クレジットカードが不正利用されてしまった話

クレジットカード(EPOS VISAブランド)が小額ですが不正利用されました。

・状況

クレカに身に覚えのない利用がある事を、ご利用通知メールで把握しました。
以下の内容です。

気づいたのは利用日時の2時間後位でした。

まず当日は実店舗・ネットともに買い物を一切していないので勘違いすることはあり得ないし、LIFEAID Beverageという会社（お店）も初めて聞く名前です。

米ドルで決済されているので国内の販売店の可能性も低く海外サイトでの決済ように見えます。
想像するに、決済した犯人も海外在住の可能性が高そうです。

・対応

エポスに不正利用の旨を伝えるべく電話を掛けましたが、不正利用の対応は9:30から18:00との事で、当日は自動音声通話で紛失扱いでカードを止めて翌日に不正利用の件を対人通話で伝えました。

本人確認後に当日の利用は無い事やこの会社自体知らない会社であることを説明し、相手方から勘違いや家族の利用はなかったかなどを訊かれましたが、それもあり得ないと答えて不正利用という扱いで処理をしてくれる事になりました。

新たなカードは、番号を変えたものを連休中なので普段より時間が掛かるが10日から2週間程度で送付するとのこと

決着するには1ヵ月から2ヵ月位掛かるとの説目を受けて電話を切りました。

・なぜ不正利用されたのかの考察

一般的に不正利用される要因として、スキミング、フィッシング、クレカサイトのハッキング、利用サイトからの流出、クレジットマスターなどがあると思いますが、ひとつずつ見て行きます。

1.スキミング

店舗などの読み取り機に仕込まれているケースですが、使用した記憶があるのはユニクロとワークマンなどの比較的しっかりしたお店なので流石にコレが原因とは思えません。

また、タッチ決済での電波を飛ばして情報を抜き出す手法があるようですが、強いて可能性があるとすれば電車など公共交通機関を使った時ですが、ほとんど利用しないので絶対とは言えないけど個人的には考えずらい。

もしコレだとすると直近で電車に乗ったのは1ヵ月位前なので、スキミングされてたらすぐに不正利用を試みたと思うんですよね、1ヵ月寝かす意味もないから可能性は低そうです。

2.フィッシング

怪しいメールは時々来ますが完全無視してるので、コレは無いですね。

3.クレカサイトのハッキング

自分のIDとパスワードが漏れることで、クレカ情報を盗まれるケースですが、パスワードは限度文字数最大のも使用してるし、他サイトとの使いまわしはなし、パスワード管理はアプリで情報は暗号化されて保存されているし、Windowsは常にupdateしています。

malwareがあるようなサイトを見ることも無いので絶対はないけど大丈夫だと思うのですが...

4.利用サイトからの流出

このVISAカードはLCCの決済やagoda（宿泊施設の予約サイト）で利用しているので、少し不安なところはあります。

とは言っても利用者の多いこうしたサイトから流出すれば直ぐに大騒ぎになりそうだからこれも何とも言えない。

ただagodaは支払い情報について個別のホテルに情報共有することがあるから、運が悪ければそこから漏れるという可能性はあるのかなという印象です。

5.クレジットマスター

これはbotで自動生成して総当たりで有効な番号を洗い出す手法なので確率的には潜在的な脅威です。

2段階認証を求めないサイトでの利用だと、これは明確な脅威としてあり得るんですよね。

因みにカードの期限4桁も数字だし、セキュリティコード3桁も数字なのでbotのお得意様です。

名前も入力するじゃないか!?という話なんですが、これは入力はしますがチェックはスルーということが多いようです。

結局考えても原因は良く分からないとなります。

・対策

1.スキミング対策

基本的に持ち歩かない。

持ち歩く時は防磁カードケースに入れる。

海外旅行で持ち出す時は防磁カードケースに入れます。

2.フィッシング対策

ネットで決済する時は、自分の管理アドレスからサイトに飛ぶよう徹底する。

3.クレカサイトのハッキング

定期的にパスパードを難解な文字列かつ最長文字数で変更する

4.利用サイトからの流出

paypal経由での利用と、バーチャルカードの多用など。

※agodaでpaypalが使えるのは即時決済のみとの事で後払いはクレジットカード(番号入力)等必要

5.クレジットマスター対策

（EPOSカードの場合）利用時以外は海外利用（実店舗とネットショッピング）を停止しておくことで、海外での不正利用を回避する。

海外の悪意の第三者が決済しようと試みても出来ないので使えない番号として捨ててくれると思われる。

※ただし海外の犯人が日本国内の決済代行システム（ゲートウェイ）を悪用すれば突破されるので完全に抑え込める訳ではなさそうです。

因みに、私見ですが海外の人間がクレジットマスターの対象にするのは知名度やシェアの点でVISAやMASTERが多く、JCBは少ないかと想像します。

つまりVISAよりJCBはクレジットマスターの被害を受ける可能性が程度の差はともかく低いと想像しています。

・まとめ

小額の不正利用でしたが気が付かず放置していたらどんどん使われて金額は大きく膨らんでいた可能性が高かったと思います。

早めに気づいて止められたのは良かったと思います。

今後についてですが、色々工夫・改善して不正利用の可能性を低減することは出来るが、完全に抑え込むことは不可能と思われます。

なので利用通知メールにはちゃんと目を通したり、定期的に利用明細を確認する習慣を付けて早期に発見して申告できるようにする感じですかね。

一般的に60日以内に不正利用の申告があり、認定されれば救済されるとの事ですが、物理的に支払いが終わった後と前とでは事務手続きの煩雑さが違うと思うので速攻で止めてしまうのが良いですね。

また、ポイント(還元率)の高さより不測の事態発生時に対応の良い発行会社のクレカを持つという選択もありです。

セキュリティ管理は面倒ですが、世の中の利便性向上のバーターコストとして受け入れるしかないようです。