オンライン決済の不正利用とその対策
クレジットカードの動向を中心に

現在日本では、2018年に経済産業省が発表した「キャッシュレス・ビジョン」をもとにキャッシュレス化が推進されており、2023年4月時点で日本のキャッシュレス比率は36％まで上昇したと発表されました。(詳しくは、こちらの記事をご覧ください。)

日本のクレジットカード不正利用被害額を見てみましょう。(図1)
ひとまとめにクレジットカード不正利用被害と言っても、対面利用と非対面(EC)利用での被害ではその様相が異なります。

日本クレジット協会の統計によると、対面利用不正で使用される「偽造カード」とその他不正利用被害額は、2010年代後半に比べ縮小傾向にある(図1の灰色部分)一方、非対面利用を中心とする「番号盗用被害額」は2021年に約311億円、2022年は約411億円、2023年は約504億円と、ここ数年は毎年右肩上がりで急増しています。(図1の青色部分)

参考までに比較対象として記載していますが、高齢者を襲うなど悪質な犯罪行為が報道されている特殊詐欺の被害額は2022年に約371億円、2023年に約441億円でした。(図1の緑折れ線)クレジットカードの不正利用被害額は、直近数年で特殊詐欺の被害額を上回るほどまでに拡大しているのです。

※下記のデータをもとに著者らが作成
番号盗用被害額・偽造カードとその他不正利用被害額：日本クレジット協会「クレジットカード不正利用被害の発生状況」(2024年3月)
https://www.j-credit.or.jp/information/statistics/download/toukei_03_g.pdf
特殊詐欺被害額：警察庁「令和5年における特殊詐欺の認知・検挙状況等について(暫定値版)」
https://www.npa.go.jp/bureau/criminal/souni/tokusyusagi/hurikomesagi_toukei2023.pdf

日本国内でクレジットカードの不正利用被害が拡大している状況は、海外と比較した際にどう見えてくるのでしょうか。日本とイギリス、ユーロ圏*それぞれのカード取扱高に占める不正利用被害の割合で比較したいと思います。以下のグラフは、イギリス、ユーロ圏、日本で、それぞれが公開しているデータをもとに、クレジットカード取扱高に締める不正利用被額割合を独自に算出して対比したものです。(図2)
*SEPA(単一ユーロ決済圏)で発行されたカードの不正利用被害額

2016年時点で、日本の不正利用被害額割合は、イギリスとユーロ圏よりも低かったのですが、2020年以降、日本の不正利用被害額割合は右肩上がりで上昇増加し、ユーロ圏を追い越し、イギリスにも追いつく勢いでです。(2022年のユーロ圏データは2024年4月時点で入手不可能)

※下記のデータをもとに著者らが作成
イギリス：UK Finance “Fraud -the facts” 2017-2021, “Annual Fraud Report”2022,2023記載のFraud to turnover ratioにRemote Purchase(CNP)の割合を乗じて算出
ユーロ圏：EBA "Report on card fraud in 2020 and 2021"(2023年5月)に記載のvalue of fraud as a share of the value of transactionsにCNPの割合を乗じて算出
日本：日本クレジット協会「クレジットカード不正利用被害の発生状況」(2023年12月)、「日本のクレジット統計2017～2022年版　番号盗用被害額をクレジットカードショッピング信用供与額で除して算出

国を挙げてキャッシュレス化を推進するなか、クレジットカード決済をより安全なものにするために、クレジットカード決済に関わるプレイヤーが不正対策に取り組むことが必要であり、実際にさまざまな取り組みが進んでいます。
図2で示したように、不正利用被害割合が減少しているイギリスやユーロ圏ではどのような対策がとられているのかについてもご紹介します。

前述のとおり、増大しているクレジットカードの不正利用被害に対して、カード発行会社(イシュアー)が中心となって、不正リスクが高いと判断した取引を拒否したり、カード利用者に対して確認を求めたりするなどの取り組みを進めています。

