クレカ不正利用急増、「2段階方式攻撃」とは何か、浮き彫りになった構造的課題
クレジットカード不正利用の背景には、フィッシングの拡大、認証情報の窃取、外部委託先を含む管理体制の格差、利用者が正規の連絡と詐欺を区別しにくくなっているという複合的な問題がある。
現状（2026年10月時点）
2026年10月時点の日本では、クレジットカードの不正利用とフィッシング詐欺が、依然として重要なサイバーセキュリティ上の課題となっている。特に注目すべきなのは、攻撃者が消費者に直接接触するだけでなく、消費者が日常的に利用する企業や予約サービスの信頼関係を悪用し、正規の連絡であるかのように装って金銭やカード情報を詐取する手口が確認されている点である。
一般社団法人日本クレジット協会によると、国内発行カードの不正利用被害額は2024年に555.0億円に達し、過去最多を記録した。2025年は510.5億円と前年を下回ったものの、依然として500億円を超える高水準にあり、被害が解消されたとはいえない。
また、フィッシング対策協議会の集計では、2025年のフィッシング報告件数は2,454,297件となり、2024年の約1.43倍に増加した。報告件数は実際の被害者数や金銭被害額そのものではないが、偽の連絡や偽サイトを利用する攻撃が広範囲に展開されていることを示す重要な指標である。
2026年には、旅行予約をめぐる不審なメッセージについて、観光庁や旅行関連事業者が相次いで注意喚起を行っている。10月13日には、宿泊施設が利用する外部の予約管理システムへの不正アクセスに関連し、宿泊施設を装ったメッセージが送信されるおそれについて、旅行関連事業者が公表した。
こうした事例が示すのは、犯罪者がカード番号を直接盗むだけではなく、予約情報や事業者の管理環境を悪用し、消費者自身にカード情報を入力させる方向へ攻撃を発展させていることである。したがって、被害を理解するには、カード決済の安全性だけでなく、予約管理システム、事業者の認証情報、顧客との連絡経路を含めた全体像を分析する必要がある。
「2段階方式攻撃」とは何か：そのメカニズム
本稿でいう「2段階方式攻撃」とは、攻撃者が最初に企業やサービス事業者の管理環境へ侵入し、次に、その事業者を信頼している顧客へ接触して金銭や情報を詐取する一連の攻撃を指す。特徴は、システムへの侵入と消費者への詐欺が別々の行為でありながら、前段階で得た情報や権限が後段階の詐欺の成功率を高める点にある。
第1段階では、宿泊施設や予約管理サービスなどの管理環境が攻撃対象となる。攻撃者が従業員の認証情報を盗んだり、端末を不正プログラムに感染させたりして管理画面へ侵入すると、予約情報の閲覧、顧客への連絡、決済案内の変更などが可能になる場合がある。
第2段階では、攻撃者が正規の予約や顧客情報を利用し、予約確認や支払い手続きに見せかけたメッセージを送信する。顧客は自分が実際に予約した施設に関連する連絡だと考え、偽サイトへ誘導されてカード番号、有効期限、セキュリティコードなどを入力してしまう。
この手口の本質は、単純な偽メールの送信ではなく、正規の事業者に対する信頼を詐欺の材料へ転換することにある。攻撃者が実際の予約情報や宿泊施設の名称を把握していれば、メッセージの内容は具体性を帯び、一般的な迷惑メールよりも見分けにくくなる。
ただし、すべての事例で攻撃者が予約管理システムそのものを侵害しているとは限らない。従業員の端末の乗っ取り、盗まれた認証情報の悪用、外部委託先への侵入など、複数の経路が考えられるため、個々の事件について公表された事実と推定を区別することが不可欠である。
第1段階：事業者・管理システムの乗っ取り（サプライチェーン攻撃）
攻撃者が狙うのは、必ずしも大規模な企業やカード会社だけではない。宿泊施設、旅行予約サービス、予約管理システムの提供事業者など、顧客情報を保有し、顧客との連絡手段を持つ事業者も標的となり得る。
とりわけ、複数の宿泊施設が共通の予約管理サービスを利用している場合、管理環境の侵害が複数の施設や顧客に影響する可能性がある。攻撃者にとっては、顧客一人ひとりを無差別に狙うよりも、顧客との信頼関係をすでに持つ事業者の環境を悪用する方が、効率的な攻撃経路となり得る。
ここで重要なのが、サプライチェーン攻撃という考え方である。これは、標的企業を直接攻撃するだけでなく、その企業が利用する取引先、委託先、外部サービス、管理ツールなどを侵入口として利用する攻撃を指す。
ただし、外部サービスを利用していること自体が危険なのではない。問題となるのは、各事業者のセキュリティ対策や監視体制に差があるにもかかわらず、ある事業者の侵害が他の事業者や顧客にまで影響を及ぼす構造である。
侵入手法
侵入の入口として考えられるのは、従業員を狙ったフィッシング、偽の認証画面による認証情報の窃取、端末への不正プログラムの感染、使い回されたパスワードの悪用などである。攻撃者は、システムの脆弱性を直接突く場合だけでなく、利用者の操作や認証管理の隙を利用して正規の権限を取得する場合もある。
