決済の不正利用の検出と防止は複雑な課題であり、連動する動的なソリューションの組み合わせが必要です。企業は資金を保護し、顧客からの信頼を維持し、変化する脅威を予測するために、この分野の知識を深めることが重要です。2025 年には、連邦取引委員会 (FTC) に 300 万件の不正利用報告が提出され、損失額は 159 億ドルに上りました。

以下では、決済の不正利用の影響、そのさまざまな種類、および企業が対策として活用できるいくつかのベストプラクティスについて説明します。

目次

• 決済の不正利用とは
  
• 企業に対する決済の不正利用の影響
  
• 決済の不正利用の種類とその防止策
  
• 自社独自の決済の不正利用対策プランを作成する方法
  
• Stripe Radar でできること
  

決済の不正利用とは

決済の不正利用とは、決済システムを悪用して資金や金融情報に不正にアクセスする、不正または違法な行為のことです。これには、他人の身元情報の盗用、不正な購入、企業を欺いて返金させることなどが含まれます。

企業に対する決済の不正利用の影響

決済の不正利用は、個人、企業、経済全体に深刻な結果をもたらします。決済の不正利用の主な影響は以下のとおりです。

• 金銭的損失: 不正な取引により、個人、企業、金融機関に多大な金銭的損失が生じる可能性があります。2024 年には、オンライン決済の不正利用のみで世界の EC に 440 億ドルを超える損失が発生し、この数字は 2029 年には 1,070 億ドルに達すると予想されています。

• 個人情報の盗用: 決済の不正利用は多くの場合、個人情報や金融情報の盗用と悪用を伴い、被害者に長期的な被害をもたらし、身元情報や信用の回復を困難にします。

• 企業の評判: 決済の不正利用の被害に遭った企業は、評判に傷がつき、顧客からの信頼を失う可能性があり、売上の減少、チャーンの増加、業務コストの増加につながるおそれがあります。不正利用は、決済システムに対する信頼を損なうことにもなります。

• 法的および規制上の影響: 不正利用防止規制を遵守しなかったり、顧客情報を適切に保護しなかったりする組織は、法的罰則、罰金、規制当局の監視強化に直面する可能性があります。

• 業務コストの増加: 決済の不正利用の検出と防止には、テクノロジー、人員、リソースへの多大な投資が必要となり、組織の予算や業務効率を圧迫する可能性があります。

決済の不正利用に対処することで、企業や金融機関は不正行為に関連するリスクやマイナスの結果を最小限に抑え、決済システムの完全性とセキュリティを確保し、より広範な金融システムの信頼を維持できます。

決済の不正利用の種類と防止策

不正行為者はさまざまな手法を用いて決済システムの脆弱性を悪用するため、決済の不正利用には多くの形態があります。

カード非対面 (CNP) の不正利用

CNP の不正利用は、悪意のある行為者が盗んだクレジットカード認証情報を使用して、オンライン、電話、モバイルアプリなどを通じ、物理的なカードを確認できない状況で不正な購入を行う場合に発生します。Europay、Mastercard、Visa (EMV) チップなどの物理的なセキュリティ機能を確認できないため、デジタルコマースにおける不正利用の大半を CNP の不正利用が占めています。

CNP の不正利用を検出して防止する方法は以下のとおりです。

• カード保有者データの確認: 決済時に住所確認サービス (AVS) およびセキュリティコード (CVV) のチェックを義務付け、購入者がカード詳細と請求先住所を物理的に保持していることを確認します。

• 動的 3D セキュア (3DS) の導入: 3DS プロトコルを使用して、リスクの高い取引にのみ (ワンタイムパスコードまたは生体認証を介した) 認証を義務付け、強力な顧客認証 (SCA) の義務付けに基づいて、不審請求の申し立ての責任をカード発行会社に移行します。

• AI ベースのリスクスコアリングの使用: Stripe Radar などのリアルタイムの不正利用検出エンジンを実装し、デバイスフィンガープリント、プロキシの使用、企業間の支払いパターンといった何百もの取引属性を評価して、オーソリの前に不正な試みをブロックします。

• ネットワークトークン化の採用: 生のプライマリアカウント番号 (PAN) を安全なカードブランドのトークンに置き換えて、データ漏洩の際に保存された認証情報が侵害されるのを防ぎます。

