カード情報が流出した場合、カード決済の停止やサイトを一時閉鎖するなどの措置がとられます。次で説明する「フォレンジック調査」によって流出原因の調査、原因の特定と応急処置、必要なセキュリティ対策が完了するまでビジネスの再開は認められません。

「フォレンジック調査」は漏えい発生に際し、原因特定や被害範囲特定を行うための調査です。カード会社との加盟店契約において、加盟店は漏えい事故が起きた際の調査が義務付けられています。特定の専門機関への調査依頼が必要となり、調査費用は数百万円から1000万円程度が見込まれます。

お客様へのお詫び対応のデスク設置やクレジットカードの差し替え費用、お詫び金などが発生します。

クレジットカード情報が流出した場合、事件・事故として監督官庁に報告することになります。割販法により、当局からの立ち入り検査などの行政指導等を受ける可能性があります。

「チャージバック」とは、不正使用があり、クレジットカードの持ち主が支払いに同意しない場合に、クレジットカード会社が売上を取消しすることです。ECサイト事業者はクレジットカード会社に購入代金を返金しなければなりません。さらに、犯人に商品を提供してしまっていれば商品が戻ってくる可能性は低いです。

犯人は盗んだクレジットカード情報で、家電、ジュエリー、航空券、高級ブランドなどの高額商品をECサイトから購入し、商品を転売し換金します。

犯人は旅行代理店になりすまします。旅行者が犯人に旅行を申し込み、旅行代金の支払いをします。犯人は別途不正に入手しておいたクレジットカード情報を使用して、正規の旅行事業者に手配を行います。これによって、犯人は旅行サービスの支払い金を詐取します。

ここ数年で目立ってきたケースです。盗んだクレジットカード情報で1万円以下の小額の商品を狙って購入します。毎月のクレジットカード明細書をチェックする消費者が少ないため、不正利用だと気づかれにくい手口です。また、カード会社の監視の目をかいくぐってしまう可能性もあります。

クレジットカード情報の漏えいは、大切なお客様がこのような深刻な犯罪に巻き込まれる重大な問題です。

アプリケーションが想定しないSQL文を実行させることにより、データベースシステムを不正に操作する攻撃方法です。

他人のWebサイトへ悪意のあるスクリプトを埋め込み、ユーザーがお問い合わせフォームを送信した際に問い合わせ情報を抜き取る、またはサンクスページを悪質なサイトに入れ替える攻撃です。

ソフトウェアのセキュリティ上に発見された脆弱性を悪用する攻撃です。メーカーや研究者から問題が公表され、修正プログラムが公表される前に攻撃します。

Webサーバにリモートアクセスできる管理用アカウントの情報を窃取し、管理者になりすまし改ざんします。

アカウント窃取の方法は脆弱性攻撃、フィッシング詐欺などが挙げられます。また、組織内のネットワークに侵入し、管理用のPCを乗っ取って改ざんを行う方法もあります。

クレジットカード情報を暗号化された文字列(トークン)に置き換えて決済処理します。

クレジットカード情報は購入者のブラウザから直接決済代行会社に送信され、ECサイトとのクレジットカード決済処理は暗号化されたトークンで実施されるため、クレジットカード情報がECサイトのサーバを通過することなく安全に決済ができます。

支払い時に決済代行会社のサーバ上の決済ページを使ってクレジットカード情報を入力する決済サービスです。カード情報保有リスクがなく接続方式の中で最もセキュアに決済が完了します。ECサイトから決済画面へのリンクを設定するだけで導入できるため、比較的スピーディーかつコストをかけず対応可能です。

クレジットカード情報を「保存、処理、または伝送する」ECサイトは、年間のカード取引量に応じて、PCI DSSに準拠する必要があります。

PCIDSSは、加盟店などが、クレジットカード情報を安全に取り扱うために策定された、クレジットカード業界のセキュリティ基準です。「PCIデータセキュリティスタンダード(Payment Card Industry Data Security Standard)」の略称で、国際カードブランド5社(American Express、Discover、JCB、MasterCard、VISA)が共同で設立したPCI SSC(Payment Card Industry Security Standards Council)が運営しています。