2026年3月には、長野県の旅館・ホテル関係団体が、宿泊施設を狙った攻撃について注意喚起を行った。公表された事例では、予約客を装ったメールから偽の認証画面へ誘導し、端末を乗っ取ったうえで宿泊予約サイトの管理画面に侵入し、宿泊代金の振込先を犯罪者側の口座へ変更する手口が紹介されている。
この事例は、カード情報の窃取とは異なるものの、事業者への侵入を起点として、正規の取引に見せかけた金銭被害を発生させる点で、2段階方式攻撃を理解するうえで重要である。攻撃者が管理環境を掌握すれば、顧客への偽の連絡だけでなく、取引情報や支払い手続きそのものを悪用する可能性も生じる。
管理画面の掌握
管理画面は、予約情報、顧客の連絡先、宿泊日程、予約番号など、顧客とのやり取りに必要な情報が集まる場所である。攻撃者が正規の利用者としてログインできる状態になると、外部から送られてきた偽のメッセージであっても、顧客には実際の予約に基づく連絡のように見える可能性がある。
ここで問題となるのは、管理画面への侵入だけではなく、侵入後にどのような操作が行われたかを事業者が把握できるかどうかである。通常と異なる場所や端末からのログイン、顧客情報の大量閲覧、支払い情報の変更、不自然なメッセージ送信などを検知できなければ、侵害の発見が遅れるおそれがある。
また、管理画面の権限が過剰であれば、1つのアカウントが侵害されただけで、情報閲覧から設定変更まで広範囲の操作を許してしまう可能性がある。認証の強化に加え、権限の分離、操作履歴の監視、異常時のアカウント停止などを組み合わせることが、被害の拡大を防ぐうえで重要となる。
第2段階：正規ルートを装ったエンドユーザーへの罠（信頼の悪用）
第1段階で事業者の管理環境や認証情報が侵害されると、攻撃者はそこで得た情報を利用し、顧客に対する詐欺を仕掛けることがある。この第2段階では、攻撃者が自らを正規の事業者であるかのように見せかけ、利用者に自発的な操作をさせることで、カード情報や金銭を奪おうとする。
一般的なフィッシング詐欺では、利用者に無関係な銀行や通販会社を装ったメールを送り、偽サイトへ誘導する手口が多い。一方、予約情報などが悪用される攻撃では、実際に利用者が予約した宿泊施設やサービスに関連する連絡が届くため、受信者はメッセージの正当性を疑いにくくなる。
ただし、こうした攻撃が常に事業者の管理システムへの侵入を伴うわけではない。予約情報の流出、従業員の端末の侵害、外部サービスの認証情報の悪用など、複数の経路があり得るため、被害の発生だけから侵入経路を断定することはできない。
信頼の逆用
この攻撃を特徴づけるのは、消費者が本来なら安全性を判断するために利用する「相手への信頼」が、犯罪者によって逆用されることである。利用者は、過去に予約した施設の名称、実際の宿泊日、予約番号などが記載されたメッセージを受け取ると、内容が自分の行動と一致していることを根拠に、正規の連絡だと判断しやすい。
通常、フィッシング詐欺への対策では、送信元のアドレス、文章の不自然さ、リンク先のドメインなどを確認するよう推奨される。しかし、正規の予約情報を利用した攻撃では、文面や状況に不自然さが少なく、受信者が知っている情報と一致するため、従来の判断基準だけでは見抜けない場合がある。
さらに、攻撃者が正規のサービスを通じてメッセージを送信できる状態にある場合、利用者は通知の表示や送信経路を信用してしまう可能性がある。もっとも、正規のサービスから送られたメッセージであっても、すべてのリンク先や支払い要求が安全であるとは限らず、送信経路の信頼性とメッセージ内容の正当性は区別して考える必要がある。
メッセージの送信
攻撃者が利用者に接触する際には、予約の確認、支払い方法の更新、カード情報の再登録、決済エラーへの対応など、利用者が行動を起こしやすい理由が用いられる。とりわけ、宿泊日が近い予約や、期限内の手続きを求める連絡は、利用者に迅速な対応を促すため、詐欺の誘導に悪用されるおそれがある。
メッセージには、実際の予約に関連する情報が含まれることがあり、受信者は自分が行った予約の続きとして手続きを進めてしまう。その結果、利用者は普段なら警戒するような外部サイトへの移動やカード情報の入力を、必要な事務手続きだと誤認する可能性がある。
ここで重要なのは、攻撃者が必ずしも高度な技術を使って偽サイトを作る必要はないという点である。正規の事業者への信頼と、利用者が予約を完了させたいという心理が組み合わされば、比較的単純な偽サイトであっても被害につながり得る。
情報の詐取
誘導先の偽サイトでは、カード番号、有効期限、セキュリティコード、氏名などの入力が求められる場合がある。入力された情報は攻撃者に渡り、カードの不正利用や、別の犯罪に利用される可能性がある。
攻撃者がカード情報だけでなく、認証用の情報や確認コードまで詐取しようとする場合、被害はさらに深刻化する。利用者が正規の本人認証手続きを行っているつもりでも、認証情報を犯罪者に渡してしまえば、不正な決済を成立させるための材料を与えることになりかねない。