第一当事者による不正利用

第一当事者による不正利用は、正当なカード保有者や日和見的な購入者が、金銭的利益を得る目的で企業のポリシーや決済メカニズムを悪用した場合に発生します。

• チャージバックの不正利用 (フレンドリーフロード): 顧客が正当な購入を行った後、銀行に対して、取引が不正であった、荷物が届かなかった、または商品に欠陥があったと虚偽の主張をすることです。商品を手元に残したまま、強制的に返金を受けようとします。

• 返金の悪用とポリシーの抜け穴の利用: チャージバックとは異なり、返金の悪用とは、顧客が企業に対して直接返品ポリシーを悪用することです。たとえば、使用済みの衣類を返品する (「ワードロービング」)、空箱を返品する、荷物に商品が入っていなかったと主張する、注文した商品が届かなかったと繰り返し主張して重複して発送させたり、現金で返金を受けたりすることです。

第一当事者による不正利用を検出して防止する方法は以下のとおりです。

• 詳細なフルフィルメント記録の保持: 配送業者の追跡番号、GPS 配送タグ、置き配のパッケージ写真、署名確認など、検証可能な配達証明を収集します。

• 請求書明細と返品ポリシーの明確化: クレジットカードの請求書明細に認識しやすい商号を使用し、決済時に目立つ見やすい返金規約を提示して、顧客の混乱を最小限に抑えます。

• 顧客の行動と悪用パターンの追跡: 顧客アカウントを監視して、過度な返金リクエスト、商品が入っていないという頻繁な主張、またはチャージバックの繰り返しのパターンがないかを確認し、フラグが立てられたプロファイルについては決済手段を制限するか、配達時の署名を要求します。

• 反証資料の自動提出: 不審請求の申し立て管理ツールを自動化して活用し、取引ログ、顧客とのコミュニケーション、配達証明、利用規約の同意などをまとめて、不正なチャージバックに対抗します。

ビジネスメール詐欺 (BEC) および AI により生成されたソーシャルエンジニアリング

BEC は巧妙な不正利用の一形態であり、悪意のある行為者が企業の幹部、信頼できるベンダー、または法務パートナーになりすまし、従業員を騙して資金を送金させたり、請求に対する支払いをリダイレクトさせたりします。

生成 AI の台頭により、この脅威はさらに深刻化しています。攻撃者は大規模言語モデルを使用して、極めて現実的で間違いのない標的型フィッシングメールを作成し、音声やビデオ通話中にディープフェイクを展開することで、従来の口頭での承認チェックを回避します。

BEC および AI 主導の不正利用を検出して防止する方法は以下のとおりです。

• 厳格な複数人による承認ワークフローの実装: 資金移動、給与支払いの更新、またはベンダーの銀行口座詳細の変更には、別々の管理者による二重の承認を要求します。

• アウトオブバンド認証の確立: 従業員に対し、支払い手順や銀行詳細の変更リクエストは、変更リクエストのメールに記載されている連絡先ではなく、あらかじめ設定された信頼できる電話番号を使用してベンダーや幹部に直接電話して確認することを義務付けます。

• 高度なメール認証プロトコルの適用: Sender Policy Framework (SPF)、DomainKeys Identified Mail (DKIM)、および Domain-based Message Authentication, Reporting, and Conformance (DMARC) を導入し、ドメインのなりすましを防ぎ、不正な送信者をブロックします。

• AI ベースのソーシャルエンジニアリングに関するスタッフのトレーニング: 財務および調達チームに対し、AI が生成した標的型フィッシングの兆候、ディープフェイクによる音声操作の手口、確立されたプロセスに従わない緊急の送金要求を認識できるようにトレーニングを行います。

身元情報の盗用と合成個人情報の不正利用

身元情報の不正利用には、漏洩した個人識別情報 (PII) (社会保障番号 (SSN)、生年月日、自宅住所など) を使用して、不正なアカウントの開設、信用の取得、または購入を行うことが含まれます。

