カードテスティングによる不正利用は、よく見られるクレジットカードの不正利用の一形態であり、不正行為者が盗まれたクレジットカード番号の使用可否を検証する際に行われます。こうした不正利用では通常、さまざまなウェブサイトで複数の少額取引が実行されます。これらの少額取引は、カード保有者や、より高額かつ異常な支出パターンを重要視する傾向にある不正利用検知システムによって認識されないことが多くなっています。不正利用の実行犯たちは、これらのテスト取引を利用して、カードが現在でも有効であり、盗難が理由でフラグを立てられたり、解約されたりしていないことを確認し、購入に十分なクレジット限度額がカードにあることを確かめます。

この種の不正利用では、検知されることを防ぐために正当な取引プロセスが使用されます。アラートがトリガーされる確率が低いことから、不正行為者は多くの場合、少額取引を大量に処理していることで知られるウェブサイトをターゲットにします。カードが最初の「テスティング」フェーズを通過し、有効でブロックされていないと判断されると、不正行為者にとってのそのカードの価値は大幅に高くなります。その後、不正行為者は当該のカードそのものを使用してより高額な購入を行ったり、闇市場でカード詳細を販売したりする場合があります。

Juniper Research のレポートによると、ビジネスにおいて E コマースでの不正利用によって生じるコストは、2023 年に全世界で 480 億ドルを超えると推定されていました。カードテスティングによる不正利用は、盗まれたカード番号のリストとインターネットへのアクセス以外に必要なものがほとんどないため、そのシンプルさからサイバー犯罪者たちの間で好まれる手法となっています。また、このような取引はデジタルな性質を備えており、どこからでも実行できるため、法の執行活動が複雑化し、利用者の財務情報の保護に務めているビジネスと金融機関にとっての課題が増加します。以下のガイドでは、この種の不正利用とビジネスをそうした不正利用から守る方法について、ビジネスで知っておくべきことを紹介します。

この記事の内容

• カードテスティングによる不正利用の仕組み
  
• カードテスティングによる不正利用がビジネスと利用者に及ぼす影響
  
• カードテスティングによる不正利用攻撃の兆候
  
• カードテスティングによる不正利用からビジネスを守る方法
  
• カードテスティングによる不正利用攻撃への対応方法
  

カードテスティングによる不正利用の仕組み

カードテスティングによる不正利用は、比較的シンプルなプロセスを通じて実行されます。不正行為者は盗まれたカード番号を取得すると、それらをテストして機能することを確認してから、使用します。ここでは、このプロセスがどのように展開されるのかについて詳しく説明します。

• 不正行為者が盗まれたクレジットカード番号を入手する: このプロセスは、不正行為者が盗まれたクレジットカード番号を入手するところから始まります。これらはデータ侵害やフィッシング詐欺、ダークウェブのマーケットプレイスからの購入など、さまざまな手段で調達される場合があります。こうした番号を入手すると、加害者はテスティングのフェーズを開始します。

• カードをテストする: テスティングのフェーズでは、少額取引をウェブサイトで実行します。通常、これらの取引は、より高額または異常な購入の発見に適合化された一般的な不正利用検知メカニズムで認識されずに行われます。不正行為者は多くの場合、デジタルサービスを販売しているサイトや少額の慈善寄付など、少額取引で知られるサイトをターゲットにします。というのも、こうしたプラットフォームは厳格な不正利用の検知手段を導入している確率が低いからです。

• どのカードが有効かを確認する: 不正行為者にとって鍵となるのは、クレジットカードが有効で、まだ盗難の報告が行われていないことを確認することです。不正行為者は、これらの少額取引が正常に行われるかどうか、取引が承認されるかどうかを観察し、それによってカードが現在でも利用可能なことを把握します。請求先住所などの追加情報の厳格な確認が行われないウェブサイトでは、このプロセスはさらに容易になります。

• 利用可能なカードを使って不正利用による購入を行う: カードは確認が済むと、さらに価値が高くなります。不正行為者はそのカードを使って、より高額な承認されていない購入を行ったり、カード詳細を他者に販売したりすることができるようになります。闇市場では、有効で使用可能なことが確認されたクレジットカード番号に対する需要が高くなっています。

この不正利用の手法の容易さは、そのシンプルさと取引のデジタルな性質によるものであり、加害者はどこからでも実行することができます。この広く普及した問題によって、ビジネスと金融機関に課題が生じます。それは、高度なモニタリングとこうした不正行為を検知して防ぐための戦略を活用して、攻撃に先回りして対処し、そうすることで利用者を保護して、信頼を維持する必要があるということです。

カードテスティングによる不正利用がビジネスと利用者に及ぼす影響

カードテスティングによる不正利用は利用者に影響を及ぼし、ビジネスにさまざまな課題を提示します。おそらく、こうした攻撃が被害者にどのような影響を及ぼす可能性があるのかはきわめて明白でしょうが、ここでは、特に頻繁に損害を被る領域について詳しく紹介します。

ビジネスへの影響

• 経済的損失: 承認されていない取引は、直接的な経済的損失につながることがあります。利用者が不正利用による支払いに対して不審請求の申請を行った場合、ビジネスでチャージバックのコストを負担することになります。