ただし、カード情報を入力したことが、直ちに不正決済の成立を意味するわけではない。カード会社の不正検知、本人認証、利用制限などによって決済が阻止される場合もある一方、認証を通過した取引であっても、詐欺によって取得された情報が使われている可能性は残る。
このため、被害防止には、カード情報を入力しないという個人の注意だけでなく、カード会社や決済事業者による異常検知、認証情報の保護、迅速なカード停止といった複数の仕組みが必要となる。
何が起きているのか（被害の実態と背景）
クレジットカードの不正利用被害を考えるうえで重要なのは、被害総額だけでなく、その内訳と発生経路である。日本クレジット協会の公表値によれば、2025年の不正利用被害額は510.5億円で、2024年の555.0億円から8.0％減少したものの、依然として巨額の被害が続いている。
さらに、2025年の被害額のうち、カード番号を盗用した不正利用は475.4億円で、全体の93.1％を占めた。これは、物理的なカードの偽造よりも、インターネット上でカード情報を悪用する犯罪への対策が重要であることを示している。
一方、フィッシング対策協議会が受け付けた2025年のフィッシング報告件数は2,454,297件となり、2024年の約1.43倍に増加した。報告件数とカード不正利用被害額は異なる指標であり、両者の増加を単純な因果関係で結びつけることはできないが、情報を詐取する攻撃が大規模に展開されている状況は読み取れる。
日本クレジットカード協会などが2026年に公表した取り組みでは、2025年のカード不正利用被害の約75％がフィッシングに起因すると推計されている。この数値は業界側による推計であり、すべての事件について個別に原因が確定したことを意味しないものの、カード情報の詐取を防ぐことが不正利用対策の中心課題となっていることを示している。
ただし、2025年の被害額が前年より減少した点も無視できない。業界による認証強化や不正検知、フィッシングサイトの閉鎖などの対策が進んでいる可能性があるため、「不正利用が一方向に増え続けている」と単純化するのではなく、被害額、報告件数、攻撃手法の変化を分けて評価する必要がある。
「不正トラベル」への流用
旅行や宿泊予約を悪用した攻撃は、2段階方式攻撃の構造を理解するうえで重要な事例である。利用者が予約した施設や旅行サービスの情報が犯罪者に渡ると、その情報を使って宿泊施設からの連絡を装い、追加の支払いやカード情報の再入力を求める詐欺が成立しやすくなる。
ここでいう「不正トラベル」は、犯罪者が旅行予約や宿泊施設の連絡経路を悪用する事例を説明するための表現であり、統一された公的な犯罪分類として用いるものではない。具体的には、偽の支払い案内によるカード情報の詐取、予約情報を悪用した詐欺メッセージ、振込先の不正な変更など、複数の異なる手口が含まれ得る。
旅行予約が悪用されやすい背景には、宿泊日や予約番号といった具体的な情報が存在することに加え、利用者が予約の成立や宿泊当日の手続きに不安を抱きやすいことがある。攻撃者は、こうした状況を利用して、支払いの確認や予約の維持に必要な手続きであるかのように装う。
特に、宿泊日が迫っている場合、利用者は予約が取り消されることを避けるため、メッセージの真偽を十分に確認せず、リンクを開いてしまう可能性がある。犯罪者にとっては、利用者に新たな商品を買わせる必要がなく、すでに存在する予約を根拠として行動を促せる点が、詐欺を成立させるうえで有利に働く。
一方で、予約サービスを通じたメッセージが届いたという事実だけで、サービス運営会社や宿泊施設のシステムが侵害されたと断定することはできない。攻撃の経路を特定するには、ログイン履歴、管理画面の操作記録、メッセージ送信履歴、顧客情報へのアクセス状況などを調査する必要がある。
被害者の二重の苦しみ
この種の攻撃では、消費者が金銭的な損失だけでなく、心理的な負担を抱える点にも注意が必要である。利用者は正規の予約先からの連絡だと信じて情報を入力したにもかかわらず、その信頼を悪用されたことで、自分の判断に問題があったのではないかという不安や後悔を抱く場合がある。
さらに、カード会社への連絡、カードの利用停止や再発行、身に覚えのない請求の確認、宿泊施設への問い合わせなど、被害後の対応には時間と労力がかかる。予約の取り消しや支払い状況の確認が必要になれば、旅行そのものへの影響も生じ得る。
ここで重要なのは、被害者が詐欺を見抜けなかったことだけに責任を帰すべきではないという点である。攻撃者が実際の予約情報や正規の連絡経路を悪用している場合、一般の利用者がメッセージの真偽を完全に判断することは難しく、事業者側のセキュリティ対策にも重大な責任がある。
被害者が詐欺の被害に遭った後、周囲から「確認すれば防げたはずだ」と責められることは、被害の申告をためらわせる要因にもなり得る。被害の早期発見と拡大防止のためには、利用者が安心して事実を報告できる窓口を設け、迅速に調査と対応を進める仕組みが求められる。
被害を受ける側から見た問題
