支払い詐欺の防止
決済詐欺はますます一般的になっており、企業や顧客の双方に大きな影響を及ぼしています。
その実態は、世界中の企業が毎年400億ドル以上の損失を被っていることや、米国在住の場合、年間14件の決済詐欺メールを受け取る可能性があることからも明らかです。
企業は、詐欺の脅威から自社の事業を守る必要があります。サブスクリプション型ビジネスモデルも、決済詐欺のリスクにさらされており、むしろそのリスクは高いと言えます。
本ガイドでは、決済詐欺の基礎知識、その仕組み、主な種類、そして不正な決済行為から身を守るためのベストプラクティスについて解説します。
決済詐欺とは？
決済詐欺とは、虚偽または盗難された決済情報を用いて商品やサービスを不正に取得する金融詐欺の一種です。
サブスクリプション型ビジネスにおいては、決済詐欺のリスクはさらに高く、被害も深刻化します。堅牢なセキュリティや受注管理システムがなければ、被害からの回復には多大な時間とコストがかかります。重要な要素を理解し、企業がどのように備えるべきかを把握することが不可欠です。
関連情報：電子決済と収益漏えいのコントロールによるサブスク顧客維持方法
決済の種類
決済には、主に以下の2種類があります。
対面決済（CP：Card Present）
この決済方法は、クレジットカードやデビットカードなどの物理的な決済カードが必要です。通常、購入時にカード所有者が店舗や決済端末でカードを提示します。
従来型の小売店、飲食店、その他の実店舗で一般的な決済方法です。
非対面決済（CNP：Card Not Present）
もう一つの決済方法が非対面決済（CNP）です。これは、購入時に顧客がクレジットカードやデビットカードを物理的に提示する必要がない取引を指します。スワイプやタップは不要で、バーチャル決済端末で取引が行われます。
CNPは、オンライン取引に最適な決済方法であり、サブスクリプション型ビジネスモデルにも該当します。
決済詐欺の種類
クレジットカード詐欺
クレジットカード詐欺は、不正な手段（例：ATMスキミング）でユーザーのクレジットカード情報に不正アクセスし、同意なく商品購入や資金取得、その他の金融取引を行う詐欺です。
デビットカード詐欺
デビットカード詐欺もクレジットカード詐欺と同様に、カード所有者の個人情報が盗まれます。こちらは口座から即時に資金が引き出され、未処理の小切手は不渡りとなります。
モバイル決済詐欺
モバイル決済詐欺は、モバイル決済プラットフォームの脆弱性を突いて決済取引を傍受し、決済情報を盗み取る手口です。
個人情報盗難（アイデンティティ・セフト）
すべての決済詐欺が金融情報を伴うわけではありません。個人情報盗難は、個人の機密情報が盗まれ、不正利用されるケースです。多くの場合、金銭的利益を目的としています。
返金詐欺
返金詐欺は、決済詐欺の中でも一歩進んだ手口です。詐欺師は、正規に購入していない商品や返金資格のない商品について返金手続きを開始します。オンライン小売店やサブスクリプション型ビジネスが主な標的で、内部関係者の協力がある場合もあります。
ギフトカード詐欺
ギフトカード詐欺は、一定額がチャージされたプリペイドカードを悪用するものです。顧客は商品やサービスの購入、または家族・友人へのプレゼントに利用できます。カードのクローン作成や番号の推測・転売など、さまざまな手口があります。
カードテスト詐欺
カードクラッキングや「カーディング」とも呼ばれるカードテスト詐欺は、サイバー犯罪者が物理的なクレジットカードやデビットカード情報を盗み、その有効性をテストして不正に資金を引き出したり、商品を購入したりするものです。
このタイプの決済詐欺は、各決済システムやセキュリティプロトコルの弱点を段階的に突く、組織的かつ計画的な手法です。
フィッシングおよびスプーフィング
