被害の9割以上が「番号盗用」
不正利用の手口は、以前のような偽造カードによる対面での悪用ではなく、オンラインでカード番号などを不正に使われる“番号盗用”が中心となっています。今回の調査でも、全体のうち約183億円（94.7％）が番号盗用によるもので、その8割以上は国内での取引中に発生していることが分かりました。たとえば、ネット通販や旅行サイトでカード番号が漏えいし、不正決済に使われるような事例が含まれます。
出所：日本クレジット協会 クレジットカード不正利用被害の発生状況を基に作成
国民生活センターに寄せられたケース（※）では、利用者が身に覚えのない約9万円の宿泊費がクレジットカードに請求され、カード会社に問い合わせたことで初めて不正利用が判明しました。当初は本人による利用と判断されていましたが、パスポート提出や調査を経て一部返金され、残額についてもチャージバックが行われるに至ったとのことです。このように、カード番号が盗まれれば、旅行サイトや宿泊予約といった正規サービスを装った不正利用に悪用されるリスクがあるのです。
※出典：国民生活センター事例ページ
以下は、クレジットカード番号盗用の国内・海外別内訳です。2024年において、日本国内の番号盗用被害額は海外の約2.77倍となっています。
なぜ、これほどまでに「日本」が狙われているのでしょうか？その背景には、オンライン決済における日本独自の構造的課題が潜んでいます。
1. 本人認証の導入は進んだが、運用には課題も
日本でも現在、EMV 3Dセキュアによる本人認証が原則必須化されており、多くのECサイトで導入が進んでいます。しかし、実際の運用では「認証スキップ（リスクベース認証）」や「加盟店側のUX配慮による非対応設定」などが残っており、一部では“番号だけで決済可能”な取引も依然として存在しています。こうした隙を突く形で、盗まれたカード番号が本人になりすまして使われるリスクが続いており、日本国内の取引が攻撃者にとって“狙いやすい”環境になっていることが懸念されています。
2. UX（ユーザー体験）とセキュリティのトレードオフ
「3Dセキュアを導入すると購入完了率が下がる」という懸念から、あえて本人認証を導入していない事業者も存在します。しかし、UXの最適化を理由にセキュリティ対策を後回しにすることが、かえって損失や信用毀損を招く結果となっています。
3. 不正対策技術の導入格差
AIによる不正検知や行動パターン分析などの高度な技術は、まだ一部の大手企業に限られているのが実情です。とくに中小規模のECサイトでは、不正対策が手薄な状態にあることが多く、標的にされやすい傾向があります。
