クレジットカード不正利用 Part 1：手口と実例

クレジットカードを20年使い続けてきた私には、不正利用などまったく無縁だと思っていました。実際、これまで一度たりとも被害に遭ったことはありません。しかし、それが思わぬところで崩れたのです。
標的となったのは、メインのクレジットカードではなく、利用頻度の低いデビットカードでした。

数千円の不正利用。最初は軽い驚きでしたが、数年のうちに2度目の被害が発生。幸い、事前に設定していた「利用停止機能」によって実害はゼロで済みましたが、もし何の対策もしていなかったら…と考えると、ゾッとします。
以下は先月住信SBIネット銀行から届いたその利用不可の通知メールです：

この一件は、私の中で「クレジットカードとデビットカードのセキュリティ意識」を大きく変えるきっかけとなりました。

本記事では、私の実体験をベースに、次のようなトピックを深掘りしていきます：

• なぜクレジットカードのほうが不正利用に強いのか？

• 3Dセキュア・ワンタイムパスワードなど進化するセキュリティ機能

• 最近の不正利用の手口と傾向

• 明細チェックを怠った結果、100万円以上の被害に遭った事例

• バーチャルカードや利用制限サービスなど、自分でできる防衛策

カードマニア・陸マイラー・ビジネスパーソンなど、クレジットカードを日常的に使いこなす方にこそ知っておいてほしい、不正利用対策の実践知識をぎゅっと詰め込みました。
万が一に備えるために、そして安心してポイント活動を楽しむために。ぜひ最後までご覧ください。

クレジットカードとデビットカードのセキュリティ比較

クレジットカードは一般的に強固なセキュリティ対策が施されています。カード各社は24時間365日、不正利用を検知するシステムで利用状況をモニタリングしており、疑わしい取引を見つけると一時的に取引を停止して本人確認を行うことがあります。例えば三井住友カードでは、高度な不正検知システムによってカード利用を監視し、必要に応じて利用者に確認の連絡が入る仕組みです。

また、最近では、三井住友やアメックスなど、カードの利用直後にメールやアプリで通知が届く「利用通知サービス」を提供する会社も増えており、不正利用をリアルタイムで察知しやすくなっています。

一方、デビットカードも不正利用時の補償は原則ありますが、その条件や上限が定められています。例えば、重大な過失がなく本人認証用パスワード（3Dセキュア等）が盗まれていない場合、年間100万円まで補償されるといったケースです。

ただしデビットカードの場合、利用と同時に即座に口座からお金が引き落とされるため、被害額が戻るまで時間がかかる点に注意が必要です。実際、前述の私が経験した住信SBIネット銀行の不正利用時も、補償の書類提出が必要で、返金確定までは1－2カ月程度を要しました。大きな金額が抜き取られた場合、その間の資金繰りに支障を来す恐れもあります。

クレジットカードであれば不正利用額の支払いは調査中いったん保留され、確認されれば支払わずに済む（全額補償される）ことがほとんどです。アメックスではオンライン上の第三者による不正使用が確認された場合、届け出から遡って60日間に遡及し利用代金を免除・補填すると規約で定めています。つまり約2ヶ月分の被害はさかのぼってカバーされるわけです。このようにクレジットカードは事後対応の手厚さでも安心感があります。ただし補償期間を過ぎた古い被害は対象外になるため、早期発見・連絡が重要です。

また、利用シーンでの違いもセキュリティに影響します。デビットカードは便利ですが利用できる場面が限られることがあり、例えば自販機やガソリンスタンドでは使えない場合もあります。その結果、使わずに放置しがちで油断してしまうこともあるでしょう。

実際、あるユーザーは長らく使っていなかったSBIデビットカードで月額600円のAmazonプライム料金が不正に引き落とされているのに気付きました（takamii_meganeさん）。幸いすぐにカードを停止し再発行手続きを行い、被害額は補償予定となりましたが、このように少額の定期引き落としに紛れて不正が行われるケースもあります。クレジットカードでも油断はできませんが、カード会社側の検知システムや利用者への通知体制が整っている分、不正に気付きやすく被害を最小限に抑えやすいと言えます。

進化するカードセキュリティ機能

近年、クレジットカードのセキュリティは飛躍的に向上しています。特にオンライン決済の本人認証「3Dセキュア」の導入が加速しました。経済産業省は国内すべてのECサイトに3Dセキュア導入を促しており、2025年4月以降はクレジットカード決済導入事業者に原則3Dセキュア2.0対応が必須となりました。

3Dセキュア（EMV 3-D Secure 2.0）では、カード番号や有効期限などを入力した後にワンタイムパスワードやスマホ認証など追加の本人確認を行います。ただし常に面倒な確認が要求されるわけではなく、リスクベース認証によって不正リスクが高いと判定された場合にのみ追加認証が発動します。

例えば普段と異なる高額決済や海外からのアクセスといったケースでは本人確認が求められますが、そうでない取引は従来通りスムーズに完了します。この仕組みにより、安全性を保ちながら利便性も確保されています。実際、フリマアプリ大手のメルカリでは3Dセキュア導入後に不正被害額が約1/10に減少したとの報告があり、日本でも今後3Dセキュアによる本人認証が当たり前になると期待されています。

二段階認証（2FA）の活用も進んでいます。カード会社のオンラインサービスへログインする際にワンタイムパスワードや生体認証を要求したり、高額決済時にSMSコードで確認したりする例が増えています。

