事業者必見、クレジットカードの不正利用の原因と対策

クレジットカード会社の調査¹によると、日本人のクレジットカード保有率は86％、平均保有枚数は3枚にのぼります。また、クレジットカード決済の利用が多い業種としてはオンラインショッピングが挙げられています。

クレジットカード決済はお客さまにとっても事業者にとっても便利な手段ですが、不正利用のリスクもあります。この記事では、ECサイトや実店舗を運営する事業者ができるクレジットカードの不正利用されないための対策を紹介します。

📝この記事のポイント

• クレジットカード不正利用の被害額は年々増加し、2024年には過去最高の555億円に達した
• 被害の9割以上は「番号盗用」によるもので、チャージバックが発生すると店舗に損失が及ぶ
• 盗用の手段は、盗難・スキミング・フィッシング・情報漏洩・詐欺サイトなど多岐にわたる
• 出会い系詐欺も拡大しており、調査ではマッチングアプリ利用者の14%が被害経験を持つと回答
• 不正利用対策には3Dセキュア、ICチップ端末、社内体制強化、売上明細確認などが重要であり、SquareのようにPCI DSS準拠の決済サービスを活用することが有効

目次

---

• クレジットカードの不正利用で店が受ける被害
  ・チャージバックの発生
• 不正利用が発生する原因
  ・カードの紛失や盗難
  ・スキミング
  ・フィッシング
  ・不正なポップアップ
  ・情報漏洩
  ・詐欺
• 不正利用による被害を防ぐ方法
  ・セキュリティーコードの入力
  ・3Dセキュア(本人認証)システムの導入
  ・ICチップ対応の決済端末の用意
  ・社内セキュリティーの強化
  ・売上明細の確認
• 不正利用に気づいた時の対処法
  ・決済サービスや決済代行会社に連絡

---

クレジットカードの不正利用で店が受ける被害

日本クレジット協会の調査²によると、2024年のクレジットカードの不正利用被害額は過去最高の555億円を記録しました。中でも多いのが番号の盗用による被害で、被害額の9割にのぼります。クレジットカードが不正利用されることで、店舗にはどのような被害が発生するのでしょうか。

クレジットカード不正利用 被害額および手口別割合（2019年～2024年）²

年度	被害額（億円）	番号盗用の割合	偽造カードの割合	その他不正の割合
2019年	約274.1	約81.3％	約6.5％	約12.2％
2020年	約253.0	約88.4％	約3.2％	約8.5％
2021年	約330.1	約94.4％	約0.5％	約5.1％
2022年	約436.7	約94.3％	約0.4％	約5.3％
2023年	約540.9	約93.3％	約0.6％	約6.1％
2024年	約555.0	約92.5％	約0.6％	約6.4％

チャージバックの発生

クレジットカード所有者が、不正利用などを理由に請求額の支払いに同意しない場合、クレジットカード発行会社に決済の取り消しや請求額の返金を求めることができます。

クレジットカード所有者が取り消しや返金を要求する過程は、「支払い異議申し立て」あるいは「チャージバック申請」と呼ばれています。クレジットカード発行会社が異議申し立てを受け入れ、店舗（加盟店）に対して支払いの取り消しや返金を要求したときに発生する返金がチャージバックです。

以下のような場合に、クレジットカード所有者は取り消しや返金を求めることができます。

• クレジットカードの不正利用により身に覚えのない請求がされている
• 決済をした覚えがない、決済を承認した覚えがない
• 商品の料金を支払ったのに、商品が届かない
• 注文した商品と著しく異なる商品が届いた

不正利用によるチャージバックが成立すると、商品やサービスを販売したのにもかかわらず、その分の売り上げが立たず、損失が発生してしまいます。

そのような場合を想定したチャージバック保険も存在します。保証金額と掛け金のバランスを自身の店舗の実態に照らし合わせ、必要に応じて利用するのも一つの方法です。

不正利用が発生する原因

不正利用の多くが、クレジットカード番号の盗用によるものですが、悪意ある者はどうやってクレジットカード情報を入手するのでしょうか。手段としては、以下のようなことが挙げられます。

カードの紛失や盗難

クレジットカードそのものが第三者の手に渡ることで、悪用されるケースです。日本クレジット協会のウェブサイト³では以下のような代表的なパターンが紹介されています。

クレジットカード不正利用の代表的パターン

パターン	内容	典型的な状況・注意点
仮睡盗	居眠り中に財布を盗まれる	お酒を飲んだあと、電車やホームで眠り込んでいるときに被害
スリ	混雑場所で財布を抜き取られる	電車・飲食店などで被害。海外でも多い
車上荒らし	車内に置いた財布やバッグを盗まれる	駐車中は短時間の放置でも危険
昏睡強盗	お酒や薬物を飲まされたあとに財布を奪われる	クレジットカードで高額決済させられるケースもある

