クレジットカード情報はどうやって盗まれる?最新の3大手口と自分を守る対策を徹底解説

大手企業でのクレジットカード不正利用のニュースを目にしても、「自分には関係ない」と流してしまう人は多いのではないでしょうか。しかし、ニュースにならない小規模な情報漏えい事件は、実は日常的に頻発しています。

ソーシャルエンジニアリング攻撃への警戒心が高まった昨今でも、犯罪者たちは新たな手口でクレジットカード情報を盗み続けています。ここでは、現在最も一般的なクレジットカード番号の盗難手口を3つ紹介します。

1. カード複製(クローニング)

他人のお金を不正に使う方法として、複製カード(クローンカード)の作成は最も簡単な手段です。犯人に必要なのは、あなたのクレジットカードに一瞬だけ触れる機会(多くの場合数十秒程度)だけで、その情報を別のプリペイドカードに書き込むだけです。複製されたカードはダークウェブ上で売買され、支払いには主に暗号資産(仮想通貨)が使われます。こうした盗まれたカードの中には、本物と見分けがつかないほど精巧に作られたものもあり、その再現度は驚くほどです。

注意:オンラインで複製クレジットカードを購入することは重大なサイバー犯罪です。以下の画像は情報提供のみを目的としたものであり、オニオンアドレスや名称は非表示にしています。

カード複製は主に組織的犯罪者が関与する手口です。たった一人のカード情報のために手間をかけても割に合わないためです。この「事業」が成り立つのは、十分な数の被害者が確保され、カード情報を大幅なディスカウント価格で売却できる場合だけです。ほとんどの犯罪者はこうした「店」から複数枚のカードを買い集め、一部が利用停止になっても困らないようにしています。

予防策:カード複製を防ぐには、緊急時以外はクレジットカードを他人に渡さないことです。近年はテーブル型決済端末を導入しているレストラン、クラブ、バーも増えています。また、暗証番号(PIN)を頻繁に変更し、スマートフォンの通知機能で心当たりのない小額の出費にも目を光らせましょう。多くの犯罪者は、高額購入が通るか確認するために、まず複製カードで少額の支払いを試します。これにより、少なくとも短時間ではありますが、問題に対処する猶予を得られます。

2. カードスキミング

カード複製に匹敵する手口として、ATMスキミングはクレジットカードやデビットカードの情報を盗む最も一般的な方法の一つです。従来は磁気ストライプ式カードが主な標的でしたが、実際の事例では、犯人がスキマー装置に小型カメラを取り付け、入力された暗証番号まで盗み取っていたことも判明しています。

スキマーは不審な店舗のPOS端末(販売時点情報管理端末)に仕込まれることもあり、肉眼ではほぼ見分けることができません。警察当局もこの手口を使う犯罪者を監視していますが、それでもスキミングは今なお広く使われる情報窃取手法です。特に、こうした犯罪を警察が黙認する国へ旅行する際は、より高い警戒が必要です。

予防策:スキミング対策としては、不正な装置を検知できるモバイルアプリを活用するのも有効です。ただし、最も確実なのは、明細をこまめに確認して不正な取引を見逃さないことと、暗証番号を定期的に変更することです。

3. フォームジャッキング(Formjacking)

ATMスキミングのデジタル版とも言える「フォームジャッキング」は、シマンテック(Symantec)が名付けた用語で、ハッカーがWebサイトの決済ページからクレジットカード情報を盗み出す手口を指します。通常、悪意のあるスクリプト(多くの場合JavaScriptコード)をサイトに仕込み、訪問者が入力したカード番号を密かに抜き取ります。類似の用語として「クリプトジャッキング」があり、こちらは暗号資産関連の情報を窃取する行為を指します。

フォームジャッキングは2019年に深刻な脅威となり、ブリティッシュ・エアウェイズ、チケットマスター(Ticketmaster)、ホーム・デポ(Home Depot)、ターゲット(Target)、Feedifyといった大手企業・サイトでも侵害事例が相次いで報告されました。

予防策:フォームジャッキング攻撃の大半は悪意のあるスクリプトによるもののため、決済画面でスクリプトブロッカーによって遮断することが重要です。Firefoxユーザーであれば「NoScript」などの拡張機能が役立ちます。

まとめ

見知らぬアプリやWebサイトにクレジットカード番号を入力する前に、立ち止まって考える人はどれほどいるでしょうか。銀行の暗号化技術やワンタイムパスワードが自分の金融情報を守ってくれていると思っているなら、それは半分正解です。確かに、2004年頃と比べれば、今日オンラインでクレジットカードを使う方がはるかに安全になっています。しかし、脅威が完全に消えたわけではありません。

クレジットカード盗難を防ぐために、あなたはどんな対策を実践していますか?ぜひコメント欄でお聞かせください。