クレジットカードスキミングの実態と対策

スキミングと他の番号盗用を区別する

スキミングは、カードの磁気情報を読取装置で取得する手口です。

番号盗用は、カード番号などを不正に取得して使う行為を広く指し、フィッシング、偽サイト、情報流出なども含みます。

スキミングと番号盗用は同じ意味ではありません。

カードが手元にあり、明細に不正利用があっても、明細だけで盗用経路を特定することはできません。

原因の調査はカード会社が行うため、利用履歴と入力履歴を伝えて案内を受けます。

警察庁の2005年の白書に、この手口の定義があります。古い資料のため、現在の被害件数や手口の割合を示す根拠にはしていません。

明細と利用履歴を整理する

明細を確認するときは、カードを使った場所と、オンラインで入力した場所を分けます。

ICチップ、タッチ決済、磁気ストライプの違い

磁気ストライプ取引は、カードの磁気情報を読み取って処理します。ICチップを差し込む取引や、EMV対応のタッチ決済は、磁気情報をそのまま使う取引とは仕組みが異なります。

決済仕様を策定するEMVCoは、EMV対応の非接触IC取引で、取引ごとに一度だけ使うセキュリティコードを生成すると説明しています。従来の磁気ストライプ取引より安全性を高める仕組みです。

このコードは決済時に生成されるもので、カードに印刷されたセキュリティコードとは別です。また、EMVの説明を、すべての非接触カードや決済方式へそのまま当てはめることはできません。

店舗でタッチ決済を使っていても、偽サイトへカード番号を入力したり、会員サイトのパスワードを盗まれたりすれば、別の経路で不正利用される可能性があります。支払い方式の選択と、オンラインでの入力先の確認は分けて行います。

日常の予防

利用明細や利用履歴を、カード会社の公式アプリまたは公式Web明細で確認します。利用通知に気づいたときに加え、毎月の請求が確定したときも、控えや注文履歴と金額を照合します。

通知機能の有無や内容は、カード会社とカードの種類によって異なります。

通知だけに頼らず、明細も確認してください。

オンライン決済では、公式会員サイトの「本人認証サービス」などから、カード発行会社が案内する登録状況を確認します。認証用のメールアドレスや電話番号が現在使えるかも確認してください。画面名や認証方法はカード会社ごとに異なります。

本人認証は不正利用のリスクを下げる材料ですが、偽サイトへの入力やカード番号の流出をすべて防ぐものではありません。

カードの暗証番号は他人に伝えず、カード券面や生年月日から推測されやすい番号を避けます。店頭やATMで入力するときは、もう片方の手などで手元を隠します。

ATMの挿入口やキー周りに不自然な部品が見える場合は、利用をやめて銀行や管理者へ知らせます。見た目に異常がないことだけで安全とは判断せず、利用後の明細も確認します。

カード会社の会員サイトに使うパスワードは、他のサービスと分けます。

カードを使った場所、オンラインで入力したサービス、登録した決済情報を定期的に確認し、不要な保存カードは各サービスの公式設定から削除を検討します。