スキミング

スキミングでは、「スキマー」と呼ばれるカード情報を読み取る装置を用いて、クレジットカードの磁気情報を盗み取ります。その情報を基に偽造カードを作って不正に利用する手口です。

最近では、磁気情報を読み取る「磁気スキミング」だけでなく、「Webスキミング（E-Skimming）」という手口も登場しています。これはネットショッピングなどの際に利用者が入力したクレジットカード情報を盗み取る方法です。

フィッシング

フィッシングは、クレジットカード会社や金融機関を装ったメールを送付し、リンク先にある偽のウェブサイト（フィッシングサイト）にメールの受信者を誘導し、カード番号や暗証番号などを入力させて情報取得を謀る手口です⁴。

注意してみると、送られてくるメールアドレスやリンク先のURLが本物とは微妙に違っていることがあります。しかしながら、0（ゼロ）とO（オー）、1（イチ）とｌ（エル）など瞬時には見分けがつきにくいものが多いようです。最近ではメール以外に、SNSのアカウントを乗っ取られ、フィッシングサイトへの発信に利用される被害も発生しているので、さらなる注意が必要です。

具体的な相談事例を挙げますと、「宅配業者を騙ったメールを信用してクレジットカード情報を入力してしまった」、「クレジットカード会社を騙るメールを信用してクレジットカード番号を入力してしまった」、それから「銀行を騙るSMSを信用して口座番号や暗証番号を入力してしまった」といったものが挙げられるということでございます。いずれにいたしましても、メールやSMSのリンク先にカード番号を入れる時には、きちんと確かめた上でやっていただきたいと思います。
– 新井消費者庁長官⁵

フィッシング対策協議会の2025年6月分のレポート⁷によれば、6月のフィッシング報告件数は19万件で、フィッシングサイトのURL（重複なし）は増加傾向にあり、6万件以上が確認されています。

フィッシングに悪用されたブランド数（2025年6月分）

分野	ブランド数
クレジット・信販系	20
証券系	13
金融（銀行）系	11
通信事業者・メール系	9
配送系	6
EC系	6
オンラインサービス系	6
その他	残り

不正なポップアップ

利用者のパソコンをコンピューターウイルスに感染させ、本物のクレジットカード会社のサイトにアクセスすると偽のポップアップ画面が立ち上がるという手口です。本物のクレジットカード会社のサイトのように騙し、カード番号や暗証番号などを入力させる方法も最近みられるようになっています。

情報漏洩

ECサイトなどへ不正アクセスを行い、そのサイトでクレジットカードを利用したことがある個人の情報を盗み、クレジットカードを不正利用する手口です。ECサイトを運営する事業者からクレジットカード情報を盗み取るだけでなく、過去には決済代行業者がサイバー攻撃に遭い、情報が漏洩したケースもあります。

詐欺

ネットショッピング詐欺

架空のECサイトなどを立ち上げ、商品を販売しているようになりすまし、クレジットカード情報を盗む手口です。ECサイトで商品を注文しても、商品が届かない、ECサイト事業者と連絡が取れないというトラブルが起こった場合は、詐欺の可能性があるかもしれません。日本語の表記がおかしい、事業者の連絡先が書いてない、商品が相場よりかなり安く設定されているようなサイトの場合は注意が必要かもしれません。

出会い系サイト詐欺

有料の出会い系サイトに誘導され、入会金やポイント購入の費用をクレジットカードに請求される手口です。また、サイト上で決済を行うことで、クレジットカード情報を盗まれてしまうこともあります。日本クレジットカード協会によると、近年では、SNSを通して芸能人のマネージャーを騙り「芸能人とのメール」を促す手口の詐欺が増えているようです⁶。

セキュリティー会社のノートン⁸は以下のようなマッチングアプリの被害実態調査を発表しています。

• 被害率：利用者の14%が出会い系詐欺に遭ったと回答
• 保護実績：2024年の日本では、出会い系詐欺から保護されたユーザー数が前年比約280%増

不正利用による被害を防ぐ方法

ECサイトや店舗での不正利用を防止する具体的な対策を紹介します。

セキュリティーコードの入力

セキュリティーコードとは、3桁もしくは4桁から成る数字で、多くのカードブランドではカードの裏面に印刷されています⁹。ECサイトを運営している場合、セキュリティーコードの入力を求める仕組みを導入しましょう。

