非対面カード支払い (CNP) による不正利用とは、取引の完了に物理的なカードを必要としないクレジットカードの不正利用を指します。CNP による不正利用は、オンライン購入や電話越しの取引で特によく見られます。こうした手法は、E コマースの売上高が増加するのにつれて普及してきました。2020 年には、アメリカで小売業の E コマースの売上高が 36% 上昇しましたが、CNP による不正利用での損失は 31% 増加しました。CNP による不正利用とその他の形態でのクレジットカードの不正利用における主な違いは、取引の間に物理的なカードが提示されないことです。そのため、CNP による不正利用は E コマースとリモート販売において重大な懸念となっています。
不正行為者が物理的なカードを盗んだり、複製したりすることのある従来の不正利用とは対照的に、CNP による不正利用の実行犯たちは通常、その他の手段によってクレジットカードの詳細を取得します。これにはデータ侵害やフィッシング、その他の詐欺の手法が含まれる場合があります。その後、これらの詳細を使用して、承認されていない購入や取引を行います。
このような攻撃の変化する性質を考慮すると、CNP による不正利用への対処は複雑になることがあります。決済テクノロジーが進化するにつれて、それを突破するための不正行為者による試みも進化します。これにより、ビジネスには、強力な緩和計画を作成する一方で、継続的にアップデートしなければならないというプレッシャーがかかります。以下では、CNP による不正利用について、その概要や仕組み、ビジネスで対策に使用できるベストプラクティスを紹介します。
この記事の内容
- 非対面カード支払いによる不正利用の仕組み
- 非対面カード支払いによる不正利用と対面カード支払い (CP) による不正利用
- 非対面カード支払いによる不正利用がビジネスと利用者に及ぼす影響
- 非対面カード支払いによる不正利用攻撃の兆候
- 非対面カード支払いによる不正利用からビジネスを守る方法
- 非対面カード支払いによる不正利用攻撃への対応方法
非対面カード支払いによる不正利用の仕組み
物理的なクレジットカードを盗むか、コピーして行われる従来の不正利用とは異なり、CNP による不正利用は情報を盗むデジタルメカニズムに依存しています。CNP による不正利用は複雑で、クレジットカード情報の取得から承認されていない取引までにわたる複数のステップで構成されています。ここでは、CNP による不正利用の詳細について説明します。
クレジットカード情報の取得
データ侵害: 不正行為者はビジネスでのデータ侵害を通じて、クレジットカード情報を取得します。この際、クレジットカード番号や有効期限、セキュリティコードを盗むためにデータベースに対してハッキングを行う場合があります。
フィッシング攻撃: もう 1 つのよく見られる手法はフィッシングです。ここでは、不正行為者が個人を騙して、情報を渡すように仕向けます。これには、正当なビジネスに見せかけるように設計されたメールや偽のウェブサイトが利用される場合があります。
デバイスのスキミング: 物理的なカードの不正利用と関連付けられることの方が多いものの、デバイスのスキミングによってカード詳細がキャプチャーされた後、CNP による取引に使用される場合もあります。
盗まれたデータの購入: 不正行為者は、クレジットカードの詳細をダークウェブや、そうした情報が売られているその他の違法なプラットフォームから入手することもあります。
盗まれた詳細情報の確認
少額取引: 不正行為者は多くの場合、盗んだ情報が有効なことやアカウントがアクティブなことを確認するために、少額取引 (少額請求と呼ばれる場合もあります) を行います。これらは通常、カード保有者に気付かれずに行われるほど少ない金額になっています。
オンラインの確認サービス: 一部の不正行為者は、取引を行わずに、カード詳細の有効性を確認するオンラインサービスを使用します。
承認されていない取引を実行する
オンラインショッピング: 不正行為者は、有効なカード詳細を取得すると、オンラインで購入を行います。すぐに入手できるデジタル商品またはサービスがターゲットにされる傾向にあります。
より高額な購入または取引: 少額取引が気付かれずに行われた場合、不正行為者はより高額な購入を進めたり、資金の送金を試行したりする場合があります。
商品やサービスを受け取る
安全な住所への配送: 多くの場合、不正行為者は身元をさかのぼることができない住所にアイテムを配送し、検知されることを回避します。