消費者にとって最大の問題は、正規の事業者からの連絡と犯罪者による偽の連絡を区別しにくくなっていることである。従来のフィッシング詐欺では、不自然な日本語や身に覚えのない請求が警戒の手掛かりとなったが、実際の予約に関連する情報が含まれていれば、利用者が疑いを持たないまま手続きを進める危険がある。
また、カード情報を入力してしまった場合、被害がすぐに表面化するとは限らない。情報が詐取されてから不正利用が確認されるまでに時間差が生じることもあるため、利用者自身が異常を発見できるよう、利用通知や利用明細の確認が重要になる。
消費者側の対策は不可欠だが、それだけで被害を防ぎ切ることはできない。詐欺の内容が巧妙化し、正規の予約情報や連絡経路まで悪用される状況では、個人の注意力に依存する対策には限界がある。
宿泊施設・事業者
宿泊施設や予約サービスの事業者も、直接的な金銭被害と信用の失墜という2つの問題に直面する。顧客が偽の支払い案内に従ってカード情報を入力した場合、施設側が詐欺に関与していなくても、利用者から問い合わせや苦情を受け、説明や調査に追われることになる。
さらに、予約管理システムの侵害によって顧客情報が悪用された場合、事業者には原因調査、顧客への通知、システムの復旧、再発防止策の実施などが求められる。施設側の管理体制に問題があったかどうかが明らかになるまで、顧客との信頼関係が損なわれ、予約の減少などの二次的な影響が生じる可能性もある。
とりわけ、小規模な宿泊施設では、専任の情報セキュリティ担当者を配置することが難しい場合がある。そのため、外部の予約管理サービスを利用することで業務を効率化していても、委託先のセキュリティ対策を十分に評価できず、異常を発見した際の対応手順も整備されていないという問題が起こり得る。
このように、2段階方式攻撃は、消費者のカード情報を狙う犯罪であると同時に、事業者と顧客の信頼関係を破壊する犯罪でもある。被害を減らすには、消費者への注意喚起にとどまらず、事業者、予約管理サービス、決済事業者、カード会社が連携し、攻撃の各段階で被害を食い止める仕組みを整える必要がある。
浮き彫りになった構造的課題
ここまでで確認したように、事業者の管理環境への侵入と、顧客への詐欺的な連絡を組み合わせた攻撃では、技術的な脆弱性と人間の心理的な隙が連動する。したがって、クレジットカードの不正利用を単にカード番号の漏えいや偽サイトの問題として捉えるだけでは、攻撃の全体像を理解できない。
根本的な問題は、顧客情報を扱う事業者、予約管理サービス、決済事業者、カード会社が、それぞれ異なるセキュリティ対策や運用基準を採用していることにある。攻撃者は、その連携の弱点を利用して侵入し、ある組織で得た情報や権限を、別の組織の顧客を狙うために転用する。
さらに、消費者は通常、サービスの裏側にある管理システムや委託先の構成を把握できない。利用者が安全性を判断する材料は、画面に表示される事業者名、予約情報、連絡内容などに限られるため、事業者側の侵害が消費者の判断を誤らせるという構造的な問題が生じる。
サプライチェーン全体のセキュリティ格差
現代の電子商取引や旅行予約サービスは、単一の企業だけで運営されているわけではない。宿泊施設、予約仲介サービス、予約管理システムの提供会社、決済代行会社、本人認証サービスなど、複数の事業者が連携することで、利用者に一連のサービスを提供している。
この構造には、業務の効率化や専門技術の活用という利点がある一方、関係する事業者のどこかに重大な弱点があれば、他の事業者や顧客にも影響が及ぶという危険がある。特に、複数の顧客や施設の情報を集約する管理サービスが侵害された場合、影響範囲が単独の施設にとどまらない可能性がある。
米国国立標準技術研究所が示すサイバーセキュリティの枠組みでも、組織内部の防御だけでなく、外部の供給者や委託先に関するリスク管理が重要な要素とされている。これは、情報セキュリティが自社の設備や従業員だけで完結する問題ではなく、サービスの提供に関わる組織全体の管理能力に左右されることを意味する。
しかし、実際の取引関係では、委託元と委託先の間でセキュリティ要件が明確になっていなかったり、監査や事故報告の仕組みが不十分だったりする場合がある。委託先がどのような認証方式を採用し、誰が管理画面へアクセスでき、侵害をどの程度の速さで検知できるのかを確認できなければ、委託元は自らの顧客を守るための判断材料を十分に得られない。
小規模事業者に集中する負担
セキュリティ対策の格差は、事業者の規模によっても生じる。大規模な企業では専門の担当部門や監視設備を整備できる一方、小規模な宿泊施設や店舗では、限られた人員と予算で予約管理、顧客対応、会計などの業務を同時に行わなければならない。
このような事業者に対して、複雑な認証設定や継続的なログ監視、委託先の監査を一律に求めても、実行するための知識や資金が不足する可能性がある。対策の重要性を理解していても、具体的な実施方法が分からず、初期設定のまま管理画面を運用してしまうことも考えられる。