具体的には、決済時のEMV 3-Dセキュアによるリスクベース認証や、オーソリゼーション時(カード会社に取引に応じてよいか事前承認を行う時)のAIを活用した不正検知など新たなスキーム・テクノロジーの導入が進んでいます。また、テクノロジーでは判断が難しい取引についてはカード会社スタッフの目視によって取引の安全性を確認している場合もあります。

読者の皆さんにも、利用しているクレジットカード会社からEMV 3-Dセキュアへの登録を促す連絡が来ていないでしょうか。

EMV 3-Dセキュアとは、EC取引の決済時にクレジットカード発行会社が取引の不正リスクを判定し、リスクに応じて取引の制限を行う仕組みです。高リスクと判断した場合には、取引を拒否し、中リスクと判断した場合にはカード利用者に対してパスワード入力やワンタイムパスワードの入力を求め、追加でカード利用者の認証を行うことができます。

この取り組みでは、クレジットカード利用時にEC加盟店が利用者情報や加盟店情報をクレジットカード発行会社に対して送ることで、クレジットカード発行会社のリスク判定精度を高めることができます。疑いのある取引の検知による追加認証だけでなく、安全な取引と判断された場合は、追加認証が求められないシームレスな決済(購入ボタンを押すとそのまま決済が完了)を実現することができるのです。

経済産業省や、業界関係者が参加するクレジット取引セキュリティ対策協議会(事務局:日本クレジット協会)では、クレジットカード発行会社による取引の認証の精度を上げ、不正利用を防ぐための手段としてEMV 3-Dセキュアによる本人認証の導入について検討しています。

日本のクレジットカードに関する法律は、経済産業省が所管する割賦販売法によって規定されています。そのなかで利用者の確認はクレジットカード発行会社(イシュアー)が行うと記載があり、クレジットカード発行会社での認証が義務付けられています。経済産業省は、「クレジットカード・セキュリティ官民対策会議」を2024年4月に開催し、2024年度末をめどに原則全てのEC加盟店でのEMV 3-Dセキュアの導入を進めると報告書を公表しています。

第1回 クレジットカード・セキュリティ官民対策会議　2024年4月9日
https://www.meti.go.jp/shingikai/mono_info_service/credit_card_security/pdf/001_02_00.pdf

クレジット取引セキュリティ対策協議会は、割賦販売法に規定するセキュリティ対策義務の「実務上の指針」とされるクレジットカード・セキュリティガイドラインを改訂し、そのなかで、クレジットカードの本人認証のための有効な手段としてEMV 3-Dセキュアを記載しています。カード会社には、「リスクベース認証の精度向上やワンタイムパスワードの対応」、EC加盟店には、「EMV 3-Dセキュア導入」をそれぞれ求めています。

ワンタイムパスワードはSMSやe-mailなどで通常送信されますが、カード会社がワンタイムパスワードを送信するために、利用者はカード会社のアプリでEMV 3-Dセキュアを登録することが必要となります。

このようにEMV 3-Dセキュアは、カード発行会社のみならず、EC加盟店によるEMV 3-Dセキュアの導入からカード発行会社がリスク判定を行うための情報(利用者情報や加盟店情報)の共有や、カード利用者の会員登録の協力が必要不可欠です。

従来から取り組んでいるオーソリゼーション時の不正検知システムについて、AIやビッグデータを活用して不正検知の精度を向上させる取り組みを行っているカード発行会社の事例を紹介します。

三菱UFJニコスでは、従来のルールベースの不正検知システムに加えて、2023年2月からAIの導入を決定し(※1)、による取引のスコアリングを実施しています(※2)。同社では、「オーソリセンター(加盟店からの販売承認や会員からのカード喪失を受け付ける現場)のモニタリングチームで1日約数十名のスタッフが、24時間365日、交替でカード取引をモニタリング」(※2)していました。AIのソリューションを導入することで、現場の負担を減らすことも可能となります。

※1三菱UFJニコス、クレジットカード不正使用検知システムにAI導入2023年2月8日　

※2三菱UFJニコスがクレジットカードの不正使用検知にAIを導入　～「人的ノウハウ・知見×AI」で業界最高水準の不正抑止精度に！
　
ここまでは日本国内での不正対策に関して説明してきましたが、ここでEUやイギリスでの不正対策の事例を紹介します。