• 従来の個人情報の盗用: 不正行為者は、盗まれた個人データの完全なセットを使用して実在の人物になりすまします。

• 合成個人情報の不正利用: 攻撃者は、本物の盗まれた PII (多くの場合、子供、故人、または休眠中の信用情報に属する SSN) と、完全に架空の名前および住所を組み合わせます。攻撃者は数カ月または数年かけてこれらの合成個人情報を育成し、もっともらしいクレジットスコアを構築してから、クレジット限度額を使い切ってアカウントを放棄します (「バストアウト」と呼ばれます)。

身元情報の不正利用を検出して防止する方法は以下のとおりです。

• 多層的な身元確認: リスクの高い取引やアカウントの作成には、公的な本人確認書類のスキャンと生体認証によるライブネスチェックを組み合わせた、多角的な身元確認を要求します。

• 身元情報データベースの照合: 申請者のデータを信用情報機関の登録情報、通信データベース、政府の記録と照合して検証し、名前、生年月日、SSN 間の不一致を検出します。

• 行動シグナルの分析: 行動的生体認証 (タイピングのペース、フォームフィールドでのコピーアンドペーストのアクティビティ、デバイスのナビゲーションなど) を追跡して、自動ボットや不正なフォーム入力プログラムと真正なユーザーを区別します。

• 多要素認証 (MFA) の適用: フィッシングに強い MFA (FIDO2 パスキーや認証アプリなど) を要求して、クレデンシャルスタッフィングから発生するアカウント乗っ取り攻撃をブロックします。

リアルタイム決済 (RTP) の不正利用と即時決済の悪用

米国における The Clearing House の RTP ネットワークや連邦準備制度の FedNow サービスなど、即時かつ 24 時間体制の決済ネットワークが急速に拡大するにつれ、サイバー犯罪者が口座間送金を標的とするケースが増加しています。

RTP は数秒以内に決済され取り消しができないため、悪意のあるアクターは承認済みプッシュ決済詐欺やアカウントの乗っ取りによって被害者をだまし、即時送金を行わせます。その後、銀行やビジネスが資金を凍結する前に、「ミュール (運び屋)」アカウントのネットワーク全体に盗んだ資金を急速に分散させます。

リアルタイム決済の不正利用を検出して防止する方法は次のとおりです。

• 実行前のリスクスコアリングを導入する: 即時送金を実行する前に、ミリ秒単位で取引のリスクを評価し、送金元のデバイスの整合性、セッションの異常、過去の送金パターンを分析します。

• 受取人の確認を利用する: 送金を実行する前に、受取人の登録済みアカウント名が送金元の入力した名前と一致することを確認し、ミュールアカウントの可能性にフラグを付けます。

• 動的制限とクーリングオフ期間を適用する: 新たに追加された受取人やなじみのないアカウントへの即時送金に対し、一時的な金額上限や短時間の決済遅延を適用します。

• 送金パターンを監視する: 最近変更されたユーザープロフィールや、新しいインターネットプロトコル (IP) アドレスからアクセスされたアカウントによる、高頻度または突然の高額送金にフラグを付けます。

POS スキミングとハードウェアの改ざん

スキミングとは、POS 端末、現金自動預け払い機 (ATM)、または給油機のカードリーダーに、隠し物理デバイスや悪意のあるソフトウェアをインストールすることです。顧客がカードをスワイプすると、スキマーが磁気ストライプに保存されている暗号化されていないデータをコピーし、隠しピンホールカメラや偽のキーパッドが顧客の暗証番号 (PIN) を記録します。その後、不正行為者は磁気ストライプを偽造カードに複製し、実店舗での購入や現金の引き出しを行います。

スキミングを検出して防止する方法は次のとおりです。

• EMV チップおよび非接触型決済に移行する: EMV チップと PIN による決済、および非接触型や近距離無線通信 (NFC) テクノロジーを利用したデジタルウォレットに対応するリーダーを使用します。EMV チップとトークン化された NFC は、磁気ストライプデータからの複製や再利用が不可能な、動的で使い捨ての暗号を生成します。

• ハードウェアを定期的に検査する: すべての決済端末について、緩んだオーバーレイ、壊れた不正開封防止シール、一致しないプラスチックケース、または未承認のケーブル接続がないかを毎日文書化して物理的に検査します。