商品の転売: 不正行為者は現金を得るために、CNP による不正利用を通じて購入した物理的なアイテムを転売します。
追跡を防止する
迅速な取引の終了: 多くの場合、不正行為者は承認されていない購入を行った後に、取引の経路をすばやく断ちます。この際、アカウントの詳細の変更や不正なアカウントの破棄が行われる場合があります。
仮想通貨や匿名化された支払いの使用: 詐欺師は資金を送金するために、仮想通貨や、受取人を匿名化するその他の手法を使用する場合があります。
防止と検知における課題
迅速に進化する戦術: 不正行為者は、セキュリティ対策を回避するための手法を常にアップデートしています。
グローバルなリーチ: CNP による不正利用のデジタルな性質によって、不正行為者はどこからでも攻撃を行うことができ、これが管轄区域と法の執行を複雑にしています。
セキュリティと顧客体験のバランスを取る: ビジネスは、不正利用を防止するうえで十分強力なものの、正当な利用者に不便さを感じさせない程度に気付かれにくいセキュリティ対策の導入に努めています。
対応と緩和
高度なモニタリングと分析: 取引をモニタリングして通常と異なるアクティビティーを検知するために高度なソフトウェアを導入することは、安全性を高める重要な手段です。
多要素認証: カード詳細以外に追加の認証を求めることは、攻撃に対する砦になり得ます。
利用者に情報を提供する: カード保有者にカード情報の保護の重要性を認識させることは、セキュリティを向上させる効果的な手段です。
CNP による不正利用では、ますます高度になっていく不正行為者の手法への対策は絶えず進化しています。求められるのは、細心の注意、革新的なテクノロジー、ビジネスと決済代行業者、利用者間での協力体制です。
非対面カード支払いによる不正利用と対面カード支払い (CP) による不正利用
不正利用に関連した課題に対処するには、非対面カード支払いによる不正利用と対面カード支払いによる不正利用を区別することが重要です。これらの不正利用の形態は、実行方法や提示される問題が異なります。
実行における主な違い
非対面カード支払いによる不正利用
発生: CNP による不正利用は、オンライン購入、電話越しの取引、通信販売など、物理的なカードが不要な取引で発生します。
手法: 不正行為者は、データ侵害、フィッシングやその他の手法で取得した盗んだカード詳細を使用します。不正取引を行うのに物理的なカードは不要です。必要になるのは、カード番号、有効期限と場合によっては Card Verification Value (CVV) 番号のみです。
検知: 不正行為者は購入を行うために物理的なカードを提示する必要がないため、CNP による不正利用の検知は困難になる場合があります。確認には、より容易に侵害できるデータポイントを活用します。
対面カード支払いによる不正利用
発生: CP による不正利用は、支払いに物理的なカードが使用される対面取引で発生します。
手法: これには、盗まれた物理的なカードの使用や、盗まれたカードデータを使用した偽造カードの作成が含まれます。
検知: CP による不正利用は、CNP による不正利用と比べてより容易に検知することができます。損傷したカード、署名の不一致、取引を行う人物の疑わしい行動などの物理的な兆候により、危険信号を発して、ビジネスに対して潜在的な不正利用を警告することができます。
CNP による不正利用に特有の課題とソリューション
課題
物理的な確認の欠如: CNP による不正利用での最大の課題は、物理的なカードが提示されないことです。これにより、ユーザーが正当なカード保有者かどうかを確認するのが困難になっています。
短期間で変化する戦術: オンラインでの不正利用のテクニックは短期間で進化しており、ビジネスで新しい不正利用の手法に遅れずに対応することをさらに困難にしています。
グローバルなリーチ: 不正行為者は CNP による不正利用をどこからでも行うことができ、これが管轄区域と執行を複雑にしています。
ソリューション
高度なデジタル確認ツール: 住所確認サービス (AVS) (別名: 住所確認システム) や CVV チェック、2 段階認証などのツールは、取引を実行する人物の本人確認を行うのに役立ちます。
行動分析と AI: 機械学習アルゴリズムを導入して購入パターンを分析し、異常を検出することは、潜在的な CNP による不正利用を特定するうえで効果的な場合があります。
利用者への情報提供: 安全なオンラインショッピングの慣行や、カード情報を保護する方法についての情報を利用者に提供することは、不正利用対策において重要です。