EUとイギリスでは、PSD2(決済サービス指令第2版)が2019年に施行されました。PSD2では、不正利用を抑止するための技術仕様SCA(strong customer authentication)を公表し、EMV 3-Dセキュアを活用したユーザー認証を行うことを義務化しております。

Regulatory Technical Standards on strong customer authentication and secure communication under PSD2　2022年4月5日(最新更新日)
https://www.eba.europa.eu/legacy/regulation-and-policy/regulatory-activities/payment-services-and-electronic-money-0　

EUやイギリスにおいても、日本と同様にECでの不正利用が増加している状況であったため、SCAのなかで2要素を使った認証を義務付けました。上述したEMV-3Dセキュアを活用し、「中リスク」となった取引においては、ユーザーの「知識、固有、生体」の要素のうち2つを活用して強固なユーザーの本人認証をする仕組みとなっています。

EUやイギリスでは、国によって「知識」、「所有」、「固有(生体)」の要素として認められる項目が異なりますが、一般的な要素の例を紹介します。

「知識」：ユーザーのみが知っている情報
例：パスワード、PIN　等

「所有」：ユーザーのみが所有しているモノ
例：スマホのデバイス、スマホのSMS認証やアプリ認証　等

「固有(生体)」：ユーザーの一部
指紋認証、顔認証、キーストローク　等

カード発行会社はこれらの要素から2つを利用した認証を消費者の取引が怪しいと判断された場合に求めています。固定パスワードを打ち込む煩雑さを解消するために、「①指紋認証(固有の要素)でアプリにログインし、②アプリ上で承認(所有の要素)」といったスムーズな認証を提供し安心・安全かつ便利なECでの買い物を提供しています。

先に示したユーロ圏やイギリスでのここ近年での不正被害割合の減少は、このSCAの効果となります。
また、ユーロ圏では、欧州委員会によりPSD3(決済サービス指令第3版)の案(※3)が公表され、不正利用対策を担保しつつ、消費者の利便性も考えた新たなEC決済でのルールが2025年末〜2026年を目途に施行されることを予定しています。
※3　Payment services: revised rules to improve consumer protection and competition in electronic payments
https://ec.europa.eu/commission/presscorner/detail/en/qanda_23_3544

不正の手口は高度化しており、これまでの金融機関だけの取り組みでは防ぎきることができなくなってきています。EMV 3-Dセキュアは、加盟店から取引情報や取引を行う顧客の情報(IPアドレスなど)を共有することが可能となっており、カード発行会社は加盟店からの情報を分析しリスクに応じた判定することが求められます。クレジットカード利用者もカード発行会社からワンタイムパスワードを送信するためにEMV 3-Dセキュアの登録をすることが必要となります。

現在、クレジットカードの不正被害が起こった際は、クレジットカード会社または加盟店が負担する仕組みとなっているためクレジットカード利用者は金銭的に不正被害を受ける機会は少ないものと考えられますが、そもそもの不正取引を抑え、より安心・安全なEC取引を実現するためには、クレジットカード利用者の協力が不可欠になります。

今回のEMV 3-Dセキュアの義務化を起点にカード利用者にもクレジットカードの不正利用について認知して安全な利用に留意してもらうきっかけとなることを期待しています。

少しクレジットカードの話からは逸れてしまいますが、イギリスで不正利用対策に関する興味深い対策があるためご紹介します。

イギリスではもともとデビットカードが主流でしたが、銀行間での即時送金システム(Faster Payments)の取扱高が増加しており、2022年にFaster Payments経由で処理されたリモート・バンキングの決済件数は、前年比17％増の43億件に達しました。

決済件数の増加に伴い、Faster Paymentsでの不正利用被害も同時に増加しています。この不正利用は、APP Scam(詐欺)と呼ばれています。顧客が(主にオンラインで)自ら承認して送金してしまう(APP=Authorised Push Payment)詐欺のことであり、ロマンス詐欺や投資詐欺、偽加盟店詐欺等多様な種類があります。