そのため、対策を事業者の自主努力だけに委ねることには限界がある。予約管理サービスの提供事業者が、安全な初期設定、多要素認証、異常検知、事故時の連絡体制などを標準機能として提供し、利用する施設が過度な専門知識を持たなくても基本的な防御を実現できる仕組みが望ましい。
また、委託元がサービスの安全性を確認できるよう、提供事業者には対策内容や事故対応方針を分かりやすく説明する責任がある。セキュリティを単なる追加費用ではなく、サービスの品質と信頼性を支える基本条件として扱うことが、サプライチェーン全体の底上げにつながる。
従来の「見破り方」が通用しない限界
フィッシング詐欺への従来の対策では、送信元のメールアドレス、文章の不自然さ、身に覚えのない請求、リンク先のドメインなどを確認する方法が重視されてきた。こうした確認は現在でも有効だが、実際の予約や取引に関連する情報が悪用される攻撃では、それだけで安全性を判断することは難しい。
例えば、実際に宿泊予約を行った利用者に対し、予約内容に関連する支払い手続きの案内が届いた場合、利用者は内容に矛盾がないことを理由に、正規の連絡だと判断しやすい。攻撃者が予約番号や宿泊日などを把握していれば、メッセージの具体性が増し、一般的な迷惑メールとの違いが小さくなる。
また、文章の品質や送信元の表示だけでは、メッセージが正当なものかどうかを確実に判断できない。正規のアカウントが乗っ取られている場合、実在する事業者の名前や正規の連絡経路が悪用される可能性があるためである。
したがって、利用者に求められるのは、怪しいメッセージを見破る能力だけではない。予期しない支払い要求が届いた場合には、メッセージ内のリンクから手続きを進めるのではなく、公式アプリや事前に確認した公式サイトを自分で開き、予約状況や支払い状況を確かめる行動が重要となる。
信頼できる送信元と安全な内容は同じではない
デジタルサービスでは、送信元の確認、通信の暗号化、正規の認証情報によるログインなど、さまざまな仕組みが安全性の判断に使われている。しかし、これらの仕組みが保証する内容はそれぞれ異なり、通信相手が正規のサービスであることと、個々の支払い要求が正当であることは同じではない。
例えば、正規のアカウントが犯罪者に乗っ取られていれば、そのアカウントから送信されたメッセージであっても、内容が不正である可能性がある。通信が暗号化されている場合も、利用者と偽サイトの間の通信が暗号化されているだけで、入力した情報が犯罪者に渡らないことを保証するものではない。
この違いを理解しないまま、利用者が送信元の表示や鍵のマークだけで安全性を判断すると、攻撃者に誤った安心感を与えられるおそれがある。技術的な安全性を示す情報は重要だが、それだけで取引の正当性を確認できるわけではないという認識が必要である。
多層防御のすり抜け
多層防御とは、認証、アクセス制御、異常検知、通信監視、本人認証、利用者への通知など、複数の対策を組み合わせて攻撃を防ぐ考え方である。1つの防御が突破されても、別の防御が機能すれば被害を阻止できる可能性が高まる。
しかし、対策が複数存在していることと、それらが有効に連携していることは別問題である。例えば、従業員のアカウントに多要素認証を導入していても、認証後の不審な操作を監視していなければ、正規の権限を悪用した情報閲覧や設定変更を見逃す可能性がある。
同様に、カード決済に本人認証を導入していても、利用者が詐欺の誘導によって自ら認証操作を行った場合には、不正な取引が認証手続きを通過する危険が残る。本人認証は重要な防御手段だが、利用者が何に同意しているのか、認証後にどのような取引が実行されるのかまで、常に完全に判断できる仕組みではない。
つまり、攻撃者は必ずしもすべての防御を技術的に破壊する必要はない。複数の防御が想定していない状況を作り出し、それぞれの対策が単独では見抜けない形で攻撃を進めることができれば、全体の防御が機能しない場合がある。
防御の間に生じる空白
2段階方式攻撃では、事業者の管理システムに対する防御と、カード決済に対する防御の間に、責任や監視の空白が生じる可能性がある。予約管理サービスが不正アクセスを検知できず、宿泊施設も不審なメッセージ送信に気づかず、カード会社も決済時点で不正を判定できなければ、それぞれの防御が存在していても被害が成立し得る。
この問題を解決するには、各事業者が自社のシステムを守るだけでなく、異常を検知した際に関係者へ迅速に連絡し、顧客への注意喚起や不正決済の阻止につなげる必要がある。例えば、予約管理サービスで不正アクセスが確認された場合、影響を受ける施設への通知、顧客情報の悪用可能性の評価、決済事業者との連携などを、あらかじめ定めた手順に従って実行できることが望ましい。
また、インシデント対応では、被害が確認された後の調査だけでなく、被害が拡大する前にアカウントを停止し、認証情報を無効化し、顧客に警告する判断も重要になる。攻撃を完全に防ぐことが難しい以上、侵入を早期に検知し、詐欺への転用を阻止し、被害を限定する能力を高める必要がある。