• 運用コストの増加: 不正利用に対応するにはリソースが必要なため、運用コストが増加します。また、高度な不正利用検知システムの導入と維持も支出の増加につながります。

• 評判への悪影響: 頻繁に不正利用のインシデントが発生すると、ビジネスの評判が損なわれる恐れがあります。利用者からの信頼の喪失は、売上の減少と利用者の定着に関する問題につながる可能性があります。

• カード発行会社と代行業者からの監視の強化: 不正利用の頻度が高いと、クレジットカード発行会社と代行業者からの監視の強化と制裁につながることがあります。この場合、結果的に処理手数料の引き上げが行われたり、極端なケースでは、クレジットカード決済を処理することができなくなったりする可能性があります。

利用者への影響

• 経済面での不便さ: カードテスティングによる不正利用の被害者は、支払いに対する不審請求の申請や新しいカードの発行といった煩わしい作業に直面します。一般的に利用者が不正利用による支払いに対して負債を負うことはないものの、こうした問題の解決には時間がかかる場合があります。

• プライバシーに関する懸念: カード詳細が盗まれて悪用されたことに気付くことで、プライバシーやセキュリティに関する不安が生じる場合があります。

• より大きな経済的損害の可能性: カードテスティングでの損害は少額ですが、それは、より高額な承認されていない取引の前兆である可能性があります。カード詳細が有効なことの確認が済むと、より高額な不正利用に使用されたり、闇市場で販売されたりする恐れがあります。

• クレジットスコアへの影響: 場合によっては、長い間不正行為に気付かなかったことで、利用者のクレジットスコアに影響が及ぶ可能性があります。信用調査機関でこのような問題を解決するのは、長い時間を要するプロセスになることがあります。

カードテスティングによる不正利用攻撃の兆候

カードテスティング攻撃に気付いて対応することは、ビジネスで自社と利用者を保護するうえで重要です。兆候を認識して、効果的なモニタリングシステムを導入することは、このプロセスにおける重要なステップです。ここでは、ビジネスでこの種の攻撃による影響を受けた可能性があることを示す兆候をいくつか紹介します。

• 多数の少額取引: (多くの場合、短期間で立て続けに発生する) 一連の少額取引は、カードテスティングの有力な兆候である場合があります。これらは一般的に、検知されることを回避できる程度に小さい金額になっています。

• 多数のカードの使用: 同一の IP アドレスやデバイスからさまざまなカード番号の使用が多数試行されている場合、これは危険信号になります。これが示唆するのは、何者かが大量のカード番号をテストしていることです。

• 失敗した取引: 不正行為者は無効または有効期限切れのカード番号を使用することが多いため、多数の拒否された取引もまた、カードテスティングを示唆している場合があります。

• 請求先情報の不一致: 提供された請求先情報がカード詳細と一致していない取引は、不正行為を示唆している可能性があります。

カードテスティングの兆候を認識し、効果的なモニタリングシステムを導入することは、こうした攻撃からビジネスを守るのに役立てられます。これらのステップによって、ビジネスの経済的利益が保護され、利用者からの信頼と個人情報が守られます。重要なのは、安全な取引環境を作り、常に警戒を怠らず、継続的に新しい不正利用の戦術に適応することです。

カードテスティングによる不正利用からビジネスを守る方法

カードテスティング攻撃からビジネスを守るには、効果的なセキュリティ対策、高度なツール、決済処理のベストプラクティスを組み合わせる必要があります。これらの戦略は、正当な利用者のスムーズな体験を実現しつつ、不正行為のリスクを特定して軽減できるように設計されています。

効果的なセキュリティ対策とツール

• 住所確認サービス (AVS) を使用する: AVS (別名: 住所確認システム) では、ユーザーが提供した請求先住所をクレジットカード会社に登録された住所と比較します。一致しない場合は、潜在的な不正利用のフラグである可能性があります。

• Card Verification Value (CVV) チェックを導入する: 取引に対して CVV を要求すると、購入を行う人物がカードを物理的に所持していることを確認するうえで役立ちます。これにより、オンラインで取得されたカード番号の不正利用のリスクが低減されます。

• 取引限度額を設定する: 一定期間内にカードごとに許容される取引の件数または合計利用金額に制限を設けます。これにより、多数の不正利用の試行を防ぐことができます。

• 高度な不正利用検知ツールをインストールする: 取引パターンを分析し、カードテスティングの兆候となる異常にフラグを立てるために、機械学習と AI を使用したツールに投資します。

• 多要素認証を導入する: 疑わしいと思われる取引に対して、追加の認証レイヤーを導入すると、不正行為者を阻止することができます。

決済処理のベストプラクティス

• 取引パターンをモニタリングして分析する: 定期的に取引データをレビューして、カードテスティングに特有のパターン (短期間に複数の少額取引があるなど) を特定します。

• セキュリティシステムを定期的に更新およびアップグレードする: セキュリティプロトコルならびにソフトウェアを継続的に更新およびアップグレードすることで、不正行為者に対して先手を打ちます。