APP詐欺被害額は、2022年に485.2百万ポンドであり、同年のカード不正利用被害額の395.7百万ポンドよりも多くなっています。この被害金額からも金融機関の即時送金システムであるFaster Paymentsを利用した、APP詐欺の被害の大きさが理解いただけると思います。

この状況のなか、イギリスの決済システム規制当局(PSR：Payment Systems Regulator)によって、消費者保護や不正抑止の観点から「銀行へ風評上のインセンティブを与えること」を目的として、各銀行のAPP詐欺に関するデータ(2022年版)が公開されました。

公開の対象となった銀行は、イギリスで最大手とされる金融機関14行と不正送金の受領が多い中小金融機関9行、合わせて23行です。最大手の金融機関のみでイギリスのFaster Paymentsの95％の金額と件数を占めていますが、最大手14行以外にも多くの金融機関が存在するため、事業規模に対して不釣り合いなほど多くの不正送金を受領している中小金融機関 9行のデータも対象となりました。

公開されたデータの内容は、被害者への返金状況や、APP詐欺の結果として各決済会社から送金された金額、APP詐欺の結果として各決済会社が受け取った(犯罪による資金を受け取った)金額等です。データ公開により、消費者は他の銀行との比較が可能になり、銀行の対策がどれだけうまく機能したか、昨年被害者への対応を確認することができます。

PSRは不正利用被害割合の公表と並行して、消費者がより不正行為を報告しやすくなる仕組みとして、銀行が被害の報告から5営業日以内に払い戻しを行うことや、脆弱な顧客へ追加の保護を提供すること*などを検討しています。

消費者が不正送金を銀行に報告しやすくなることにより銀行側もデータを得て、規制当局に報告し、データを活用して不正対策ができるようになるという好循環が作られています。

*脆弱な顧客には、顧客の注意基準(重過失)を適用してはならず、また追加手数料を請求してはならない

イギリスの決済システム規制当局のレポートは下記からご覧いただけます。
PSR“Authorised push payment (APP) fraud performance report”(2023年10月)
https://www.psr.org.uk/media/ykjf23cs/app-fraud-performance-report-oct-2023_v2.pdf

企業にコンプライアンス遵守が求められる、また「エシカル(倫理的)」な消費を求めるZ世代も存在するなかで、新たな不正利用被害割合とそれに対する対応する指標が、銀行(カード会社)を選ぶ基準になっていく先行事例になりうるかもしれません。

この記事では、日本や海外でのクレジットカード不正利用被害の実態を報告し、その技術的な対策であるEMV 3-Dセキュアの内容とユーザー認証の要素などを説明しました。

イギリスでは不正送金に対する社会的な対策として、一部の金融機関のAPP詐欺の被害者への返金状況や、APP詐欺により授受した金額等を公表しています。これは、こうした問題に積極的に取り組むインセンティブを金融機関に与える新たな取り組みと言えます。

日本では、カード会社、EC加盟店、カード利用者を巻き込んで今後不正利用対策がとられていきます。各国でさまざまな方針・対策がとられているなか、日本のクレジットカードの不正対策も今後新たなものが導入されていくでしょう。クレジットカードをはじめとするオンライン決済の不正利用の対策に協力するクレジットカードの利用者としても、注目していく必要があると考えます。

この記事を書いた方

鈴木 良典 (すずき よしのり) さん
株式会社NTTデータ経営研究所　クロスインダストリーファイナンスコンサルティングユニット　シニアコンサルタント

国内金融機関や海外の投資会社での経験から、決済を中心に国内外の知見を活用し幅広いコンサルティングを提供する。
決済・クレジットカード分野を中心に、官公庁の政策立案に関する調査事業や業界団体支援に従事している。



髙山 咲希 (たかやま さき) さん
株式会社NTTデータ経営研究所　クロスインダストリーファイナンスコンサルティングユニット　コンサルタント

事業会社(クレジットカード会社)の経験から、実務と調査・コンサルティングをベースにしたクレジットカード・セキュリティ分野の知見を有する。
決済・クレジットカード分野を中心に、官公庁の政策立案に関する調査事業や業界団体支援、事業会社における新サービス開発戦略などの策定支援に従事している。