以上の分析から、2段階方式攻撃への対策は、消費者の注意力やカード会社の不正検知だけに依存してはならないことが分かる。事業者の認証管理、委託先の監督、顧客への連絡経路の保護、決済時の本人認証、事故発生時の情報共有を一体として設計することが、実効性のある防御につながる。
今後の展望と対策の方向性
これまでの分析から、2段階方式攻撃への対策では、事業者の管理環境への侵入を防ぐことと、侵入後に顧客への詐欺が実行されることを防ぐことの両方が重要だと分かる。どちらか一方だけを強化しても、攻撃の別の段階で防御が破られれば被害が成立する可能性があるため、組織の認証管理、異常検知、消費者への注意喚起、決済時の本人認証を組み合わせる必要がある。
また、対策の目標は、不正アクセスを完全にゼロにすることだけではない。侵入を早期に発見し、顧客情報の悪用を抑え、疑わしい決済を阻止し、被害が発生した場合には迅速に対応できる仕組みを整えることも重要である。
この観点から、今後の対策は、事業者・プラットフォーム側、消費者側、技術・制度面の3つに分けて考えることができる。それぞれが担う役割を明確にし、攻撃の各段階に対応する防御を組み合わせることが、被害の抑制につながる。
① 事業者・プラットフォーム側の対策
事業者の管理画面や予約管理システムを守るうえで、優先度の高い対策の1つが多要素認証の導入である。これは、パスワードだけでなく、利用者が所持する端末や本人固有の特徴など、異なる種類の要素を組み合わせて本人確認を行う仕組みである。
パスワードがフィッシングによって盗まれたとしても、追加の認証要素が適切に保護されていれば、不正ログインを防げる可能性が高まる。特に、顧客情報の閲覧、支払い設定の変更、顧客への一斉連絡など、被害の影響が大きい操作を行うアカウントでは、多要素認証を必須とすることが望ましい。
ただし、多要素認証を導入すれば、すべての不正アクセスを防げるわけではない。偽の認証画面を使って利用者に認証操作をさせる攻撃や、認証済みのセッションを盗む攻撃などが存在するため、認証後の操作監視や異常時の再認証も重要になる。
また、認証方法の選択にも注意が必要である。認証アプリや公開鍵を利用する方式など、フィッシングへの耐性が高い手段を採用するとともに、認証情報の再設定や端末の紛失時の手続きも安全に設計する必要がある。
さらに、退職者や異動者のアカウントを速やかに無効化し、委託先を含むアクセス権限を定期的に見直すことも欠かせない。アカウントを持つ人、閲覧できる情報、実行できる操作を必要最小限に限定することで、1つのアカウントが侵害された場合の影響を小さくできる。
不審な挙動の検知システム（AIモニタリング）
もう1つの重要な対策は、管理システム上の操作を継続的に監視し、通常とは異なる行動を早期に発見することである。例えば、普段とは異なる端末や地域からのログイン、短時間での大量の顧客情報の閲覧、支払い情報の連続した変更、不自然なメッセージ送信などは、調査を開始する手掛かりになり得る。
人工知能を利用した異常検知では、過去の操作履歴や通常の利用パターンを分析し、疑わしい行動を自動的に抽出することができる。人間がすべての操作記録を目視で確認することは現実的ではないため、膨大な記録から優先的に調査すべき事象を絞り込む仕組みには実用的な価値がある。
ただし、人工知能による検知は万能ではない。正規の業務でも大量の操作が発生することがあり、異常と判定された行動が必ずしも不正とは限らないため、誤検知への対応や、検知の根拠を確認できる仕組みが必要になる。
また、検知した後の対応が遅ければ、異常を見つけても被害を防げない。危険度に応じて追加認証を要求する、特定の操作を一時停止する、管理者に警告する、必要に応じてアカウントを停止するといった対応を、あらかじめ定めておく必要がある。
重要なのは、人工知能を導入したという事実そのものではなく、検知から調査、停止、顧客への通知までの流れが機能することである。技術への過信を避け、検知結果を人間が確認できる体制と組み合わせることが、実効性を高める条件となる。
顧客情報と連絡機能の保護
事業者側の対策では、管理画面へのログイン防御に加え、顧客情報そのものを保護することも重要である。攻撃者が顧客の予約内容や連絡先を取得できなければ、それらの情報を利用して信頼性の高い詐欺メッセージを作成することは難しくなる。
そのため、顧客情報へのアクセス権限を業務上必要な範囲に限定し、大量の情報を一度に取得する操作や、通常とは異なる検索・閲覧を監視することが望ましい。情報を保存する期間や共有先を見直し、不要になった情報を適切に削除することも、侵害時の被害を限定するうえで有効である。
顧客への連絡機能についても、管理者の権限を分離し、支払い案内や振込先の変更など、金銭的な影響が大きい操作には追加確認を設ける必要がある。さらに、予約管理サービスの提供事業者は、不正アクセスが疑われる場合に、施設への通知、送信機能の一時停止、影響を受けた顧客の特定を迅速に行える体制を整えるべきである。