PCIDSSに準拠するには、多額の費用と工数が必要で、中小ECサイトにとっては現実的ではありません。そこで多くの事業者が選択しているのは、クレジットカード決済をPCIDSS準拠事業者に委託する方法です。PCIDSS準拠事業者と提携し、「クレジットカード情報の非保持化」を行えば、クレジットカード情報の保護に対応したとみなされます。

PCIDSSについては下記のコラムで詳しく説明しています。

本人認証は、カード保有者がカード発行会社に事前登録したインターネット取引専用パスワードを使うことでカード所有者であることを確認し、第三者によるカードの不正使用を防止します。

券面認証は、カード券面に記載の3～4桁の数字をウェブ上で入力することで、不正使用を防止します。

DGフィナンシャルテクノロジー(DGFT、旧：ベリトランス)は、本人認証・券面認証による安全性の高いクレジットカード決済サービスを提供しています。

過去の不正配送先を蓄積することで不正取引の判断材料に活用します。属性・行動分析と組み合わせて精度を上げることも可能です。過去の不正配送先情報を提供するサービスもあり、これらの活用も有効です。

過去の取引情報等に基づいたリスク評価によって不正取引を判定します。デバイス情報や通信情報など各種情報を組み合わせることで不正検知の精度も向上できます。

決済代行会社やベンダーが提供する不正検知サービスを導入することも有効です。DGフィナンシャルテクノロジー(DGFT、旧：ベリトランス)でも不正被害・チャージバックリスクを高い確率で抑止できる不正検知サービスを4種類提供しています。

怪しいと思われる取引、例えば「新規購入者かつ高額注文」、「特定の注文商品」や「大量購入」などの条件で注文を抽出し、氏名、住所、メールアドレスなどを目視することも有効です。

古いバージョンを使っていると、そのバージョンの脆弱性を狙った攻撃が仕掛けられる可能性があります。

ID・パスワードなどを保存した重要なファイルを、サーバにアップすることは厳禁です。特定されにくいパスワード・使い回しのない固有のパスワードを設定します。

サイバー犯罪の脅威とリスク、その対策を知り、具体的なシステムや業務の運用手順書の遵守を実施するために、社員への教育が必要です。

自社で行っているセキュリティ対策が適切であるか、脆弱性の有無やセキュリティの問題点を定期的にチェックすることをおすすめします。

重要な個人情報を扱う場合、URLさえ知っていれば外部から誰でもアクセス・閲覧できるような状態にしておくことは望ましくありません。機密情報はWebサーバーの公開フォルダには置かず、社内ネットワークに接続しているか、ID・パスワードがなければアクセスできないようにする必要があります。

また、パスワード情報やサーバーの設定ファイル、過去にWebサイトが公開された際に残ったキャッシュなども、それらを手がかりに不正アクセスされる可能性があるため、扱いには注意が必要です。

フィッシング詐欺とは、本物そっくりの偽のECサイトを作り、ユーザーからメールアドレスやパスワードなどを盗んで不正利用する手口です。フィッシング詐欺の報告件数は年々増えています。

特に最近多いのは特定のECサイトやカードブランドを騙るものですが、検索エンジンの検索結果に表示されるリスティング広告やSNS広告からフィッシングサイトや偽のECサイトに誘導されるケースも報告されているようです。

自社のECサイトの偽サイトが作られるリスクも想定して、「本物のECサイトであることを証明するためにアドレスバーやステータスバーを隠さない」、「正規のサーバー証明書を用いて常時SSL化（暗号化）する」などの対策を講じてサイトを設計・運用する必要があります。

出典：フィッシング対策協議会『2020/11 フィッシング報告状況』