どんだけ悪いヤツいるんだよ｜EC業界で働いて初めて知った「不正」の規模がヤバすぎる件

おはようございますめぐろです。
（6/21、3:30。オランダ対スウェーデンが4-1になって残り時間暇なのでnoteを書いてます）
私はCaccoというECセキュリティシステムを開発している上場企業でマーケターをしています。
（Xアカウントはこちら：https://x.com/meguro345）

EC業界に入って7年ですが、悪いヤツ、多すぎますって…。
EC業界で働き始めて、一番最初に衝撃を受けたのはこれでした。
こんなに"不正"というものがあったなんて知らなかったです。
入社した会社がセキュリティに特化している会社だからかもしれませんが…。

世の中には、他人のクレジットカードを何の躊躇もなく使うヤツがいる。
本物そっくりの偽サイトを作って情報を盗むヤツがいる。
企業のシステムを人質にとって金を要求するヤツがいる。
毎日何万通もの詐欺メールを送り続けるヤツがいる。

しかもそれが、年々増え続けている。

この記事は、データを見ながら「どんだけ悪いヤツいるんだよ」と、思ってたことを書いてみた記事です。（個人ブログ。笑）

1. まずクレカ不正から。555億円ってどういう規模？

一般社団法人日本クレジット協会が毎年発表している「クレジットカード不正利用被害額」というデータがあります。

2024年の被害額は555億円で過去最多を記録しました。
2025年は510億円と前年比で若干減少しましたが、依然として高い水準が続いています。

555億円。

ちょっと想像してみてください。
1件あたり平均5万円の不正注文だとして、約110万件。
毎日約3,000件の不正注文が、日本中で起きていた計算です。

しかもこれ、10年前とは全然違う水準です。
2015年時点の被害額は約120億円でした。
そこから10年で約4.6倍。ECの市場拡大に合わせて、悪いヤツの数も規模もきっちり増えています。

そして被害の内訳を見ると、9割以上が「番号盗用」つまりカード番号だけ盗んでネットで使うという手口です。
カード自体を盗む必要すらない。番号さえわかれば、ネットショッピングで使い放題。

これが今の不正の主流です。

2. フィッシング詐欺。月23万件ってもはや産業

「フィッシング詐欺」という言葉は知っている人が多いと思います。
本物そっくりの偽メール・偽サイトでカード情報やパスワードを盗む手口です。

フィッシング対策協議会という団体が毎月の報告件数を発表しているんですが、この数字がすごい。

2024年12月の報告件数は232,290件。

1ヶ月で23万件超。
1日あたり約7,500件のフィッシング報告が寄せられている計算です。

しかも2024年の1〜11月累計は148万件超で過去最多を更新しました。

10年前の2015年頃、フィッシング報告件数は月に数千件程度でした。
そこから10年で月23万件超。約30〜40倍です。

なぜここまで増えたか。

理由のひとつは「悪いヤツのビジネス化」です。
フィッシングサイトのテンプレートがダークウェブで売買されていて、技術がなくても偽サイトを作れるようになった。
しかもAIを悪用してフィッシングメールを大量生成する手口も登場し、2024年5月には生成AIで不正プログラムを作成した男が警視庁に逮捕される事案も発生しています。

フィッシングはもはや「詐欺」というより「産業」になっています。

3. ランサムウェア。カシオも病院も狙われる

「ランサムウェア」はシステムをまるごと暗号化して、「元に戻してほしければ金を払え」と要求するサイバー攻撃です。

2025年上半期のランサムウェア被害報告件数は116件で、3期連続で100件以上が報告されており、高水準が続いています。

有名どころだとカシオも被害を受けています。
2024年10月にカシオが海外からの不正アクセスでランサムウェア攻撃を受け、社内文書等に保管されていた約8,478人分の個人情報および業務データの外部流出が確認されました。

カシオですよ。あのカシオ。

で、被害金額がまたヤバい。
ランサムウェアの被害金額は1件あたり平均2.2億円という調査結果があります。

身代金だけじゃなく、システム復旧費用・業務停止による損失・情報漏洩対応コストを含めるとこの規模になります。

さらに2024年の中小企業のランサムウェア被害件数は2023年より37%増加しています。
大企業だけの話じゃない。

中小企業が6割以上を占め、侵入経路はVPN機器やリモートデスクトップが大多数を占めるという傾向が続いています。
コロナ禍でリモートワークが普及したことで、攻撃の入口が増えた側面もあります。