CNP および CP による不正利用では承認されていないクレジットカードが使用されますが、その実行方法と提示されている課題に大きな違いがあります。物理的なカードの確認が不要な CNP による不正利用では、不正利用を検知および防止するために、デジタルの確認方法とデータ分析をより頻繁に活用する必要があります。こうした違いが意味するのは、よりテクノロジーを重視した適応型の戦略が求められる CNP による不正利用では、ビジネスで各種の不正利用に効果的に対処できるように戦略を調整する必要があったということです。
非対面カード支払いによる不正利用がビジネスと利用者に及ぼす影響
CNP による不正利用はビジネスとその利用者に対して連鎖的な影響を及ぼすことがあり、これらの影響の範囲を把握することは、こうした問題に対処するうえで効果的な戦略を策定するために重要です。以下でいくつかの影響を紹介します。
利用者への影響
経済的損失と負債: 多くのクレジットカード会社は、不正利用のケースにおける利用者の負債を制限するポリシーを用意していますが、承認されていない取引の即座の影響によって不安が生じることがあります。利用者は一時的な資金の損失に直面する場合があり、特に不正利用された金額が大きい場合には、その影響が破壊的になる可能性があります。
プライバシーに関する懸念: CNP による不正利用はデータ侵害がきっかけで生じることが多く、自身の個人情報や財務情報に不正にアクセスされた利用者が侵害を受けた感覚を抱くことにつながります。
信頼や安心感の喪失: 利用者が CNP による不正利用の被害に遭うと、オンライン取引のセキュリティに対する利用者からの信頼が損なわれる場合があります。こうした不信は、オンライン小売業セクターの全体にまで及ぶことがあり、利用者の行動に影響を与えます。
解決における時間と労力: CNP による不正利用の被害者は、不正利用による支払いに対処して、アカウントを保護し、場合によっては法的手続きに対応することに時間と労力を投じる必要があります。こうした取り組みでは、多くの時間とリソースを消費する場合があります。
ビジネスへの影響
経済的損失: ビジネスでは、販売からの収入と提供した商品やサービスを失うチャージバックを通じて、CNP による不正利用の矢面に立つことになります。Insider Intelligence のレポートによると、アメリカでの CNP による不正利用から生じる損失は、2024 年に 100 億ドルに到達すると想定されています。ビジネスに対して罰金が科されたり、決済処理手数料の引き上げが行われたりする場合もあります。
運用コストの増加: CNP による不正利用への対処に努めているビジネスでは、高度なセキュリティ対策、不正利用検知システム、利用者の確認プロセスへの投資が必要になり、そのすべてが運用コストの増加につながります。
評判への悪影響: CNP による不正利用の犠牲となったビジネスでは、特に不正利用が頻発する場合や広く報道された場合に、評判への悪影響が生じることがあります。これは、利用者からの信頼の喪失につながる恐れがあり、経済的損失よりも修復が困難な場合があります。
顧客体験への影響: CNP による不正利用に対処するために厳格なセキュリティ対策を導入すると、場合によっては、取引プロセスが利用者にとってより煩雑になり、売上に影響が及ぶ可能性があります。
規制上の影響と法的影響: ビジネスで利用者のデータを守れなかった場合や、セキュリティ対策が不適切なことがわかった場合は、法的問題に直面したり、規制当局の監視対象になったりすることがあります。
長期的な課題: CNP による不正利用の脅威に対応するには、テクノロジーとスタッフのトレーニングに継続して投資を行う必要があります。これは、不断の注意とリソースを必要とする長期的な課題です。
非対面カード支払いによる不正利用攻撃の兆候
非対面カード支払いによる不正利用の兆候を認識することは、ビジネスと利用者がこうした攻撃を効果的に防止して対処するうえで重要です。ここでは、CNP による不正利用の試行の潜在的な兆候を紹介します。
ビジネスの場合
通常と異なる注文パターン: 危険信号の 1 つは、(特に高額なアイテムや大量の商品の) 突発的な注文の急増です。不正行為者は多くの場合、盗んだクレジットカード詳細から得られる価値を最大化しようとします。
1 枚のカードで多数の取引がある: 短期間に多数の取引がある場合、特に、取引に失敗して再試行している場合は、不正行為者がカードの有効性をテストしていることを示唆している可能性があります。