② 消費者（ユーザー）側の備え
消費者が特に警戒すべきなのは、予約の確認や支払いの失敗を理由として、カード情報の再入力を急がせる連絡である。「期限までに確認しなければ予約が取り消される」「決済を完了するためにカード情報を更新する必要がある」といった説明は、利用者の不安を刺激して判断を急がせるために悪用される可能性がある。
ただし、正規の事業者が実際に支払い状況の確認を求める場合もあるため、決済エラーに関する連絡をすべて詐欺と判断するのも適切ではない。重要なのは、メッセージ内のリンクをそのまま開いて情報を入力するのではなく、公式アプリや自分で確認した公式サイトを通じて、予約状況や決済状況を確認することである。
確認の際には、予約時に保存した確認メールや公式アプリの予約履歴を参照し、表示されている情報と照合することが望ましい。不審な点がある場合は、メッセージに記載された電話番号やリンクを使うのではなく、公式サイトなどで確認した連絡先から施設やサービス運営会社へ問い合わせるべきである。
また、カード番号だけでなく、セキュリティコードや本人認証用の確認コードを求められた場合には、何の手続きに使われるのかを慎重に確認する必要がある。認証用のコードを第三者へ伝えれば、本人認証を悪用される危険があるため、電話やメッセージでコードを伝えるよう求められても、安易に応じてはならない。
通知機能の活用
カード会社が提供する利用通知機能は、不正利用の早期発見に役立つ。カードを利用した際に通知を受け取れるようにしておけば、身に覚えのない決済に気づきやすくなり、カード会社への連絡や利用停止を迅速に進められる。
ただし、通知機能があればすべての不正利用を即座に把握できるとは限らない。通知の対象となる取引や配信のタイミングはサービスによって異なるため、通知設定の内容を確認するとともに、定期的に利用明細を確認することが重要である。
カード情報を偽サイトに入力してしまった場合には、不正利用がまだ確認されていなくても、速やかにカード会社へ連絡して指示を受けるべきである。状況に応じてカードの停止や再発行を行い、同じパスワードを他のサービスでも使用している場合には、それらの認証情報も変更する必要がある。
また、被害が疑われるメッセージや偽サイトの情報は、可能な範囲で保存しておくと、カード会社や事業者への説明、被害状況の調査に役立つ。被害を受けた利用者を責めるのではなく、早期に相談しやすい環境を整えることも、被害の拡大防止に欠かせない。
③ 技術・制度面の展望
インターネット上のカード決済では、本人認証の強化が重要な対策となっている。その代表的な仕組みが、ＥＭＶ３Ｄセキュアと呼ばれる、カード会員の本人確認を支援する認証方式である。
この仕組みでは、決済時の情報をもとに不正リスクを評価し、リスクが低いと判断された取引は利用者の追加操作を求めずに処理し、リスクが高いと判断された取引には追加の本人確認を求めることができる。このように、取引ごとに危険度を評価して認証方法を調整する仕組みを、リスクベース認証という。
リスクベース認証の利点は、安全性と利便性の両立を図れることである。すべての取引に一律の追加認証を要求すれば利用者の負担が増える一方、認証を簡略化しすぎれば不正決済を見逃す危険があるため、取引の状況に応じて認証の強度を調整することには合理性がある。
ただし、ＥＭＶ３Ｄセキュアは、あらゆる種類の詐欺を防止する万能の仕組みではない。利用者が偽の決済画面へ誘導され、犯罪者の指示に従って認証操作を行った場合などには、認証が実施されたという事実だけでは取引の正当性を完全に保証できない。
したがって、本人認証の高度化は、事業者の不正アクセス対策や顧客への注意喚起と組み合わせて進める必要がある。決済時点での防御を強化すると同時に、決済に至る前段階でカード情報が詐取されることを防ぐ取り組みが不可欠である。
責任共有モデルの明確化
2段階方式攻撃への対応では、被害が発生した場合に、誰がどの範囲の責任を負うのかという問題も重要になる。事業者の管理システムが侵害され、顧客情報が悪用された場合、施設、予約管理サービス、決済事業者、カード会社のどこが調査や顧客への説明を主導するのかが不明確であれば、対応が遅れる可能性がある。
責任共有モデルとは、サービスの安全性を維持するために、関係する各組織が担う責任と役割を明確にする考え方である。例えば、予約管理サービスの提供事業者は管理システムの保護や異常検知を担い、宿泊施設は従業員の認証情報や利用端末を適切に管理し、カード会社は決済の不正検知や利用者への通知を担うといった分担が考えられる。
もっとも、役割を分けることは、責任を他者へ転嫁することを意味しない。顧客情報の管理主体やサービス提供者には、それぞれの立場に応じた安全管理上の責任があり、契約上の分担だけで法令上の責任がなくなるわけではない。
今後は、委託先のセキュリティ基準、事故の報告期限、顧客への通知手順、証拠保全、被害補償の取り扱いなどについて、契約や運用規程で具体化することが求められる。特に、複数の事業者に影響する事故では、どの組織が全体を統括し、どの情報を誰に共有するのかを事前に定めておくことが重要である。