• チームに情報を提供する: スタッフがカードテスティングの兆候を認識し、適切に対応する方法を把握できるようにします。

• PCI データセキュリティ基準 (PCI DSS) を維持する:
  PCI DSS への準拠は、決済処理システムを保護するための鍵になります。

• 利用者との透明性の高いコミュニケーション: セキュリティ対策について常に利用者に周知させて、取引に関連したあらゆる疑わしいアクティビティーを報告するように促します。

早期の検知のためにモニタリングシステムを導入する

徹底したモニタリングシステムを導入することは、カードテスティングを早い段階で検知するうえで重要です。こうしたシステムには、次の機能を備えていることが求められます。

• 取引パターンを分析する: ソフトウェアのモニタリングには、カードテスティングに特有のパターン (短期間に立て続けに発生する少額取引など) を特定できることが求められます。

• 疑わしいアクティビティーにフラグを立てる: システムには、一定の基準 (多数の失敗した試行や請求先情報の不一致など) を満たした取引に自動でフラグを立てることが求められます。

• リアルタイムのアラート: リアルタイムのアラートを設定すると、潜在的なカードテスティングが検知された際に即座に措置を講じることができます。こうした迅速な対応により、さらなる承認されていない取引を防ぐことができます。

• カスタマイズ可能なパラメーター: ビジネスが異なれば、処理する取引の種類もそれぞれ異なります。モニタリングシステムには、特定のビジネスニーズと取引プロファイルに合わせたカスタマイズが可能なことが求められます。

• 不正防止ツールとの連携: モニタリングシステムを CVV および AVS チェックなどの幅広い不正防止ツールと連携させると、カードテスティングやその他の形式の不正利用からのより包括的な保護が実現します。

これらのセキュリティ対策とベストプラクティスを組み合わせると、ビジネスでカードテスティングによる不正利用を阻止するより安全な環境を作ることができます。常に警戒を怠らず、新しい脅威が発生した際にそれらに適応することは、ビジネスの保護や、利用者からの信頼の維持に役立てられます。

カードテスティングによる不正利用攻撃への対応方法

疑わしいカードテスティングのインシデントに効果的に対応することは、ビジネスで損害を最小限に留めて、すばやく復旧するために重要です。カードテスティングによる不正利用が検知された際には、ビジネスで特定の手順と手続きに従う必要があります。

カードテスティングによる不正利用が検知された際に踏むべき手順

• 即座の取引のレビューと凍結: カードテスティングが疑われたら、すぐに問題の取引をレビューします。疑わしい取引に関連したあらゆる進行中の取引を凍結し、さらなる承認されていないアクティビティーを防止します。

• 疑わしい取引の確認の強化: 一部の取引で疑いが生じたものの、結果的に不正利用ではなかった場合は、強化された確認プロセスを導入します。これには、利用者に連絡して確認を求めたり、追加の認証を要求したりすることが含まれる場合があります。

• 取引パターンの分析: 取引パターンの徹底的な分析を行って、攻撃の範囲と手法を把握します。これは、攻撃元とシステムの潜在的な弱点を特定するのに役立ちます。

• 不正利用検知パラメーターの調整: 分析に基づいて、不正利用検知パラメーターを調整し、インシデント時に観測されるその種のアクティビティーに対しての感度を高めます。この際に、取引限度額の引き下げやアラートのトリガーの変更などを行うとよいでしょう。

影響を受けたビジネスに対する手続きや復旧の措置の報告

• 金融機関とカード処理業者に通知する: インシデントについて、銀行、カード処理業者などの金融パートナーに即座に伝えます。金融パートナーは、さらなる疑わしいアクティビティーをモニタリングして、必要な措置を講じるのを支援します。

• 法執行機関への報告: 大規模な不正利用の場合には、法執行機関に報告することが望ましいです。当局で調査を開始し、加害者の逮捕に向けて活動することが可能になります。

• サイバーセキュリティの専門家との連携: 攻撃が高度な場合や、システムの脆弱性に関する懸念がある場合は、サイバーセキュリティのエキスパートと連携すると、攻撃が発生した経緯やインシデントを防ぐ方法の特定に役立てられます。

• 利用者とのコミュニケーションや利用者のサポート: 影響を受けた利用者と明確にコミュニケーションをとります。インシデントに関する情報を提供し、クレジットレポートのモニタリングやカードの交換など、踏むべき手順について助言します。

• セキュリティ対策をレビューして強化する: インシデントの後に、セキュリティ対策の包括的なレビューを実施します。対策を強化する際には、ソフトウェアの更新、プロトコルの修正、新しいセキュリティ慣行に関するスタッフのトレーニングなどを行うとよいでしょう。

• インシデントから学びを得て適応する: インシデントを学びの機会として活用しましょう。発生したことや、対応において効果的だったこと、改善が必要な領域について分析します。分析結果に応じて、より適切に脅威に備えられるように戦略を適応させます。

カードテスティングによる不正利用からビジネスを保護するうえでの Stripe の活用方法の詳細については、こちらをご覧ください。