスクが最も高い業界

決済の不正利用はあらゆる業界で発生する可能性がありますが、ほかの業界よりリスクが高い業界を次に示します。

• 小売業
  小売事業者は、大量のクレジットカード取引を行うことと、クレジットカード情報にアクセスしやすいことから、不正利用者の標的になることがよくあります。不正利用者は、盗まれたクレジットカード情報を使用して、世界中どこからでも不正購入を行えるため、オンライン小売業者は特に決済の不正利用の被害に遭いやすくなっています。

• 銀行および金融
  銀行などの金融機関は、機密情報を取り扱うことから、頻繁に決済の不正利用の標的になります。不正利用者は、顧客情報を盗んだり、フィッシングなどのソーシャルエンジニアリングの手法を使用して、口座へのアクセスを取得しようとします。

• 医療
  医療提供事業者は、患者の機密情報を大量に保持していることから、よく不正利用者の標的になります。不正利用者は、患者の情報を盗んだり、不正な請求スキームを使用して支払いを手に入れようとします。

• ホスピタリティ
  ホスピタリティ業界、特にホテルとレストランは、大量のクレジットカード取引を行うことから、決済の不正利用のリスクが高い業界です。不正利用者は、クレジットカード情報を盗んだり、盗んだクレジットカードを使用して不正購入を行おうとします。

• EC ストア
  EC ストアの事業者は、クレジットカード情報へのアクセスが容易であること、非対面カード支払いによる取引が頻繁に行われること、オンライン購入の匿名性から、決済の不正利用の被害を受けやすくなっています。不正利用者は、盗まれたクレジットカード情報を使用して不正購入を行ったり、虚偽のオンラインストアを開設して支払いを手に入れようとします。

決済の不正利用が事業者に与える影響

決済の不正利用は、事業者に次のような深刻な影響をもたらす可能性があります。

• 経済的損失
  決済の不正利用は、事業者に多大な経済的損失を与える可能性があります。不正利用者が事業者から資金や商品を盗むことができた場合、事業者はそのコストを吸収するか、顧客に転嫁せねばならず、最終収益の低下につながる可能性があります。不正利用はまた、顧客維持率を下げ、顧客生涯価値 (LTV) を減少させます。

• チャージバック手数料
  顧客がクレジットカードの請求に対して不審請求の申請を行った場合には、事業者がチャージバック手数料を支払わなければならないことがあります。さらに、多くの決済処理プロバイダーは、チャージバック率が高い事業者に追加の手数料を請求します。

• 評判の失墜
  不正利用は個々の顧客の LTV を損なうだけでなく、事業者の評判を傷つけ、信頼に値しないまたは安全でない事業者だと顧客に思わせることになります。これにより、顧客と売上を長期的に失う可能性があります。

• 法律および規制上の罰則
  非常に厳しい対策を講じていても不正利用が発生することがありますが、事業者には細心の注意を払って不正防止対策を行う義務があります。これを怠った場合、法律および規制上の罰則を課せられることがあります。決済の不正利用によって、事業者が PCI データセキュリティ基準 (PCI DSS) などの業界の規制や基準を遵守できなくなるリスクもあります。このような基準を遵守できなかった場合、罰金や法的措置を課せられたり、評判を毀損したりする可能性があります。

• 事業運営の中断
  決済の不正利用が発生すると、事業者は不正取引を調査して解決し、セキュリティ対策を刷新したり、今後の不正利用を防ぐために新しいポリシーや手順を導入したりする必要が生じることから、事業運営が中断される場合があります。これは、他の重要なビジネス機能からリソースを奪い、生産性と効率に影響する可能性があります。不正防止のメリットは、不正利用に伴う損失が軽減されることだけではありません。より建設的なタスクに企業が専念できるようになるというメリットもあります。

決済の不正利用から事業者を守る方法

事業者は、決済の不正利用を防止するために、戦略的で多面的な方法を取る必要があります。たとえば、暗号化の使用、強力なパスワードの要求、不審なアクティビティーを検出するためのアカウントの定期監視といった、強力なセキュリティ対策を導入します。また、事業者は、決済の不正利用のリスクと不正利用から身を守る方法について、従業員と顧客に情報を提供する必要もあります。

事業者が決済の不正利用に立ち向かうために使用できる戦略を、以下にご紹介します。

• 安全な決済手段を利用する
  事業者は可能であれば必ず、EMV チップカード、モバイル決済、NFC 非接触型決済、暗号化されたオンライン決済システムなどの、安全な決済手段を使用する必要があります。これらの決済手段は、現金、小切手、磁気ストライプを使用するクレジットカードおよびデビットカードよりも多くの組み込み不正防止対策を備えています。

• 強力な認証方法を導入する
  事業者は、2 段階認証や生体認証といった強力な認証方法を導入して、許可されたユーザーしか機密情報にアクセスできないようにすることができます。決済の認証に関するベストプラクティスはテクノロジーによって変化するので、最新のセキュリティ基準を反映するようにソリューションを継続的に進化させている、Stripe のようなペイメントプロバイダーを利用すると便利です。事業者は、認証および決済セキュリティ対策を開発、保守、更新するために独自のリソースを投資することなく、最上級の対策を利用できます。

• アカウントを定期的に監視する
  事業者は、異常な取引や支払いパターンの変化といった不審なアクティビティーがないか、アカウントを定期的に監視する必要があります。不正利用を検出する強力な対策を幅広く実施している場合でも、決済記録に異常がないかを定期的に人の目で確認することが重要です。

• 従業員と顧客に情報を提供する
  不正利用のリスクに関する事業者自身とチームの理解が深まれば深まるほど、事業者と顧客を守る体制が整います。不審なアクティビティーを検出して報告するように従業員を訓練し、フィッシングメールなどの不正利用詐欺を見つける方法を顧客に教えてください。

• 不正利用検出ソフトウェアを使用する
  事業者は、不正利用検出ソフトウェアを使用して、異常な支払いパターンや取引といった不正利用の兆候がないか、取引を監視できます。Stripe の決済ソリューションやハードウェアを利用している事業者であれば、強力な不正防止ツールのスイートが既に組み込まれているため、追加で導入する必要はありません。

• 機密情報へのアクセスを制限する
  事業者は、顧客のクレジットカード番号や銀行口座情報などの機密情報に社内の誰がアクセスできるのかに注意を払う必要があります。このような種類の情報は、必要とする従業員にのみアクセスを制限することが重要です。

• 常に最新のセキュリティ対策を把握する
  事業者は、常に最新のセキュリティ対策とソフトウェアアップデートを把握して、最も効果的な不正防止ツールを使用する必要があります。これが、Stripe のような事業者を利用すると非常に役立つ理由です。事業者は決済の不正利用を監視し、適切な決済システムのアップデートを導入するという重要な作業を外注できます。