• ポイントツーポイント暗号化 (P2PE) を導入する: ネットワーク経由でデータを送信する前に、安全な暗号化読み取りデバイス内でカード保有者のデータを直接暗号化する、PCI 認定の P2PE ソリューションを使用します。

• 端末へのアクセスを保護する: 決済機器への物理的なアクセスを制限し、未使用のポートをロックダウンし、サードパーティの保守技術者に POS ハードウェアへのアクセスを許可する前にその身元を確認します。

自社のビジネスに合った独自の決済の不正防止計画を立てるには

独自のニーズとリスクに適した決済の不正利用対策プランを作成するには、評価、優先順位付け、実装、および継続的な改善を含む体系的なアプローチに従う必要があります。

決済の不正利用対策戦略を策定し、実行するための段階的なガイドは次のとおりです。

• リスクを評価する: 完全なリスク評価を実施し、業種、規模、顧客ベース、および取引方法に基づいて、ビジネスに最も関連する決済の不正利用の種類を特定します。既存のシステム、プロセス、管理を評価して、脆弱性と改善の余地がある領域を特定します。

• 最大の脅威を優先する: リスク評価に基づき、潜在的な財務上の影響、風評被害、発生の可能性を考慮して、最も重大な脅威と脆弱性に優先順位を付けます。これは、どの不正利用防止策を最初に実装すべきかを決定するのに役立ちます。

• 戦略を構築する: 予防、検出、対応の各対策を組み合わせて、優先順位を付けたリスクと脆弱性に対処する明確な戦略を策定します。ビジネス独自のニーズとリスクに合わせて戦略をカスタマイズし、短期と長期の両方の目標を含めます。

• リソースを割り当てる: 選択した戦術とベストプラクティスを実装するために、人員、予算、テクノロジーを含む必要なリソースを割り当てます。チームメンバーに明確な役割と責任を割り当て、戦略の実装と継続的な管理を監督する強力なガバナンス構造を確立します。

• プランを実装する: 選択した戦術とベストプラクティスを導入し、既存のシステムとプロセスに確実に統合されるようにします。これには、ポリシーと手順の更新、新しいテクノロジーへの投資、従業員向けのトレーニングと啓発プログラムの実施が含まれる場合があります。

• 結果を監視して評価する: 主要業績評価指標 (KPI) と指標を使用して進捗状況を追跡し、実装された対策の有効性を継続的に監視します。定期的な監査を実施して改善領域を特定し、業界の標準と規制への準拠を確保します。

• 継続的に適応して改善する: 監視と評価の結果に基づいて、必要に応じて戦略を絞り込み、調整します。新たな脅威や変化するビジネスニーズに対処するために、新しい戦術を組み込みます。分野における最新のトレンド、テクノロジー、ベストプラクティスに関する情報を常に把握し、決済の不正利用防止に対する事前対応的なアプローチを維持します。

不正防止サービスや不正リスク低減サービスを提供している企業と連携することで、不正対策への取り組みを強化できます。また、決済インフラや決済処理の実現のために使用しているソリューションによっては、不正防止機能をすでに備えている可能性もあります。

Stripe Radar でできること

Stripe Radar は、Stripe のグローバルネットワークのデータで学習した AI モデルを使用して不正利用を検知・防止するツールです。最新の不正傾向に応じてモデルを常に更新し、不正利用の手口が進化してもビジネスを守ります。

Stripe はこのほか、Radar for Teams も提供しています。ユーザーは自社ビジネス特有の不正シナリオに対応するカスタムルールを追加でき、高度な不正分析情報にアクセスできます。

Radar は以下のことに役立ちます。

• 不正利用による損失の防止: Stripe は年間 1 兆ドル以上の決済額を処理しています。この規模でも、Radar は不正利用を正確に検知・防止し、コスト削減に貢献します。

• 売上の向上: Radar の AI モデルは、実際の不審請求データ、顧客情報、閲覧データなどに基づいて学習され、リスクの高い取引を特定し、誤検知を減らし、売上を増加させます。

• 業務効率化: Radar は Stripe に組み込まれており、設定のためのコーディングは一切不要です。単一のプラットフォームで不正利用の動きを監視したり、ルールを作成したりすることができるため、業務効率も向上します。

Stripe Radar の詳細を表示するか、今すぐ使ってみる。