また、被害を受けた消費者が、どの窓口に連絡すればよいのかを容易に理解できるようにする必要がある。事業者間の責任分担が複雑であっても、利用者が複数の窓口をたらい回しにされないよう、初動対応と関係者間の連携を整備することが望ましい。
今後の展望
今後のクレジットカード不正利用対策では、攻撃者が技術的な防御を突破するだけでなく、利用者や事業者が正規の手続きだと信じて行動する状況を悪用する点を重視する必要がある。フィッシング対策協議会の「フィッシングレポート2026」も、フィッシング報告の高止まりや、攻撃手法の変化、生成人工知能を活用した巧妙な攻撃への対応を課題として挙げている。
生成人工知能などの技術が悪用されれば、文章の自然さや個別の状況に合わせた詐欺メッセージの作成が容易になる可能性がある。しかし、技術の進歩だけを原因とみなすのは適切ではない。実際の予約情報や盗まれた認証情報の悪用、管理システムの監視不足、事業者間の連携の弱さといった既存の問題が、攻撃の成功を支えているためである。
今後は、メールやメッセージの内容から詐欺を見抜く方法に加え、アカウントの利用状況、操作の異常、決済の特徴、顧客への連絡履歴などを組み合わせて判断する仕組みが重要になる。単一の兆候だけで不正を断定するのではなく、複数の情報を総合して危険度を評価することで、見逃しと誤検知の両方を減らすことが期待される。
事後対応から予防・早期封じ込めへ
従来の対策は、不正決済が発生した後にカードを停止し、被害額を調査し、必要に応じて補償を行うことに重点が置かれがちだった。今後は、侵入の兆候を検知した段階で管理アカウントを制限し、顧客情報の流出や不正なメッセージ送信を防ぎ、決済に至る前に攻撃を止める対策を強化する必要がある。
そのためには、事業者の監視体制だけでなく、業界全体での情報共有も重要となる。ある予約管理サービスで不正アクセスが確認された場合、影響を受ける施設や決済事業者が迅速に情報を共有できれば、同じ手口による被害が他の利用者へ広がることを抑えられる可能性がある。
また、セキュリティ対策の効果を評価する際には、導入した機能の数だけでなく、侵入の検知に要した時間、顧客への通知までの時間、不正な操作を停止できた割合、被害の拡大を防げたかどうかなど、実際の成果を測定することが望ましい。技術の導入を目的化せず、被害をどれだけ減らせたかという観点から継続的に改善する必要がある。
まとめ
本稿で検討した「2段階方式攻撃」は、事業者の管理環境への侵入と、その事業者を信頼する顧客への詐欺を組み合わせた攻撃として整理できる。第1段階で取得した情報や権限が第2段階の詐欺に利用されることで、攻撃者は実際の取引に関連する連絡を装い、消費者にカード情報の入力や不正な支払いを促すことが可能になる。
クレジットカード不正利用の背景には、フィッシングの拡大、認証情報の窃取、外部委託先を含む管理体制の格差、利用者が正規の連絡と詐欺を区別しにくくなっているという複合的な問題がある。ただし、すべてのカード不正利用がこの攻撃によって発生しているわけではなく、被害統計と個別の攻撃事例を区別して評価する必要がある。
対策としては、事業者側では多要素認証、権限管理、異常検知、顧客情報の保護、委託先との連携を強化することが重要である。消費者側では、支払いを急がせる連絡に警戒し、公式アプリや公式サイトから予約状況を確認し、カード利用通知と利用明細を継続的に確認することが有効となる。
技術・制度面では、本人認証の高度化だけでなく、事故発生時の情報共有、責任分担の明確化、被害者が迅速に相談できる体制の整備が求められる。特定の対策だけに依存せず、侵入の予防、早期検知、被害の封じ込め、事後の救済を一体として設計することが重要である。
最終的に、クレジットカード不正利用への対策は、消費者に注意を促すだけでは完結しない。事業者、予約管理サービス、決済事業者、カード会社、行政機関がそれぞれの役割を果たし、利用者が正規のサービスを安心して使える環境を構築することが、今後の中心的な課題となる。
参考・引用リスト
クレジットカード不正利用の統計・対策
一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」
一般社団法人日本クレジット協会「クレジットカード不正利用5つの対策」
フィッシング・サイバー犯罪の動向
フィッシング対策協議会「フィッシングレポート2026」
フィッシング対策協議会「フィッシングレポート2026・協議会ワーキンググループ報告書」
警察庁「サイバー警察局」
独立行政法人情報処理推進機構「情報セキュリティ」
認証技術・サプライチェーン対策
ＥＭＶＣｏ「ＥＭＶ３Ｄセキュア」
米国国立標準技術研究所「サイバーセキュリティ・フレームワーク」
米国国立標準技術研究所「サイバーセキュリティ・サプライチェーン・リスク管理」
制度・行政資料
- 経済産業省「クレジットカード決済のセキュリティ対策」