フィッシングやスプーフィングは、個人やシステムを操作するデジタル決済詐欺の一種です。ソーシャルエンジニアリングを駆使して目的を達成します。
FBIの調査によると、2020年に最も多かったサイバー犯罪はフィッシングであり、2019年の114,702件から2020年には241,324件に急増しています。
以下は、フィッシングやスプーフィングの主な手口です。
メールフィッシング
偽装メールを送り、ログイン情報や金融データ、個人情報などの機密情報を騙し取る手口です。これらのメールは本物そっくりに作られ、銀行やSNS、オンラインサービス、官公庁など信頼される組織からの連絡を装います。
ビッシング
ビッシングは「ボイス・フィッシング」の略で、電話や音声通信を使って個人から機密情報を聞き出し、攻撃者の金銭的利益を狙います。
ビッシング攻撃は、ソーシャルエンジニアリング技術を駆使し、クレジットカード番号やパスワード、マイナンバー、その他の個人情報を引き出します。
スミッシング
スミッシングはSMS（ショートメッセージ）を使ったフィッシングで、ビッシングやメールフィッシングと同様、ソーシャルエンジニアリングを利用します。
ファーミング
ファーミングは、ユーザーを正規のウェブサイトから不正なサイトへ、本人の知らぬ間にリダイレクトさせる手口です。フィッシングと異なり、インターネットの基盤となるDNS（ドメインネームシステム）サーバーの脆弱性を突くことで、偽サイトへ誘導します。
決済詐欺が深刻化する理由
決済詐欺の脅威は年々増加しており、
デジタル取引の増加
決済詐欺の増加は、デジタル取引の拡大が一因となっています。より多くの人々がオンラインで商品を購入し、サービスに支払いを行うようになるにつれ、決済の乗っ取りが発生しやすくなっています。
EC（電子商取引）の拡大
1990年代にEC（電子商取引）が登場して以来、この分野は着実な成長を遂げてきました。現在、世界全体の市場規模は6.3兆ドルと推定されており、2026年には8.1兆ドルに達すると予測されています。莫大な収益性を誇る一方で、EC関連の詐欺の増加という残念な結果も招いています。
詐欺手法の高度化
残念ながら、オンラインおよび従来型決済を容易にするテクノロジーは、同時に決済詐欺の発見を困難にしています。詐欺師は脆弱性をより早く見抜き、偽の決済をこれまで以上に容易に行えるようになっています。
決済詐欺が企業に与える影響
財務的損失
企業は、決済詐欺の被害を受けると多額の財務的損失を被るリスクがあります。大手ブランドでは被害額が数億円規模に膨らみ、最悪の場合は倒産に至ることもあります。サブスクリプション型ビジネスでは、決済乗っ取りによる損失が継続的かつ長期化し、発見が困難な場合もあります。
ブランドイメージと顧客信頼の毀損
顧客が愛用するブランドが決済詐欺に巻き込まれたことを知れば、その企業への信頼は失われ、ブランドイメージも損なわれます。被害の規模や影響によっては、企業の回復までに長い時間を要することもあります。
決済詐欺が顧客に与える影響
1度の決済詐欺でも、企業にとっては甚大な影響を及ぼす可能性があります。その影響は長期にわたり続くこともあります。以下は、顧客に対する主な影響です。
個人情報の盗難
一般消費者が決済詐欺の被害に遭う代表的なケースが、個人情報の盗難です。サイバー犯罪者は、消費者の機密情報を盗み出し、金銭的利益やその他の不正目的で利用します。
金銭的損失
決済詐欺により、消費者は口座から金銭を失うことがほとんどです。詐欺師は、盗んだパスワードやクレジットカード情報を使って、即座に資金へアクセスします。
精神的ストレスや不安
金銭や個人情報の損失だけでなく、決済詐欺の被害後は心の平穏も失われます。被害者はしばしばストレスや不安、落ち込みを経験します。
決済詐欺の検知方法
