決済の不正利用は、事業者の財務と顧客のプライバシーを脅かす可能性があり、これに対処するには、高度で柔軟な防御ソリューションが必要です。保護されていないカードリーダーからのクレジットカード番号の盗難から悪意のある偽メールまで、さまざまな形態の決済の不正利用があります。事業者は、毎年 EC の総収益の 3% が不正利用によって失われていると推定しています。

決済の不正利用は大きな脅威ですが、事業者はいくつかの効果的な防御策を利用することで、不正利用を軽減できます。ここでは、一般的な決済の不正利用の種類について事業者が知っておくべきこと、各種類の不正利用の仕組み、そして自社と顧客を守るためにできることをご紹介します。

目次

• 決済の不正利用とは
  
• 決済の不正利用の種類
  
• 不正利用対策のメリット
  
• Stripe Radar でできること
  

決済の不正利用とは

決済の不正利用は、虚偽の決済情報または盗まれた決済情報を使用して、金銭や商品を手に入れる金融詐欺の一種です。決済の不正利用はさまざまな形で行われますが、一般的なものは、不正利用者がクレジットカードや銀行口座の情報を盗む、小切手を偽造する、または盗まれた個人情報を使用して不正取引を行うというものです。

決済の不正利用の種類

不正利用者が決済の不正利用を行うために使用する方法がいくつかあります。ここでは、最も一般的な手法をご紹介します。

1. フィッシング

概要:

フィッシングは、ソーシャルエンジニアリング攻撃の一種で、心理操作によって人々を騙す手法です。不正利用者は、メール、ショートメッセージ、ウェブサイトを使用して人々を騙し、ログイン認証情報やクレジットカード情報などの機密情報を開示させます。

フィッシング攻撃では、一般に、銀行や有名なオンライン小売業者などの信頼できるソースから送信されたように見せかけるメールが使われます。メールでは、リンクをクリックしてアカウント情報を更新する、最近の取引を確認する、賞品を受け取るなどの行動を受信者に促します。受信者がリンクをクリックすると、偽のウェブサイトが表示され、そこでログイン認証情報、クレジットカード情報、その他の機密情報を入力するように求められます。

フィッシングはショートメッセージを使って行われることもあり、その場合は「スミッシング」と呼ばれます。ソーシャルメディアプラットフォームを通じて行われる場合は、「ファーミング」と呼ばれます。これらの場合、攻撃者は個人情報の窃盗やデバイスへのマルウェア感染を目的として、メッセージや正当なものに見える虚偽のウェブサイトへのリンクを送信します。

防止策:

フィッシング攻撃から身を守るには、知らない送信元や疑わしい送信元からのリンクのクリックや添付ファイルの開封に注意することです。緊急性や脅迫的な表現、綴りの違う単語、疑わしいリンクなど、不正利用者がよく使用する手法に常に注意を払います。ウイルス対策ソフトウェアを使用することも、フィッシング攻撃への対策に有効です。

ほかの種類の決済の不正利用と同様に、フィッシング詐欺も時とともに進化し、より高度化して、正当なメールとの見分けがつきにくくなっています。個人および事業者は、フィッシングに関する知識とこの種の攻撃を認識して回避する方法を学び、従業員を教育する必要があります。

2. スキミング

概要:

スキミングとは、不正利用者がスキマーという装置を使用して、クレジットカードやデビットカードの情報を盗む行為です。不正利用者は、ATM や、ガソリンスタンド、セルフレジ、その他の決済端末など、POS 端末のカードリーダーにスキマーを取り付けます。スキマーで取得したカードの磁気ストライプのデータは、偽造カードの作成や不正購入に使用される可能性があります。

スキマーに加え、不正利用者が小型カメラや、ATM や決済端末のキーパッドを覆う装置を使用して、利用者の PIN を取得する場合もあります。そして、その情報を盗んだカードデータとともに使用して、不正な現金の引き出しや商品の購入を行います。

防止策:

スキミング装置は小型で目立たないことが多いので、スキミングを検出するのは難しい場合があります。しかし、不可能ではありません。スキミング装置の存在を示す兆候がいくつかあります。たとえば、カードリーダーの取り付けが緩んでいる、カードリーダーに損傷がある、変わった装置や余分な装置が決済端末に取り付けられている、その地域のほかの決済端末とは見た目が異なる、などです。

スキミングから身を守るために、決済端末や ATM を使用する際に注意し、不当に改ざんされた兆候がないか装置をよく調べてください。PIN を入力するときにキーパッドを隠すことも、カメラを使用したスキミングを防止するのに役立ちます。

疑わしい取引がないか、銀行やクレジットカードの明細書を定期的に確認し、スキミングが疑われる場合はできる限り早く、銀行またはペイメントカード発行会社に報告します。

デジタルウォレットまたは EMV チップ対応カードで支払うと、このテクノロジーは磁気ストライプカードよりも安全であるため、スキミングから身を守ることもできます。これらの安全な決済手段を受け付けるように事業者側で対応しておくことは、スキミングに対する強力な防御策です。

3. 個人情報盗難

概要:

なりすまし犯罪とは、決済の不正利用の一種で、不正利用者が個人情報 (名前、社会保障番号、クレジットカード番号など) を盗み、それを使用して不正購入や被害者名義での口座開設を行う行為です。なりすまし犯罪は、被害者に深刻な経済的損害や法的被害をもたらす可能性があります。

なりすまし犯罪とは、いくつかの不正利用手法を表す総称的な用語です。たとえば、フィッシング攻撃もなりすまし犯罪の一種です。ハッカーが企業のデータベースへのアクセス権を取得して、大量の個人情報を盗むデータ侵害も、なりすまし犯罪です。その他のなりすまし犯罪手法には、郵便物の窃盗、ダンプスターダイビング、ウォレットの窃盗などがあります。個人情報を手に入れた不正利用者は、その情報を使用して新しいクレジットカードアカウントを開設することも、ローンを申請することも、虚偽の納税申告書を提出することさえも可能です。

防止策:

事業者がなりすまし犯罪を防ぐために実施できる対策はいくつかあります。まず、暗号化など、不正アクセスを防ぐためのセキュリティ対策を利用して、顧客データを安全に保管することです。事業者は、業務上、顧客データを利用する必要がある従業員にのみ、顧客データへのアクセスを制限し、顧客データが含まれるすべてのアカウントとシステムに対して強力なパスワードと多要素認証の使用を義務付ける必要があります。

なりすまし犯罪を防止するには、従業員のトレーニングも重要です。トレーニングには、フィッシングメールの見分け方や強力なパスワードの作成方法といった、セキュリティに関するベストプラクティスを含める必要があります。

不正ログインやアカウント情報の変更など、疑わしいアクティビティーがないか顧客アカウントを監視することで、なりすましを早期に検出し、被害を減らすことができます。適切な決済技術スタックを選択することで、不正利用の検出と防止による時間とリソースの浪費を防ぐことができます。たとえば、Stripe Identity を使用すると、事業者はグローバルユーザーの本人確認をプログラムで行うことができます。

最後に、データ侵害に備えて、影響を受けた顧客への通知やなりすまし犯罪からの保護サービスの提供といった対策を考えておく必要があります。

4. チャージバック不正利用

概要:

チャージバック不正利用は、顧客が正式に行った取引にもかかわらず、自分は商品を購入していないと主張する、または支払った商品やサービスを受け取っていないと主張して、不審請求の申し立てを行う手口です。商品やサービスを保持したまま返金を受ける場合があり、事業者にとって経済的損失となります。チャージバック不正利用が発生すると、販売した商品の売上を失う、チャージバック手数料や罰則が科されるなど、事業者にとって深刻な経済的損失をもたらすおそれがあります。

チャージバック不正利用には、いくつかの方法があります。最も一般的な方法は、利用者が正当な購入を行い、後から、商品が説明と異なっていた、または商品を受け取っていないと主張して、クレジットカード会社に不審請求の申し立てを行うというものです。別の方法は、利用者が意図的に盗まれたクレジットカードを使用して購入し、承認していないとして不審請求の申し立てを行うものです。

防止策:

チャージバック不正利用から保護するには、顧客の本人確認を行い、購入に使用されたクレジットカードの正当な所有者であることを確認する必要があります。これには、カード非提示取引に署名またはセキュリティコードを要求すること、住所確認や IP 位置情報などの不正利用検出ツールの導入などが含まれます。また、返金および返品ポリシーを明確に定め、チャージバックの不審請求の申し立てを処理するプロセスも定めておく必要があります。チャージバックの不審請求の申し立てで反証資料を提出する必要がある場合に備えて、領収書、配送先情報、顧客とのやり取りなど、すべての取引を明確に記録しておく必要があります。Stripe Radar は、Stripe の決済製品に組み込まれた高度な不正利用検出および防止テクノロジーで、チャージバック不正利用の防止を簡素化します。

5. ビジネスメール詐欺

概要:

ビジネスメール詐欺 (BEC) は、メールで従業員を騙して偽の口座に送金させる、決済の不正利用の一種です。BEC 詐欺では、不正利用者が通常はフィッシングやソーシャルエンジニアリングの手法を用いてビジネスメールアカウントへのアクセス権を取得し、そのアカウントを使用して、電信送金などによる決済を要請するメールを従業員やベンダーに送信します。

BEC 詐欺はさまざまな形で行われます。多いのは、上級幹部やベンダーになりすました不正利用者が、緊急の決済や送金を依頼するものです。メールでは企業のブランディングや見慣れたメールアドレスが使用されており、正当なものに見えます。しかし、従業員がメールの指示に従った場合、不正利用者が管理する銀行口座に送金することになります。

BEC 詐欺では、人々が権威を信頼する気持ちを悪用したソーシャルエンジニアリングの手法が利用されることが多いため、気づくのが難しい場合があります。しかし、BEC 詐欺を示す次のような兆候があります。

• 早急な決済の依頼
  
• 通常と異なる決済指示
  
• 変わった文法やスペルミスを含むメール
  

防止策:

