犯罪者がクレジットカードスキマーを悪用する7つの手口と見分け方

ATMやガソリンスタンドで、何も考えずにクレジットカードを挿入していませんか?クレジットカード番号の多くはデータ漏洩によって盗まれていますが、かなりの数が「スキミング」と呼ばれる悪質な手法によって盗まれています。これは「クレジットカードスキマー」と呼ばれる装置を使って行われるものです。

この記事では、クレジットカードスキマーとは何か、犯罪者がどのようにスキマーを悪用するのかを解説します。さらに、スキミング装置の見分け方もご紹介し、大切なカード情報の漏洩を防ぐための対策をお伝えします。

クレジットカードスキマーとは?

クレジットカードスキマーは、ハッカーがカードリーダーに取り付ける小型の装置です。最も多く見られるのは、ATMやガソリンスタンドの給油機です。

スキマーにはさまざまな形状・サイズがあり、仕組みの複雑さも千差万別ですが、その主な目的は共通しています。それはカード情報を「すくい取る(スキム)」ことで、不正利用のために情報を盗み出すことです。

犯罪者がカードスキマーを使う7つの手口

スキミングは、犯罪者がカードリーダーにスキマーを設置することで発生します。スキマーの目的は、カードの読み取りプロセスを乗っ取り、取得したデータをハッカーへ送信することです。スキミング装置は非常に小さいため、被害者が気づくことはほとんどありません。

以下に、犯罪者がクレジットカードスキマーを悪用する7つの手口をご紹介します。

1. カード挿入口の延長

カード挿入口を延長するスキミング攻撃は、犯罪者の間で最も広く使われている古典的な手法です。

犯罪者はATM、POS端末、公共の券売機、ガソリンスタンドの給油機などに物理的にスキマーを取り付け、カード挿入口を延長しながら、あたかも元のデザインの一部であるかのように見せかけます。被害者がカードを挿入すると、ハッカーが追加した延長部分がカード情報を読み取ります。

2. 隠しカメラの設置

隠しカメラは、カードスキマーとセットで使われることが多い手法です。データ窃盗犯は、ATMや給油機の周囲に目立たない超小型カメラを設置し、スキミング装置で盗んだカード番号と組み合わせるPIN(暗証番号)を盗み見ます。

3. 3Dプリント製キーボードの使用

技術に精通した一部の犯罪者は、3Dプリンターを活用してカスタムメイドのスキマーを作成しています。

具体的には、3Dプリントで作った偽のキーボードを、ATMや券売機の本物のキーパッドの上に重ねて設置し、入力されたPINを記録します。

4. POSマルウェアの注入

POS(Point-of-Sale)マルウェア、別名RAMスクレイピングは、犯罪者がカードリーダーや給油機にインストールする悪意あるソフトウェアです。この特殊なマルウェアは、端末を動かすOSなどのソフトウェアそのものを標的とします。

この種のマルウェアは、史上最大級のデータ窃盗事件の原因ともなりました。米国の大手小売店Target(ターゲット)やHome Depot(ホーム・デポ)では、数千万枚規模のカード情報が盗まれた実例があります。

5. シマー(Shimmer)の設置

セキュアチップ搭載カードの登場により、カード利用者はデータ窃盗犯から一安心できると思われていました。しかし残念ながら、犯罪者は「シミング(shimming)」と呼ばれる手法で、チップをも標的にする方法を編み出してしまいました。

シマーはその名の通り「シム(薄板)」のように機能し、読み取り装置とカードのチップの間に潜み込みます。シマーは紙のように薄く、読み取り機の内部に完全に隠れるため、従来のスキマーよりも発見がはるかに困難です。

6. RFIDスキャナー

非接触型決済カードには、無線周波数識別(RFID)タグが搭載されており、ハッカーは離れた場所からスキャンすることが可能です。この技術はもともと建物の入退室管理や交通系カード向けでしたが、現在ではクレジットカードやデビットカードにも急速に普及しています。

犯罪者はRFIDスキャナーを使えば、被害者のそばを通り過ぎるだけで、ポケットに入ったままのカード情報を簡単に読み取れてしまいます。

7. MagecartによるECサイト攻撃

多くのPOSベンダーは、カードリーダーと決済プロセッサー間の接続を保護するため、ポイント・トゥ・ポイント暗号化(P2PE)の導入を進めています。しかし皮肉なことに、これにより多くのデータ窃盗犯は、ECサイトの決済プロセスを標的とするウェブ型のカードスキマーへと手法を移行させました。

この攻撃は一般に「Magecart」または「フォームジャッキング(Formjacking)」攻撃として知られています。犯罪者はオンラインショップに悪意のあるJavaScriptを注入し、ユーザーが決済画面でカード情報を入力した瞬間にそれを盗み取ります。

悪意のあるスクリプトは、データが暗号化された通信路を通じて決済プロセッサーに届く前に、トランザクションの初期段階で注入されます。このセキュリティ上の隙間により、ハッカーはカード情報がサイトのデータベースに安全に保存される前に盗み出せるのです。

現在までに、Magecart攻撃はブリティッシュ・エアウェイズ、メイシーズ(Macy's)、NewEgg、チケットマスター(Ticketmaster)といった有名ブランドを含む、数千のウェブサイトに被害を及ぼしています。

クレジットカードスキマーの見分け方

カードスキマーで最も厄介なのは、取り付けられた機器本来の外観に溶け込むように作られているため、発見が非常に難しい点です。

巧妙に隠されたスキマーを見抜くのは容易ではありませんが、不可能ではありません。以下のサインに注意すれば、スキマーの存在に気づける可能性が高まります。

• 近くにある他の給油機やATMのカードリーダーと見た目が異なる
• カードリーダーが大きく不格好に見える。標準的な読み取り装置の上にスキマーが被せられている兆候
• カードリーダーがぐらついたり緩んでいたりする。スキマーが取り付けられている可能性大
• レシートプリンターとカードリーダーの色が一致していない
• 多くのガソリンスタンドでは、給油機のドアにシリアル番号入りのセキュリティステッカーが貼られている。封印が破られていたら、内部スキマーを設置するために開けられた疑いがある
• PINパッドが通常より厚く感じる。犯罪者が本物のキーパッドの上に偽の3Dプリント製キーパッドを重ねているケースがあるため、キーが押しにくいと感じたら要注意
• カード挿入口の奥をよく確認する。中に異物が見えたら、スキマーが仕掛けられているサイン

ATMや給油機だけでなく、駐車メーター、券売機、スーパーのPOS端末などでカードを使う際にも、常に警戒心を持つことが大切です。

スキミングに対する最初の防御線

注意深さこそが、クレジットカードスキミングに対する最初の防御線です。高速で便利なカードリーダーにカードを挿入・スワイプ・タップするときは、常に細心の注意を払いましょう。

幸い、カードを使う場面で十分に注意を払うこと、視認性の高い給油機を選ぶこと、利用明細を定期的にチェックすること、取引通知アラートを設定すること、そして不審な取引に気づいたら速やかにカード会社や警察へ通報すること——こうした習慣の積み重ねが、長期的にはカード盗難からあなたを守ってくれます。

クレジットカードスキマーへの対策においては、「1オンスの用心は1ポンドの治療に勝る」という格言がまさに当てはまるのです。