配送先住所と請求先住所が異なる: 配送先住所が請求先住所と異なる注文は、より厳格な監視の対象となります。というのも、これは不正行為者が使用する戦術である可能性があるからです。
リスクが高い場所からの注文: 不正行為の頻度が高いことで知られる地域から生じた取引や、そうした地域が配送先になっている取引は、入念にモニタリングする必要があります。
急送便や翌日配送のリクエスト: 不正利用が検知される前に商品を受け取れるように、不正行為者は最速の配送手段を選択することが多くなっています。
注文の詳細の不一致: 注文間で名前や連絡先の詳細が異なるなど、一致していない情報は不正行為の兆候である可能性があります。
利用者の場合
想定外の取引: クレジットカード明細書での不明な請求は、潜在的な不正利用の兆候となります。
金融機関からのアラート: 多くの銀行とカード発行会社は、通常と異なるアクティビティー用のアラートを用意しています。そうしたアラートを受信した場合、それは不正利用の早期警告である可能性があります。
フィッシング詐欺: 個人情報や財務情報を求めるメールやメッセージを受信した場合、それは CNP による不正利用の前兆である可能性があります。
通常と異なるアカウントのアクティビティーの通知: ユーザーが行っていないパスワードの変更、住所の更新、アカウントでのその他の変更に関する通知は、不正利用の警告サインとなります。
一般的な兆候
失敗した取引: 多数の失敗した取引の試行の後に、試行に成功した場合、それは盗まれたカード番号を何者かが使用していることを示している可能性があります。
少額のテスト購入: 高額の不正利用による購入の前に、少額取引が行われることが多くなっています。不正行為者はこうした支払いの「テスト」を行うことで、カードが現在でも有効かどうかを確認します。
常に警戒を怠らず、兆候を認識することで、ビジネスと利用者は、CNP による不正利用の影響を防止して緩和するための措置をタイムリーに講じられるようになります。ビジネスの場合、これには適切な確認プロセスの導入とシステムのモニタリングが含まれます。利用者は、定期的に明細書を確認し、疑わしいアクティビティーをカード発行会社に報告する必要があります。
非対面カード支払いによる不正利用からビジネスを守る方法
CNP による不正利用からビジネスを守るには、ベストプラクティスとセキュリティ対策を組み合わせた包括的な戦略が必要になります。最新の決済システムを利用している大部分のビジネスにおいて、これには決済ソフトウェアと CNP による不正利用への耐性があるハードウェアの選択が含まれます。
戦術とポリシーにはビジネスに固有の性質とニーズを反映させる必要がありますが、ここでは、大半のビジネスに当てはまる CNP による不正利用のリスクを最小化するための方法をいくつか紹介します。
高度な確認ツールを使用する
AVS: このツールでは、利用者が提供した請求先住所とクレジットカード発行会社に登録された請求先住所を比較します。一致しない場合は、不正取引の兆候である可能性があります。
CVV: オンライン取引に対して CVV を要求することで、セキュリティが強化されます。というのも、CVV は磁気ストライプに保存されておらず、不正行為者が取得するのは困難だからです。
2 段階認証 (2FA): 取引に対して 2FA を導入すると、確認の手順が追加されます。この際には一般的に、利用者の電話やメールにコードが送信されます。
取引をモニタリングする
リアルタイムの取引分析: 取引を発生時に分析するシステムを導入し、通常と異なるパターンや標準から逸脱したアクティビティーを探します。
取引限度額を設定する: 取引の金額や頻度に制限を設けることは、不正行為を早い段階で捉えるために役立てられます。
安全なペイメントゲートウェイ
評判の良い決済代行業者を選択する: 安全な処理と不正防止の確固たる実績がある決済代行業者と提携します。
暗号化とトークン化: ご利用のペイメントゲートウェイで、データ送信用の強力な暗号化と機密性の高いカード詳細を固有の識別子に置換するトークン化が使用されていることを確認します。
チームと利用者に情報を提供する
スタッフのトレーニング: スタッフメンバー向けの定期的なトレーニングセッションを実施し、不正防止における最新のテクニックや傾向について情報を提供します。
利用者への周知: 自身のカード情報を保護することの重要性とフィッシングの試行の兆候について、利用者に情報を提供します。
システムを最新の状態に保つ