4. 不正アクセス。1日・1IPあたり9,520件のアタック

「自分の会社は大丈夫」と思っている人に見てほしい数字があります。

2024年に警察庁がセンサーで検知した脆弱性探索行為などの不正なアクセス件数は、1日・1IPアドレス当たり9,520件。前年比4.1%増で過去最高となりました。

1日に9,520件。

これは「あなたの会社のサーバーに、今日も何千回もアタックが来ている」という意味です。
ほとんどは自動化されたスキャンで、脆弱性があればそこから侵入しようとしています。

アクセス送信元の大半が海外とのことなので、日本のECサイトも当然ターゲットに含まれています。

5. なりすまし・偽サイト。Amazonを名乗るメールが全体の27%

フィッシングで特に多いのが、有名企業の「なりすまし」です。

2024年10月の報告では、Amazonをかたるフィッシングが報告数全体の約26.8%を占め1位でした。次いでヤマト運輸、東京電力、JCB、プロミスをかたるフィッシングが続き、これらを合わせると全体の約62.6%を占めました。

「Amazonからの重要なお知らせ」系のメール、みなさんも受け取ったことあるはずです。
あれが1ヶ月で約6万件報告されているわけです。

しかも手口が年々巧妙になっています。
メール差出人に実在するサービスのメールアドレス（ドメイン名）を使用した「なりすまし」フィッシングメールは約63.2%と多い状況が続いています。

差出人のアドレスが本物っぽく見えるメールが、3通に2通近い割合で届いているということです。
「怪しいメールは開かない」という対策だけでは防げないレベルになっています。

6. EC業界で働くとわかること

データをずらっと並べてきましたが、EC業界で実際に働いていると、これが「統計」ではなく「日常」として感じられます。

不正注文の検知システムに引っかかった注文を見ていると、明らかに機械的に大量注文しているケースがある。
フィッシングサイトで自社ブランドが使われていたという連絡が来ることがある。
取引先がランサムウェアにやられたという話が聞こえてくることがある。

「悪いヤツ」は遠い世界の話ではありません。

しかも彼らは組織化していて、技術を持っていて、24時間365日動いています。
片や多くのEC事業者は、不正対策は後回し、セキュリティの担当者はいない、という状態で戦っています。

※EC事業者の方々と喋ると本当にITリテラシーが高いなと思います。日々、商品を売るための努力と不正者と戦っている強さみたいなものを感じます。
ブランド・メーカー・EC事業者で働く方の知識量ってすごいです。

7. 撲滅できるのか…。いやしなくてはいけない。

「仕方ない」「いたちごっこ」——不正対策の話をすると、よくこう言われます。

でも私はそう思っていなくて、対策を徹底すれば確実に減らせると思っています。

根拠はシンプルです。
2025年の被害額が2024年の555億円から510億円に減少した背景として、3Dセキュアの義務化が一定の効果を発揮していることが挙げられます。

たった1つの対策を業界全体で徹底しただけで、数十億円規模の被害が減った。
逆に言えば、まだやれることがたくさんある。

不正を完全になくすことは難しいかもしれません。
でも「対策をしているサイト」と「対策をしていないサイト」では、狙われやすさが全然違います。

悪いヤツは、楽に稼げる場所を選びます。
だから「うちは対策している」という状態を作ることが、最大の抑止力になります。

まとめ

改めて数字をまとめます。

- クレジットカード不正被害額：2024年は555億円（2015年比で約4.6倍）
- フィッシング報告件数：2024年12月単月で232,290件（10年前比で約30〜40倍）
- ランサムウェア被害：3期連続100件超、1件あたり平均2.2億円の損失
- 不正アクセス探索：1日・1IPあたり9,520件（過去最高）
- なりすましメール：フィッシングメールの約63%が差出人を偽装

「どんだけ悪いヤツいるんだよ」という話を最後に締めると、悪いヤツがいる限り、対策をしている側が強くなるしかない。

EC業界にいる人間として、不正を「仕方ない」で終わらせたくないと思っています。

---

※引用：一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」（2025年3月発表）
※引用：フィッシング対策協議会「2024年12月フィッシング報告状況」
※引用：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」（2025年3月）
※引用：トレンドマイクロ「警察庁2025年上半期国内サイバー犯罪レポート」（2025年10月）
※引用：帝国データバンク「サイバー攻撃に関する実態調査」（2025年6月）