決済詐欺は深刻な被害をもたらしますが、必ず痕跡が残ります。いくつかのシステムを活用することで、不正行為の発生を検知できます。
詐欺検知システム
決済詐欺を検知する方法の一つが、決済詐欺検知システムです。これらは決済ゲートウェイやチャネルを監視し、不正が発生した際に関係者へ通知します。
機械学習やAIによる詐欺検知
機械学習やAIの登場により、詐欺検知能力は大幅に向上しました。AIシステムは膨大なデータを処理し、不正な決済確認の発生を予測できます。これらのモデルは、従来よりもはるかに短時間で攻撃を特定・阻止することが可能です。
オンデマンドで視聴： 生成AI時代の決済詐欺とサブスクリプション企業へのリスク
銀行や金融機関の役割
銀行や金融機関は、取引決済詐欺を防ぐ最後の砦です。取引前に適切な認証を徹底し、2要素認証（2FA）や本人確認（KYC）などのセキュリティ機能を活用することで、決済詐欺の成功確率を大きく下げています。
決済詐欺を防ぐためのベストプラクティス
決済詐欺を防ぐには、決済の安全性を確保するための複数のベストプラクティスを実践することが重要です。
安全かつ暗号化された取引
企業も顧客も、すべての取引で暗号化された決済手段を利用することが不可欠です。
幸いにも、クレジットカードの暗号化、ゲートウェイの暗号化、デバイスの暗号化など、さまざまなセキュリティ機能が存在します。これらを組み合わせることで、不正アクセスによる決済情報や個人情報の流出リスクを大幅に低減できます。
口座の定期的な監視
銀行は請求口座を定期的に監視し、不正行為を早期に検知できます。これにより、ユーザー以外の第三者による不審な取引も即座にフラグ付けできます。
GDPRなどの規制遵守
GDPR（一般データ保護規則）などの規制を遵守することで、企業は決済詐欺から自社を守ることができます。これらの規制により、企業は不正検知のためにユーザーデータを適切に処理し、自社の脆弱性を把握できます。
決済詐欺とその防止の未来
決済とセキュリティ技術が融合する中、ブランドや顧客は今後の詐欺検知・防止の動向に注目しています。
新たな詐欺検知・防止技術の登場
行動分析、ブロックチェーン、IoT（モノのインターネット）、機械学習やAIなど、新しい技術による決済詐欺の検知・防止方法の研究開発が進んでいます。
政府の政策と規制
政府の政策は、決済詐欺の防止・撲滅において重要な役割を果たしてきました。今後は、より厳格なデータ保護法や規制、コンプライアンスが求められるでしょう。また、決済詐欺対策に関する消費者教育も、政府主導で広く展開される可能性があります。
サイバーセキュリティ対策の役割
多要素認証、トークン化、より強固なデータ暗号化プロトコルなど、決済詐欺をさらに抑止するためのサイバーセキュリティ対策が今後ますます強化されていくでしょう。
詐欺対策意識の醸成
従業員への不審行為の識別・報告トレーニング
従業員に対し、不審な行動や詐欺を識別・報告するためのトレーニングを実施することで、欺瞞やソーシャルエンジニアリングを利用した決済詐欺への防御力が高まります。
顧客へのセキュリティ対策・詐欺防止教育
詐欺防止の文化は、顧客にも広げる必要があります。取引時に必要な基本的なセキュリティ対策について、適切な教育と啓発を行うことが重要です。
決済詐欺に関するFAQ
決済詐欺とは何ですか？
最も一般的な決済詐欺の種類は何ですか？
2022年における最も一般的な詐欺の上位3つは、認証済みプッシュ決済詐欺（APP詐欺）、カード詐欺、個人情報盗難です。
決済詐欺はどのように検知しますか？
決済詐欺を検知する最善の方法は、その概念や手口の特徴を理解し、個人・財務面での深刻な影響から身を守ることです。また、詐欺師の最新かつ進化する戦略を常に把握しておくことも重要です。