定期的なソフトウェアアップデート: 最新のセキュリティパッチによって、すべてのソフトウェア (特に決済処理とセキュリティに関連したソフトウェア) を最新の状態に保ちましましょう。
PCI データセキュリティ基準 (PCI DSS) への準拠: こうした標準への準拠は必須であり、カード保有者のデータを保護する際のベストプラクティスとなります。
ポリシーを定期的にレビューして調整する
- 適応型の戦略: 不正利用のテクニックは進化しているため、防止戦略も進化させる必要があります。ポリシーや手法を定期的にレビューして調整しましょう。
利用者の確認方法を導入する
疑わしい注文に対する配送の延期: 注文が疑わしく思える場合は、確認が取れるまで配送を遅らせると、損失を防ぐことができます。
人の手によるリスクが高い取引のレビュー: 一部の取引では、セキュリティを強化するために、人の手によるレビューが必要になることがあります。
これらのベストプラクティスに従うことで、効果的な不正行為の検知、防止、対応のために連携するセキュリティレイヤーをビジネスで作ることができます。ここでの目標は、本物の利用者のスムーズな体験を維持しつつ、ビジネスを不正行為者のターゲットになりにくくすることです。
非対面カード支払いによる不正利用攻撃への対応方法
CNP による不正利用攻撃に対応するには、機敏かつ体系的な戦略が必要になります。ここでは、そうしたインシデントに効果的に対処する方法を簡単に紹介します。
即座の措置
インシデントを確認する: 不正行為を確認します。場合によっては、不正利用のように思えても、利用者が購入について忘れていたり、別のカードを使っていたりする可能性があります。
決済代行業者に連絡する: ご利用の決済代行業者にインシデントを報告します。このようなサービスは、そうした状況に対応するためのプロトコルを用意しており、ガイダンスを提供することができます。
取引をキャンセルする: 注文の履行がまだ完了していない場合は、商品やサービスの損失を防ぐために注文をキャンセルします。
アカウントにフラグを立てる: 不正取引に使用されたアカウントをマークします。これは、同一の詳細情報を使用する反復的な試行を追跡および防止するうえで役立ちます。
フォローアップアクション
セキュリティ対策をレビューする: 不正利用が発生した過程を評価します。セキュリティプロトコルに不備があったかどうか、それらを改善するために何ができたかについて分析しましょう。
システムを更新する: 不正利用によって特定の脆弱性が悪用された場合は、すぐにそれに対処しましょう。こうした場合には、ソフトウェアのアップデートや運用手順の変更などを行うとよいでしょう。
すべてを文書に記録する: 不正取引、自社の対応、関与した当事者とのコミュニケーションの詳細な記録を保持します。これは、今後発生し得る調査や保険金請求のために重要です。
利用者とのコミュニケーション
透明性の高いコミュニケーション: 利用者のデータが侵害された場合は、影響を受ける利用者にすぐに知らせましょう。
今後の手順についてのガイダンス: 利用者に対し、アカウントを保護して、カード発行会社にインシデントを報告する方法について助言します。
サポートチャネル: 不正利用に関連した問い合わせや懸念に対応するために、アクセスしやすいカスタマーサポートを提供します。
予防措置
従業員のトレーニング: CNP による不正利用とセキュリティプロトコルの遵守の重要性についてスタッフに伝えます。
定期的にセキュリティ対策をアップデートする: 最新の不正利用の傾向に関する情報を常に把握し、それに応じてセキュリティ対策をアップデートします。
利用者への周知プログラム: カード情報の保護、フィッシングの試行やその他の不正利用の戦術の識別について利用者に伝えます。
確認プロセスを強化する: 取引 (特に、リスクが高いと思われる取引) 向けのより厳格な確認プロセスを導入します。
法的側面と法令遵守の側面
当局に報告する: 場合によっては、法執行機関やその他の規制機関へのインシデントの報告が必要になる可能性があります。
データ侵害に関するプロトコルの遵守: 影響を受ける当事者と規制当局に通知するなど、データ侵害に関連した法的要件や規制要件に従います。
これらの措置を講じると、ビジネスで CNP による不正利用攻撃に効果的に対応し、損害を軽減して、今後のインシデントへの対策を強化することができます。迅速にアクションを取り、インシデントから学びを得て、プロセスを改善することで、ビジネスを保護して利用者からの信頼を維持できます。Stripe を活用して、CNP による不正利用からビジネスを守る方法の詳細については、こちらをご覧ください。