セキュリティーコードはクレジットカードの磁気情報には含まれていないため、スキミングなど磁気情報を盗む手口では読み取られないと考えられています。そのため、クレジットカードそのものを持っている人しか、セキュリティーコードの入力はできません。

3Dセキュア(本人認証)システムの導入

3Dセキュアは、決済の際にクレジットカード情報（番号や有効期限、名義）と併せて、本人にしか分からないワンタイムパスワードなどを入力することで、不正使用を防止する仕組みです。経済産業省が公表した「クレジットカード・セキュリティガイドライン」では、2025年3月末までに原則としてすべてのEC事業者に3Dセキュアを導入するように求めています。

ICチップ対応の決済端末の用意

2015年10月から、ライアビリティシフト（債務責任の移行）が適用されています。ライアビリティシフトとは、ICチップを搭載したクレジットカードに対して、ICチップ未対応の決済端末で決済し、その取引に不正があると判明した場合、被害の補償（債務責任）がクレジットカード発行会社ではなく、加盟店側に移るというものです。

たとえば、犯罪者が偽造したクレジットカードで支払おうとする際、ICチップ対応の決済端末を導入していない場合、クレジットカードの磁気情報を読み取ることになります。この場合に発生した被害額の債務責任は店舗側にあります。

偽造カードによる被害を防ぐため、よりセキュリティーの高い決済処理方法であるEMV（ICチップ搭載クレジットカードの国際標準規格）に準拠したクレジットカードと決済端末の導入を推し進める必要性があることから、ライアビリティシフトが適用されることになりました。実店舗でクレジットカード決済を行っている場合、不正被害を防ぐためにもEMV準拠のICチップに対応した決済端末を使うことが求められています。

社内セキュリティーの強化

サイバー攻撃などによるクレジットカード情報の漏洩を防ぐには、セキュリティーの強化が必須です。信頼性が十分といえないアプリケーションや情報システムを利用していたり、最新版へのアップデートやメンテナンスを怠っていたりすると、セキュリティー上のリスクは高まります。常に、最新版にアップロードし、ウイルスチェックなども万全にしましょう。また、内部での不正行為や情報持ち出しといった社内犯罪も情報漏洩の原因となります。システムにアクセスできるスタッフを制限するなど、社内での対策も重要です。

売上明細の確認

不正利用を早期発見するには、クレジットカード利用分の売上明細を日に1度など、定期的に確認することが重要です。利用している決済サービスのオンラインページで確認できるので、「決済の金額が大きい」「同じカード番号から何度も注文が入っている」などの場合は、万が一のことを考えて決済サービスや決済代行業者に連絡をするとよいでしょう。

不正利用に気づいた時の対処法

クレジットカードの不正利用に気づいた時は、どのような対応を取ればいいのでしょうか。

決済サービスや決済代行会社に連絡

店舗やECサイトでクレジットカードの不正利用に気づいた時は、まずは利用している決済サービスや決済代行会社に連絡を行い、指示を受けましょう。「商品の発送を待ってください」「返金を行ってください」などの具体的な指示があれば、その指示に従います。

クレジットカードの不正利用は、事業者にとって大きなダメージとなります。被害の発生を防止するためにも、クレジットカード決済には、国際的なセキュリティー基準である「PCI DSS（Payment Card Industry Data Security Standard）」に準拠した決済代行業者を選ぶようにしましょう。

PCI DSSの最高レベルであるレベル1に準拠しているSquareでは、店舗での対面決済とオンライン決済の両方に対応しています。対面決済でもオンライン決済でも、申込費用などはかかりません。どの決済方法でも、決済手数料が引かれた売上金額が最短で翌営業日に振り込まれるので、キャッシュフローも安心です。

クレジットカード決済の導入を検討している店舗やECサイト、クレジットカードの不正利用に悩んでいる事業者は、ぜひSquareをチェックしてみてください。

---

Squareのブログでは、起業したい、自分のビジネスをさらに発展させたい、と考える人に向けて情報を発信しています。お届けするのは集客に使えるアイデア、資金運用や税金の知識、最新のキャッシュレス事情など。また、Square加盟店の取材記事では、日々経営に向き合う人たちの試行錯誤の様子や、乗り越えてきた壁を垣間見ることができます。Squareブログ編集チームでは、記事を通してビジネスの立ち上げから日々の運営、成長をサポートします。

執筆は2018年5月30日時点の情報を参照しています。2025年9月1日に記事の一部情報を更新しました。当ウェブサイトからリンクした外部のウェブサイトの内容については、Squareは責任を負いません。Photography provided by, Unsplash