BEC を防止するには、すでに事業でほかの種類の不正利用対策として使用しているのと同じ手法やベストプラクティスの多くを使用できます。不審なメールを認識して報告する方法について従業員を教育し、二要素認証や暗号化などの強力なメールセキュリティプロトコルを実装します。

また、電話や対面での会話といった、別の方法を使用して決済指示について確認するなどの、明確な決済承認プロセスを設ける必要もあります。特に送金が絡む依頼には、社内での依頼に関する明確な手順書を用意することをお勧めします。

最後に、すべての不正利用の場合と同様に、疑わしいアクティビティーがないか銀行口座を定期的に監視し、法執行機関への連絡や影響を受ける可能性がある顧客やパートナーへの通知といった、BEC 詐欺への対処法を計画しておくことが重要です。

6. 非対面カード決済による不正利用

概要:

非対面カード決済 (CNP) による不正利用とは、不正利用者が、クレジットカードを提示することなく、盗まれたクレジットカード情報を使用して (通常はオンラインまたは電話で) 購入する行為であり、決済の不正利用の一種です。CNP による不正利用は、EC ストアの普及に伴ってますます一般的になりつつあり、チャージバックや不正購入の責任を負う事業者に多大な経済的損失をもたらすおそれがあります。

CNP による不正利用は、データ侵害などの方法で盗まれたクレジットカード情報を不正利用者が取得し、その情報を使用してオンラインで不正購入を行うのが一般的です。不正利用者はその他に、フィッシングなどのソーシャルエンジニアリングの手法を使用して、被害者から直接カード情報を入手することもあります。

防止策:

事業者が CNP による不正利用を防ぐには、次のようないくつかの方法があります。

• Stripe Radar などの不正利用検出ツールを使用して疑わしいアクティビティを検出し、不正取引をブロックする
  
• 二要素認証やトークン化などの強力な認証プロトコルを導入して、カード情報を保護する
  
• チャージバックの不審請求の申し立てに備えて、配送先情報や顧客とのやり取りなど、すべての取引の明確な記録をすぐに取り出せるようにしておく
  
• 返金と返品に関する詳細なポリシーを作成して明確に顧客に伝え、チャージバックと不正取引への対処手順を決める
  

不正利用対策のメリット

不正利用対策は、事業者に平穏をもたらし、財務資産と顧客データを保護し、顧客に対する評判を高め、法令遵守を強化することができます。ここでは、不正利用対策を導入することで、事業者が得られる主なメリットの概要を示します。

• 収益の保護
  決済の不正利用は、単独でもコストがかかりますが、会社が成長するにつれ、大規模な不正利用が発生して、さらに大きな脅威をもたらす可能性があります。不正利用対策を導入すれば、事業者は経済的損失のリスクを軽減し、将来に向けた堅実な計画を立てることができます。

• 顧客データの保護
  事業者は、不正利用の検出と防止のための強力な対策に投資することで、自社以上のものを保護しています。決済の不正利用には、多くの場合、クレジットカード番号などの顧客データの窃盗が含まれます。不正利用対策は、顧客データを保護し、顧客の信頼とロイヤルティを築くことができます。

• チャージバックの最小化
  チャージバックが発生すると、時間と労力の無駄に加えて、追加料金や罰則が発生する可能性があります。不正利用対策により、不正取引をブロックし、脆弱性を明らかにすることで、チャージバックを防ぐことができます。

• 信頼性の向上
  決済の不正利用が単独で発生した場合でも、事業者の評判が損なわれる可能性があり、修復できないこともあります。不正利用対策は、セキュリティへの取り組みを示すものであり、顧客からの信頼獲得に大きく貢献します。

• 法令遵守
  多くの業界は、データセキュリティとプライバシーに関する規制要件の対象となります。不正利用対策を実施することで、法令遵守と罰金回避に役立ちます。

Stripe Radar でできること

Stripe Radar は、Stripe のグローバルネットワークから得たデータを活用して訓練された AI モデルを使い、不正利用を検知、防止します。最新の不正傾向に応じてモデルを常に更新し、不正利用の進化から事業者を守ります。

Stripe はこのほか、Radar for Teams も提供しています。ユーザーは自社ビジネス特有の不正シナリオに対応するカスタムルールを追加でき、高度な不正分析情報にアクセスできます。

Radar は貴社のビジネスを次のように支援します。

• 不正利用による損失の防止: Stripe は年間 1 兆ドルを超える決済を処理しています。この規模により、Radar は不正利用を正確に検知・防止し、コスト削減に貢献します。

• 売上の向上: Radar の AI モデルは、実際の不審請求データ、顧客情報、閲覧データなどに基づいて学習されます。これにより、Radar はリスクの高い取引を特定し、誤検知を減らして、売上を増加させます。

• 業務効率化: Radar は Stripe に組み込まれており、設定のためのコーディングは一切不要です。単一のプラットフォームで不正利用のパフォーマンスを監視したり、ルールを作成したりできるため、業務効率も向上します。

Stripe Radar について詳しくはこちらをご覧ください。今すぐ始める場合はこちら。