加えて物理カード自体の安全性も向上しました。日本では2020年までにクレジットカードのICチップ化（全量IC化）が推進され、磁気ストライプのみのカードに比べ格段に偽造が困難になりました。その効果でスキミングなど偽造カード被害は激減し、2021年には不正被害全体の1%未満にまで低下しています（日本クレジット協会データ）。一方でIC化後は番号盗用（カード情報流出）による被害が急増しており、不正被害額全体の9割以上を占めるまでになっています。この問題への対策としてオンラインでの本人認証強化（3Dセキュア）や、不正検知システムの高度化が欠かせません。

カードの形態自体にも新しい工夫が登場しています。例えばナンバーレスカード（カード券面に番号未記載）では、万一カードを落としても番号を悪用されにくく、必要なときだけ公式アプリで番号を確認できます。三井住友カード（NL）などがこの方式を採用し、セキュリティとデザイン性を両立しています。またApple PayやGoogle Payなどのスマートフォン決済では、店舗でタッチ決済する際に実カード番号とは異なるデジタルトークンが使用されます。これにより店頭でカード番号が漏洩するリスクを減らせます。

生体認証付きクレジットカード（指紋で本人確認するカード）も海外で実用化されつつあり、将来的には日本でも導入されるかもしれません。日々進化するセキュリティ機能を活用することで、クレジットカードはますます安心して利用できるツールになってきています。

不正利用の手口と実例から学ぶ

クレジットカードの不正利用は年々巧妙化・大量化しています。2023年の国内クレジットカード不正被害額は約540億円に上り、2014年の約4.7倍という過去最大の水準でした（日本クレジット協会データ）。被害の大半（9割以上）はインターネット上でカード情報を悪用する「番号盗用」です。では具体的にどのような手口でカード情報が盗まれるのか、代表的な例を見てみましょう。

フィッシング詐欺（メール/SMS詐欺）

近年最も注意すべきはフィッシング詐欺です。カード会社や銀行、通販サイトなどを装った偽のメールやSMSを送りつけ、本文中のリンクから偽サイトに誘導してカード番号やパスワード等を入力させる手口です。

例えば、私のところにも、こうしたSMSやメールがたびたび届きますが、「あなたのカードが不正利用された可能性があります。至急確認してください。」といった文面で不安を煽り、本物そっくりの偽ログインページに誘導するといったものです。

最近は日本語も流暢で巧妙な偽SMSが増えており、私にも宅配業者をかたる不在通知SMSなどがよく届きます。リンク先は公式サイトをコピーしたような精巧なページで、一見偽物と見抜けないケースもあります。そこでカード情報やワンタイムパスワードを入力してしまうと、犯罪者に筒抜けになってしまいます。

スマホアプリを使った詐欺

SMS経由で偽のアプリインストールを促す手口もあります。宅配便の不在通知を装ったSMSから偽アプリを入れさせ、スマホ内の情報（連絡先やSMS、決済パスワードなど）を盗み取るケースです。スマホ決済やネットバンキングの二要素認証コードが盗まれ、不正送金やカード利用に悪用される恐れがあります。

カード情報の漏洩・ハッキング

利用者がフィッシングに引っかからなくても、ECサイトや決済代行業者など第三者から情報漏洩することもあります。実店舗よりオンラインショッピングが普及した昨今、サーバーへのサイバー攻撃で大量のカード番号が流出し闇市場で売買される事件が国内外で発生しています。流出したカード情報は世界中の不正利用者に狙われ、ある日突然身に覚えのない請求が届くという事態になりかねません。

総当たり攻撃（カード番号の推測）

犯罪者は有効そうなカード番号をランダムに生成し、少額決済を試すこともあります。例えば架空の少額決済を多数試行して、通った番号を特定し大きな買い物に使うという手口です。カード番号は16桁と桁数が限られるため、有効期限やセキュリティコードも含め機械的に当てられるリスクがゼロではありません（もちろんカード会社側も機械的な多数決済は検知しブロックする対策を講じています）。

実店舗でのカード盗難・スキミング

従来多かった物理カードの盗難やスキミング被害は、ICチップ化で減少しましたが、海外旅行先やIC未対応の古い端末では依然リスクがあります。店員にカードを渡した隙に情報を抜き取られたり、ATMやガソリンスタンドに仕掛けられたスキマーで磁気データをコピーされるケースです。暗証番号を盗撮され現金を引き出される被害も報告されています。国内では少なくなりましたが、海外利用時は磁気のみの決済に注意し、可能ならICやコンタクトレス決済を選ぶのが安全です。

こうした手口の実例として、先述の私のケースでは「HOUSE OF ROSE」のオンラインストアを装った不正利用が試みられました。幸い利用停止設定でブロックできましたが、仮に設定していなければ少額ずつ何度も購入されていたかもしれません。

別の事例では、Amazonプライム月額料金（600円）の不正請求でカード情報をテストされ、その後高額決済に繋げられそうになったケースもあります。さらに、とあるユーザーは1年以上にわたり毎月数万円の不正請求に気付かず支払い続け、総額100万円以上にもなってしまった例もあります（以下の川崎市の「相談事例2」）。カード会社に連絡して不正と認められたものの、補償されたのは直近2ヶ月分のみで、残りは泣き寝入りとなってしまいました。このように被害が拡大してからでは取り戻せないこともあるため、日頃から明細チェックを欠かさないことが肝心です。

続きは「Part 2：不正利用を防ぐ具体策」で詳しくご紹介しています。ぜひご覧ください。

最後までご覧いただきありがとうございます！もしこの記事が役に立ったと思われたら、ぜひ「いいね」「フォロー」で教えてください。とても励みになります。