PayPayで不正にクレジットカードが使用されたというニュースが昨日テレビを駆け巡った。PayPayのアプリをインストールしていなくても勝手にクレジットカードをアプリに登録されて不正利用されたという事例もあるので、PayPayから個人情報が流出したというよりも、クレジットカード情報自体がどこかから不正取得され悪用されたものとみられている。

PayPayにクレジットカードを登録する際は、クレカの裏にある3桁のセキュリティコードを入力する必要があるが、このセキュリティコード入力を何度間違えてもロックがかからない仕様になっていたとのこと。そのセキュリティの穴を突いたクレカの不正利用が横行したらしい。

通常セキュリティコードやパスワード、暗証番号を何度か間違えると銀行でもネットサービスでもロックがかかる。このロックを解くには本人確認や直接銀行の窓口に出向くなど煩雑な手続きが必要になるが、コンピューターを使った桁違いの無差別攻撃による不正ログインを防ぐためには有効な手段となる。

ネット利用時にクレジットカード情報が漏えいする原因は？ 不正利用を防ぐための3つの対策と対処法（OCN）

無制限にセキュリティコードが入力可能という事は、三桁だから最大999回入力すれば、不正に入手したクレジットカードをPayPayに登録できることになる。根本的なセキュリティ対策が抜けていたということだが、この隙を突いたPayPayアプリによるクレジットカードの不正利用の報告がネット上で大量発生したといったところだろうか。

先ほどPayPayを立ち上げたら、アップデートを促す画面が出てきた。「PayPayからのお知らせ」によると、「クレジットカード情報を入力する際、入力回数に制限を設けました。」とあるので、今回問題になっているセキュリティの穴に対応したことになる。

今回の不正利用をまとめると、

• PayPayからクレジットカードなどの個人情報は流出していない。
• どこかから不正取得されたクレジットカードの情報を元に、悪意ある第三者がPayPayにクレカ登録して不正利用した。

使用もしていなければ登録もしていないクレジットカードへの不正利用「クレジットマスター」

実は先日もツイッターで、どこにも登録していなければ使用もしていないクレジットカードが不正利用されたという注意喚起が回ってきた。もしそれが事実なら、コンピューターを使ってアトランダムに組み合わせて抽出に成功したクレジットカード情報により不正使用されたような節がある。これが何を意味するかというと、お店やネットショッピングなどでクレジットカードを使用して、カード情報を盗み取るスキミングやネット登録している個人情報の流出がなくとも、クレジットカード不正使用の被害に遭ってしまう可能性があるという事だ。本当にこんな事態が生じるのか半信半疑だが、ツイートの内容が事実ならば、クレジットカード所有者は誰でも被害に遭う可能性がある。

通常ネットショッピングで買い物する場合は、クレジットカード番号、年月の有効期限、名字と名前、セキュリティコードを入力する必要があるが、もし必要な入力がクレジットカード番号と有効期限、セキュリティコードのみなら、コンピュータを使ってアトランダムに抽出して不正使用することも理論的には可能となる。

PayPay不正でも利用？　カード情報盗む「クレジットマスター」とは一体何なのか

クレジットカード会社も普段の購入パターンから、おかしな購入があった場合には、連絡先に電話でカードを使用したか確認してくれるような防止策を採っている。高額商品を購入したり、短時間に連続で決済を繰り返したり、いつもと異なる場所でおかしな買い物をしていたり。ツイッターでは「アジスアベバで羊10頭を購入しましたか？」という電話がクレカ会社からかかってきて不正利用が判明したというケースもあった。

実店舗でクレジットカードを使ったショッピングでも、利用者に挙動不審な言動が見られた場合は、お店からクレジットカード会社に連絡が行き、不正利用でないか本人に確認の電話がかかることになっている。

また仮にクレジットカードが不正利用された場合でも、不正利用に気づいて早急に連絡すればクレジットカード会社が全額補償してくれる。

問題はカードの不正利用に気づかなかった場合だ。最近は高額の不正利用だけでなく、少額の不正利用による被害も増えてきている。額が大きければクレジットカード会社も本人もすぐに気づくが、額が小さいとクレカ会社の探知にも引っかからず、不正利用された本人も気づかない恐れがある。

以前使っていたクレジットカード会社の規約が変わったときに、不正利用の補償対象が、使用された日から60日以内から30日以内に短縮されて、これは万が一不正利用された場合に気づかなかったら大変なことになるなと一抹の不安を覚え、使用していないクレジットカードは解約することにした。

奇しくもPayPayが話題になっている最中に発生した使用していないクレジットカードの不正利用とPayPayアプリを介したクレカの不正利用。セキュリティの穴につけ込んだ犯罪が炙り出された形となった。