増加するオンラインスキミングとは?その手口と被害をまとめました

2021/12/15

※本記事はかっこ株式会社「不正検知Lab -フセラボ-」掲載記事の転載です。
URL:https://frauddetection.cacco.co.jp/media/securityterms/1249/

ECサイトからクレジットカードの決済情報を盗み取る、オンラインスキミングという手口が発生しています。

この記事では

  • オンラインスキミングとは何か
  • オンラインスキミングの主な手口
  • オンラインスキミングを防ぐために取るべき対策

について解説します。

この記事の目次

オンラインスキミングとは、ECサイトなどに不正なコードを挿入し利用者が入力した決済情報を盗む行為を指します。
ユーザーがフォームに入力したクレジットカード情報を盗み取るため、カード番号や有効期限だけではなく、不正利用防止のために設定されているセキュリティコードまで盗まれてしまいます。
さらに、本人認証用の3Dセキュアのパスワードまで盗まれることもあります。

オンラインスキミングの発生は日本だけではありません。
例えば、2018年9月にイギリスの航空会社British Airwaysのオンラインストアが、2019年4月にはアメリカとカナダで200以上の大学のオンラインストアが、サイバー犯罪集団グループMagecartからハッキングを受けたという報道がありました。

手口としてはオンラインストアにJavaScriptのコードを埋め込み、支払いフォームに入力される情報(クレジット番号、名前、住所など)を窃取し、遠隔のサーバーに送信するといったものです。
このようにオンラインスキミングの被害は海外の大手ECサイトなどでも報告されています。

ECサイトの改ざんによるオンラインスキミングの手口から、増加しているものをご紹介します。

1.偽決済ページヘの誘導

1つ目は、偽物の決済情報入力ページへ誘導しクレジットカード情報を窃取する手法です。

この手口ではECサイトが改ざんされ、商品カートから決済入力画面に移行する際に偽造された決済代行会社の決済サイトに誘導されます。

利用者が偽造されたサイトのクレジットカード情報入力フォームにて情報を入力し決済を行うとエラーメッセージが表示され、その間にクレジットカードの情報等が遠隔のサーバーに送信されます。

その後、正規の決済代行会社の決済サイトに戻され正規の決済手続に移行します。そのため、商品購入の手続きも通常通り行えて後日商品も届くことでクレジットカード情報が盗まれたことに気づきにくいです。

2.不正者への情報送信

2つ目は、ECサイトにスクリプトを埋め込むことにより不正者へ情報を送信する手法です。

こちらの手口ではECサイトのカード情報入力フォームに直接JavaScriptのコードが埋め込まれています。
利用者がカード情報を入力し確認ボタンをクリックすると、不正者にも入力されたカード情報が送信され、個人情報が盗まれてしまいます。

こちらの手口も正規のカード情報入力フォームが改ざんされているため、利用者はクレジットカード情報が盗まれたことに気づくことは困難です。

ここで紹介したオンラインスキミングの手口はいずれもサイトの改ざんを防ぐことで対策できます。

  • ミドルウェアやプラットフォームなどのアップデート実施
  • 管理者アカウントのパスワード強化
  • 管理者アカウントへの二要素認証の導入

といった対応で脆弱性を極力なくし、不正なログインからの改ざんも防ぐようにしましょう。

オンラインショッピングの普及と共にオンラインスキミングの被害も増加し、EC事業者は情報漏洩や不正利用情報漏洩への対策が求められています。

記事監修
かっこ株式会社 O-PLUX事業部 ディビジョンマネジャー 青木泰貴
大手SIerをへて2015年1月にかっこ株式会社に入社。不正注文検知サービスO-PLUXのセールス&マーケティング部門にてセールス戦略立案や、新規加盟店開拓に従事。100以上のECサイトで不正注文削減に実績を上げている。
記事監修
かっこ株式会社 O-PLUX事業部 ディビジョンマネジャー 青木泰貴
大手SIerをへて2015年1月にかっこ株式会社に入社。不正注文検知サービスO-PLUXのセールス&マーケティング部門にてセールス戦略立案や、新規加盟店開拓に従事。100以上のECサイトで不正注文削減に実績を上げている。
      
お気軽にお問い合わせ・ご相談ください
決済代行、越境EC、EC総合支援サービスの導入なら決済代行専業会社のDGフィナンシャルテクノロジー(旧:ベリトランス)へ。お急ぎの場合はお電話にてご連絡ください。

受付時間 平日10:00〜17:00 03-6367-1510

  • 資料請求
  • お問い合わせ

    すぐにお見積り送付!

    すぐにお見積り送付!

  • 試用プログラム

【ご案内】ベリトランスはDGフィナンシャルテクノロジー(DGFT)に社名変更しました。また、グループ会社イーコンテクストの決済事業も承継し、DGFTにて提供しております。