タグ: セキュリティ

　コロナ禍をきっかけにネットショップを始めた方も多いのではないでしょうか。
しかし、最近、そういったショップを狙って、外国からの不正決済の事例が発生してきています。不正決済により、ネットショップ側は金銭面で負担を強いられることがあります。今回は被害を最小限にするためにできることをご紹介いたします。

１．NHKでも取り上げられた、不正決済の実態

　2021年10月22日、NHKでネットショップでのクレジットカード不正決済に関する報道がされました。

　クレジットカード不正決済 個人情報悪用の実態を追う（NHK NEWS WEB）
　https://www3.nhk.or.jp/news/special/sci_cul/2021/10/special/story_1022/

　この報道によると、「不正に利用されるカード番号やパスワードなどの日本人の個人情報が、中国のＳＮＳ上のブラックマーケットで大規模にやりとりされていることがわかった。」とのことです。報道の中で取材に応じているネットショップでは、不正決済が行われてしまった後、カード会社から商品の売上代金の返金を求められています。商品は既に発送済みであるにも関わらず、です。
これは「チャージバック」という仕組みによるものです。

　例えば、クレジットカードで不正決済が行われた場合、クレジットカード会社が保険等で売上代金を補填していると思っている人も多いかもしれません。実は商品やサービスを販売しているショップ側が、チャージバックの場合は負担することになります。

２．チャージバックとは？

　「チャージバック」という言葉を始めて目にする方もいるかもしれません。
チャージバックとは、クレジットカード会員が不正利用等の理由により利用代金の決済に同意しない場合に、クレジットカード会社がネットショップなどの店舗に対して支払いを拒絶することを言います。

どのような時にチャージバックが発生するかというと、不正決済以外にもいくつかのケースがあります。例えば、以下のように不正決済以外にも何らかの理由で発生する可能性があります。

　不正決済の場合、商品発送やサービス提供を完了した後になってチャージバックが発生することも多く、その場合、その商品やサービスの売上代金は振り込まれません。また、すでに売上代金を受領していた場合には、返金していただく必要があります。

　チャージバックの流れについて（GMOイプシロン株式会社）
　https://www.epsilon.jp/service/option/chargeback5.html

　先述のNHKの取材に応じていたネットショップの被害額は、3件で60万円にものぼったということです。
60万円分の商品はすでに発送して手元にないのに、その分の代金60万円は振り込まれません。

３．被害を最小限にするために

　チャージバック自体を未然に防ぐことは、なかなかネットショップ自身では難しいですが、被害を最小限にすることはできます。
以下、2つの対策をご紹介いたしますので、ぜひ参考にしてください。

①商品発送前に購入者情報に違和感がないか確認する
　感覚に頼った対策になってしまいますが、商品発送前に購入者情報を確認するということで、未然に気づけることもあります。悪意ある購入者は、不正に入手したクレジットカード情報を使って商品購入をするのですが、この時、入力された名前やメールアドレス、住所などに違和感がある場合があります。
これは悪意ある購入者が海外の方で、機械的に入力していったことで日本人からすると変に感じることがあるためです。

②チャージバック保証サービスを契約する
　様々な対策をしても、チャージバックを完全には防ぐことはできないのが現状です。そこで、①の対策に加えて、チャージバック保証サービスをご紹介します。
　チャージバック保証サービスはチャージバックが発生した際に、保証会社がチャージバックの請求額を負担してくれる仕組みです。チャージバックは高額になることも多いため、契約しておくと安心です。
以下に、GMOイプシロン株式会社で提供しているサービス詳細を記載いたします。

▼チャージバック保証サービス
月額費用：3,000円
最大保証金額：1,000,000円
※3Dセキュア認証支援サービス未導入の場合は、300,000円
チャージバック保証サービス詳細（GMOイプシロン株式会社）
https://www.epsilon.jp/service/option/chargeback_guaranteed.html

