スターバックスのハッキング事件後、ポイントカードは捨てるべき？

先月、スターバックスのロイヤルティカード（ポイントカード）にセキュリティ脆弱性が存在するというニュースが世界中で報じられました。この脆弱性を発見・実証したのは、ペネトレーションテスト（侵入テスト）、ソースコード監査、脆弱性評価を手がけるセキュリティ企業「Sakurity」に所属するハッカー、エゴール・ホマコフ氏です。

この抜け穴により、ホマコフ氏はスターバックスのギフトカードの残高を複製することに成功し、そのカードを店舗で何の疑いも持たれることなく使用できたといいます。しかも、スターバックス側には一切警告が届きませんでした。

このニュースが大きな話題となったのは、脆弱性の存在そのものだけでなく、スターバックスの対応のまずさにもあります。同社はホマコフ氏に感謝を示すどころか、彼の行為を「不正行為」や「悪意ある行動」と表現したのです。

スターバックスの広報対応の失敗は表面的には笑い話ですが、消費者としては真剣に考えるべき重大な問題です。

問題はどこまで広がっているのか？

犯罪者たちがより巧妙な手口でデータを奪い、価値のあるものを手に入れようとしている今、ロイヤルティカードやギフトカードは新たな攻撃対象になりつつあります。

昨年末には、アメリカン航空とユナイテッド航空が同様のハッキング被害に遭い、1万人以上の利用者のマイレージが盗まれました。犯人は盗んだマイルで自分のフライトをアップグレードしたり、無料の旅行を予約したりしました。さらに、複数のサイトで同じパスワードを使い回していた利用者の場合、他のサービスへの不正アクセスまで許してしまう結果となりました。

スターバックス自身も過去に標的とされています。ホマコフ氏による「無料コーヒー」ハック以外にも、犯罪者が消費者のポイントアカウントを乗っ取り、残高を空にした上で自動チャージ機能を悪用し、紐づいたデビットカードやクレジットカードの情報を盗み出す事例が多発しています。

Gartnerのセキュリティアナリスト、アビバ・リタン氏は、この一連の手口は新たなトレンドの一部だと指摘します。「詐欺は銀行から大手EC企業へと移りつつあります。犯罪者は、ポイントプログラムやプリペイドカードを現金化する方法を学びつつあるのです」

なぜポイントカードは脆弱なのか？

スターバックスのような企業のシステムやセキュリティ対策は、銀行やクレジットカード会社などの金融機関と比べると、はるかにハッキングされやすいのが実情です。

リタン氏は、銀行と小売店の不正検知ソフトウェアを例に挙げます。こうしたソフトウェアは通常、不審な購買パターン（海外での高額購入など）を検出できますが、ギフトカードの自動チャージではそのような警報は作動しないのです。

犯罪者にとって、これはまさに潜在的金脈です。スターバックスのモバイル決済システムは1,600万人以上のユーザーを抱え、昨年だけで20億ドルを超えるモバイル取引を処理しています。

犯罪者はなぜポイントカードを狙うのか？

自動チャージ機能付きのカードや、デビットカード・クレジットカードと直接紐づいているカードが犯罪者にとって魅力的なのは容易に想像できます。スターバックスのカードのように、金銭的利益のために簡単に悪用できるからです。では、単なるポイントの場合はどうでしょうか？

犯罪者がポイントカードを狙う最大の理由は、消費者の個人情報です。

実は、個人情報はクレジットカード情報よりも犯罪者にとって価値が高いのです。ハッキング被害を受けた企業はすぐに「個人情報は盗まれていない」と顧客を安心させようとしますが、実際にはそれは誤った安心感にすぎません。

ハッカーがクレジットカード情報を入手しても、できるのはオンラインショッピングへの悪用や他の犯罪者への転売程度です。しかし、氏名、住所、生年月日などの公式情報を手に入れれば、オンライン詐欺を働き、被害者の名義でクレジットカード、ローン、携帯電話契約、さらには住宅ローンを申し込むことが可能になります。最終的には、本人確認が必要なあらゆることが行えてしまうのです。

心配すべきなのか？

短く答えるなら「イエス」です。だからこそ、スターバックスのホマコフ氏への冷淡な対応が懸念されたのです。同社はもっと深刻に受け止め、顧客保護に対してより高い警戒心を持つべきでした。

もちろん、パスワードを使い分ける、公共ネットワークでのアクセスに注意する、信頼できるウイルス対策ソフトを導入するといった基本的なセキュリティ対策は重要ですが、それだけでは不十分です。

個人情報が盗まれるかどうかを自力でコントロールするのは極めて困難で、万一看破られた場合に被害を最小限にとどめるのはほぼ不可能です。人はクレジットカードを解約するように簡単には、名前や住所、社会保障番号を変更できないからです。

ポイントカードはリスクに見合う価値があるのか？

リスクとリターンを天秤にかけると、すべてのポイントカードを手放すべきだという主張も成り立ちます。

ポイント制度は運営企業にとって非常に価値があります。顧客の購買習慣データを収集でき、顧客維持に役立ち、ブランド支持者を育成し、宣伝・広告コストの削減にもつながるからです。

一方で、消費者にとってはもはやお得ではないことを示す調査結果が増えています。英国のコスタコーヒーでは、無料コーヒーに必要な195ポイントを獲得するために39杯のアメリカーノを購入しなければなりません。つまり、わずか1.95ポンド（約3ドル強）を節約するために76.05ポンド（100ドル超）を支出する計算になるのです。

これは1杯あたり5ペンスの節約に相当します。経済的に賢明な消費者であれば、近隣のコーヒーショップで1.90ポンド未満のコーヒーを売っている店を探す方がよほど合理的でしょう。

最終的に自問すべきは次の2つの問いです。「5ペンスの節約のために、自分の個人情報、メールアドレス、クレジットカード番号を差し出す価値があるか？」そして、「これほど小さなリターンのために、拡大し続けるサイバー犯罪や詐欺のリスクに身を晒し（さらに自分の買い物の嗜好データをすべて企業に提供して）意味があるか？」

答えは「ノー」であるべきです。

あなたはポイントカードを使っていますか？

ポイントカードに関するあなたの体験談をぜひお聞かせください。金銭的な被害に遭ったことはありますか？それとも逆に、大きな節約を実現していますか？

ご意見やフィードバックは、下のコメント欄からお寄せください。