本ガイドで紹介したベストプラクティスも、詐欺の予防・検知に役立ちます。さまざまな詐欺検知方法がありますが、主なものは以下の通りです：
- 住所認証サービスの利用
- ベロシティチェック
- ジオロケーション認証
- IPアドレス分析
- 機械学習モデル
- 詐欺スコアリング
- ソーシャルメディア・オープンソースインテリジェンス
- パターン認識
- リアルタイムアラート
- ブラックリスト／ホワイトリストチェック
- 生体認証
- CVV確認
- 3Dセキュアペイヤー認証の利用
プッシュ決済詐欺の例は何ですか？
認証済みプッシュ決済詐欺（APP詐欺）は、現在最も急増している詐欺です。詐欺師が個人や顧客の信頼を装い、金銭を詐欺師の管理する口座に振り込ませる手口です。Outseerの2022年Fraud and Payment Reportによると、オンラインバンキング詐欺の75%がAPP詐欺です。
オンライン決済詐欺からどのように身を守るべきですか？
まず、ユーザーとしては、カード情報を入力する前にウェブサイトのURLがSSL証明書（HTTPS）付きであることを確認してください。詐欺サイトの多くはこれがありません。企業側は、本人確認（KYC）を徹底しましょう。
Zuoraがどのように貴社の詐欺防止を支援できるかご覧ください： Zuora Fraud Protectionの概要
頭金詐欺とは何ですか？
頭金詐欺（または住宅ローン詐欺）は、約束された商品やサービス、金銭的利益を受け取る前に、前払いをさせる詐欺です。詐欺師は、被害者の「すぐに利益を得たい」という心理を利用します。主な例は以下の通りです：
- 不動産詐欺
- 求人詐欺
- 宝くじ・賞品詐欺
- ローン・金融支援詐欺
- オンラインショッピング詐欺
- 投資詐欺
- 旅行・バケーション詐欺
不正な定期クレジットカード取引を止めるには？
不正な定期クレジットカード取引を止めるには、不正取引を発見した時点で速やかにカード発行会社へ連絡してください。カードは停止され、調査が行われ、利用者の責任が問われないよう対応されます。
その後、Experian Fraud Centreで無料の詐欺報告を提出してください。これにより、新しいカード発行前に本人確認が徹底されます。信用情報機関のいずれかに詐欺アラートを出すと、他の2社にも通知されます。
さらに、米国連邦取引委員会（FTC）のID盗難サイトで報告を行ってください。
決済詐欺に特に狙われやすい業界はありますか？
はい。EC、小売、金融サービスなどは、オンライン取引件数や取り扱う機密データの多さから、特にリスクが高い業界です。
決済ゲートウェイは詐欺防止にどのような役割を果たしますか？
決済ゲートウェイは、取引データを暗号化し、詐欺検知ツールを提供することで、不審な取引を事前に特定・遮断し、損失を防ぎます。
カードを使ったことがなくても、なぜカード情報が盗まれるのですか？
詐欺師は、カードを一度も使ったことがなくても、さまざまな手口でカード情報を入手します。主な方法は以下の通りです：
- 偽サイト
- マルウェアやキーロガー
- 公共Wi-Fiネットワーク
- データ漏洩
- 偽の電話
- 盗難書類
- 偽アプリ
- ソーシャルエンジニアリング
- 郵便物の盗難
- カードスキミング
これらの被害を防ぐために：
- 機密性の高い取引に公共Wi-Fiを使用しない
- 端末やセキュリティパッチを常に最新に保つ
- 銀行明細や取引履歴を定期的に確認する
- カードを安全に保管し、紛失・盗難時はすぐカード会社に連絡する
- 不審なメール・メッセージ・電話で個人情報を絶対に教えない
消費者は決済詐欺をどこに報告できますか？
消費者は、銀行、警察、米国連邦取引委員会（FTC）、Internet Crime Complaint Center（IC3）などの機関に決済詐欺を報告できます。