４．おわりに

　不正決済を完全に防ぐことは難しいですが、被害を最小限にする対策は自身で取ることができます。
　チャージバック保証サービスなどを検討することでチャージバックが起きた際の被害を最小限にすることができるかもしれません。しかしながら、まずは、商品の発送前に不審な点がないかを確認し、場合によっては商品の発送処理を一度取りやめることで未然に防げる場合があります。
　大切な商品と売上金を守るために、できることはやっておきましょう。

世間のセキュリティへの関心が高まる中、2019年3月4日に「クレジット取引セキュリティ対策協議会」が開催され、安全・安心なクレジットカードの利用環境の整備を進めるためのセキュリティ対策やその取組事項を取りまとめた「実行計画2019」が発表されました。

「クレジット取引セキュリティ対策協議会」とは、クレジット取引に関わる幅広い事業者及び行政が参画して2015年3月に設立されたもので、2020年に向けて「国際水準のセキュリティ環境」を整備することを目指して「実行計画」を策定しています。そして、策定された実行計画は実務上の指針として位置づけられています。

１．「実行計画2019」とは？
２．消費者向け周知活動の推奨
３．まとめ

１．「実行計画2019」とは？

今回発表された「実行計画2019」とは、2020年に向け、安全・安心なクレジットカードの利用環境の整備を進めるため、カード会社、加盟店等関係各主体におけるセキュリティ対策やその取組事項を取りまとめた「実行計画」を改訂したものです。

※クレジットカード取引におけるセキュリティ対策の強化に向けた「実行計画2019」を取りまとめました （METI/経済産業省）
https://www.meti.go.jp/press/2018/03/20190304004/20190304004.html

「実行計画」で挙げられている措置を講じている場合、法令上の基準を満たしていると認められます。 そのため、クレジットカード決済の導入をしているネットショップ様は、「実行計画」を指針とした取組を進めていく必要があります。

「実行計画2019」の概要やポイントは、経済産業省のホームページにて資料が公開されていますので、ぜひ改定ポイントだけでもご覧ください。

PCI DSS準拠済みの決済代行会社をご利用のネットショップ様においては、カード情報の非通過型システムの導入済みとなりますので、「実行計画」に沿ったセキュリティ対策を講じているということになります。
GMOイプシロン株式会社が提供するイプシロン決済サービスはPCI DSS準拠しています。

さらにもし、「本人認証（3Dセキュア）」や「券面認証（セキュリティコード）」「不正検知システム」を導入されていれば、より対策を講じているということになります。

２．消費者向け周知活動の推奨

改定ポイントの中でも特に、ネットショップ様に対してセキュリティ対策の「見える化」をするように、との指針があります。

※概要版資料P.37

ぜひネットショップのサイト上に、セキュリティ対策に取組んでいるという自己宣言をし、消費者に対してクレジットカードの安全さをアピールしましょう！

３．まとめ

2020年の東京オリンピック開催に向けて、政府もキャッシュレス化を推進しており、その中でクレジットカード決済のセキュリティについてもどんどん指針が更新されていきます。
指針に沿って対応すれば、消費者に対してもアピールとなりますので、ぜひ取組んでいきましょう。

ークレジットカード取引におけるセキュリティ対策の「見える化」に関するお知らせー
https://www.epsilon.jp/news/20200706.html

少し前になりますが、2019年2月18日にTBS系列の情報番組『ビビット』で、新たな手口のネット詐欺である「決済エラー詐欺」について放送され、話題になりました。
また、2019年12月2日にはNHKのニュースでも取り上げられ、サイバーセキュリティー団体が注意を呼びかけています。

ショッピングサイト決済時だけ偽画面 クレジット情報を盗む
サイバーセキュリティー団体の「日本サイバー犯罪対策センター」によりますと、去年半ばからことし10月末までで、少なくともおよそ100の企業のサイトが改ざんされ、盗まれたカード情報は10万件に上るということです。（2019年12月2日）

引用：ショッピングサイト決済時だけ偽画面 クレジット情報を盗む | NHKニュース

詐欺の手口は日々巧妙になっており、知らぬ間にあなたのネットショップでも「決済エラー詐欺」を仕掛けられてしまうかもしれません。
「決済エラー詐欺」について知り、あなたのネットショップと購入者様を詐欺から守りましょう！

１．「決済エラー詐欺」とは？
２．「決済エラー詐欺」に気づくには？
３．ネットショップを安全に保つために心がけること
４．まとめ

１．「決済エラー詐欺」とは？

「決済エラー詐欺」とは、本物のネットショップの購入動線中に偽の情報入力画面への遷移が仕込まれ、入力を終えるとエラー画面の表示後に本物の情報入力画面に戻る巧妙な手口で、クレジットカード情報を盗まれてしまう新たなネット詐欺です。

今までのネット詐欺では、入り口である最初のネットショップ自体が偽物で、クレジットカード情報が盗まれた後に商品も届かなかったため、偽のネットショップにアクセスさえしなければ被害を防ぐことは可能で、もし被害にあってしまっても商品が届かないことで不正利用に早めに気づくことができました。
しかし、「決済エラー詐欺」では、入り口のネットショップは本物で、通常通り注文した商品も届くため、購入者様もネットショップ側もクレジットカード情報が盗まれたことに気づきにくい特徴があります。

２．「決済エラー詐欺」に気づくには？

あなたのネットショップに「決済エラー詐欺」が仕掛けられていないかを自分自身で確認する方法は、今のところありません。「決済エラー詐欺」の被害にあった購入者様からの問い合わせを受け調査をして、初めて発覚します。
さらに難しいことに、購入者様が「決済エラー詐欺」に気づくには、その購入者様が普段からクレジットカード利用明細書を詳細に確認し、見に覚えのない支払があることに気づき、かつ、クレジットカード番号を盗まれたと思われるネットショップを特定できる必要があります。
購入者様も事前に対策する術は現状なく、商品購入中にエラー画面が出た場合はクレジットカード利用明細書を詳細に確認し、不審な支払があればすぐにクレジットカード会社に連絡するのみとなります。

３．ネットショップを安全に保つために心がけること

「決済エラー詐欺」を防ぐためには、あらかじめネットショップのセキュリティレベルを上げて、サイトの改ざんを防ぐことが肝心です。

ネットショップのWebサーバの設定不備により、本来はインターネットに公開すべきではないディレクトリが公開状況となりその情報から不正アクセスやサイトの改ざんにつながっていることが多いようです。
早急にサーバの設定やディレクトリの公開状況などの確認をしましょう。

また、ネットショップのコンテンツ管理者のログイン画面がデフォルト設定のままの場合、第三者にログイン画面の表示先「/○○○○○」が知られているため、不正取得されたログイン情報を利用して不正アクセスが行われやすくなっています。
ログイン画面にアクセス可能なIPアドレスを制限したり、アカウントロック機能を有効にしたり等、アクセス制限をかけるようにしましょう。

とても重要なことですので、サイト制作会社に委託していて詳細が分からない場合でも、分からないことを放置せずに委託先に確認してもらうようお願いをしましょう。

４．まとめ

残念なことに、ネット詐欺の手口は日々新しくなっています。
自分のネットショップでネット詐欺の被害を発生させないために、最近の傾向等を踏まえ、自社システムの定期的な点検を行い、この点検結果に基づき、必要あれば追加的な対策を導入するなどの適切な対応をとることが大変重要です。

特にオープンソースのショッピングカート機能を利用している方は、安心してネットショップの運営をするためにセキュリティに関する意識を高く持ち、しっかり対策をしましょう！

あわせてご確認ください

注意情報｜一般財団法人日本サイバー犯罪対策センター https://www.jc3.or.jp/topics/credit_card.html

おすすめ記事

withコロナ時代の到来!?WEBサイトやネットショップ(EC)を検討しよう。