>
>
公開日
最終更新日
クレジットカード不正利用の最大の原因は、ECサイトなどのオンライン決済で起きる番号盗用です。日本クレジット協会によると、2025年の被害額510.5億円のうち約93％を番号盗用が占めました。
この記事は、身に覚えのない請求を見つけた個人、法人カードを管理する情シス部門、チャージバックを抑えたいEC事業者を対象としています。各セクションで扱う内容は、クレカ不正利用の類型と最新手口、カード会社が不正を見抜く仕組み、補償の条件と誰が最終損失を負うかの整理です。
被害に気づいた直後は、公式アプリでカードを一時停止し、明細と通知を保存してから、カード裏面または公式サイトに掲載された窓口へ連絡します。SMSに記載されたURLや検索広告経由の窓口は使いません。
クレジットカード不正利用の原因とは
被害額ベースで最も大きいクレカ不正利用の類型は、オンライン決済における番号盗用です。
本記事のポイント
2025年の不正利用被害額510.5億円のうち約93％が番号盗用です。
EMV 3-Dセキュアを導入しても、フィッシングによる認証情報の窃取は残ります。
会員に重大な過失がなく、規約の届出条件を満たせば原則として補償対象です。
犯人を個人で追跡せず、カード会社と警察へ証拠を渡すことが安全な初動です。
以下の対象別導線を参考に、必要なセクションへ直接進めます。
個人（身に覚えのない請求を発見した方）：「原因と初動」「犯人はバレる？」「誰が払う？」
法人カード管理者・情シス：「調査方法と初動」「規模別対策」
EC事業者（チャージバック対策）：「不正利用被害の最新動向」「多層防御」
番号盗用を中心とする被害構造
カード番号、有効期限、セキュリティコードなどを第三者が入手し、非対面取引で使う手口が被害の中心です。
日本クレジット協会の「クレジットカード不正利用被害額の発生状況」2026年3月公表資料によると、2025年の被害額は510.5億円で、番号盗用は約475億円でした。被害額の約93％がECなどの非対面取引に関係する番号盗用であり、財布を紛失していなくても被害は発生します。統計の年次・四半期別内訳は、日本クレジット協会のクレジットカード不正利用被害額統計で公開されています。
フィッシング詐欺と偽サイト
メールやSMSから偽の会員ページへ誘導し、カード情報やログイン情報を入力させる手口です。
配送会社、金融機関、通販サイト、カード会社を装うメッセージには、「利用を停止した」「再配達が必要」「本人確認を完了しないと失効する」といった文言が使われます。近年は、カード番号だけでなくEMV 3-Dセキュアのワンタイムパスワードまでリアルタイムで中継し、認証を突破する手口もあります。認証コードを入力した直後に画面がエラーになった場合でも、公式アプリから利用履歴とログイン履歴を調べます。
クレジットマスターによる番号生成
クレジットマスターとは、カード番号の規則性を悪用して有効な番号を機械的に探す手口です。
犯人は生成した番号をゼロ円、1円、数十円、100円などの少額決済で試し、有効性を確かめてから換金性の高い商品を購入します。少額の明細が必ず不正とは限りませんが、加盟店名と自分の注文履歴が一致しなければ、金額にかかわらずカード会社へ申告します。少額だから放置する対応は、その後の高額被害を見逃す失敗につながります。
アカウント乗っ取りと情報漏洩
ECアカウントを奪われると、カード番号を表示できなくても登録済みカードが悪用されます。
使い回したIDとパスワード、マルウェア、ECサイトへの不正アクセス、過去に流出した認証情報を使うリスト型攻撃が主な入口です。犯人はログイン後に配送先や連絡先を変更し、保存済みカードで決済します。カード会社のパスワードだけを変えても、メールとECアカウントが乗っ取られたままでは再発するため、関連アカウントを同時に保護します。
特定サービスを装う偽通知（例：Amazonを装うケース）
特定カードだけに固有の不正利用原因があるわけではなく、サービスを装う偽通知やアカウント乗っ取りはあらゆるカードで起きます。Amazonを装う「支払い方法の更新」メールからカード情報を盗まれるケースは、フィッシング詐欺の典型例です。アカウントへ不正ログインされて登録済みカードを使われるケースは、前節のアカウント乗っ取りと同じ経路です。身に覚えのないAmazon関連請求があれば、メール内のリンクではなく公式アプリを開き、注文履歴、デジタルコンテンツ、定期購入、家族の注文を照合します。注文が存在しなければ、カード発行会社の公式窓口へ連絡します。
盗難・家族利用・暗証番号の管理不備
物理カードの紛失や、家族・同居人による無断利用も補償判断に影響する原因です。
暗証番号に生年月日、電話番号、住所の一部、1234などを使っていた場合、カードの管理状況と合わせて会員の過失が審査されます。家族による利用は第三者犯罪として扱われず、補償対象外になる場合があります。券面に署名欄があるカードは発行会社の規約に従って署名し、家族であっても本人名義のカードを貸しません。
空き箱出品と配送先偽装
盗んだカードで購入した商品を第三者の住所へ送らせ、配送経路を複雑にする手口も発生しています。
フリマアプリに「空き箱」などを出品し、取引相手の住所を不正注文の配送先に使うなど、無関係な第三者を経由させる方法です。EC事業者は、注文者と配送先の不一致だけで機械的に拒否するのではなく、端末、IPアドレス、住所変更履歴、購入速度、商品の換金性を組み合わせて判定します。
2025年後半から減少に転じた不正利用被害
2025年の不正利用被害額は510.5億円（前年比8.0％減）で、2025年は11年ぶりの前年比減少となりました。それでも番号盗用は被害の約93％を占めており、非対面取引への対策は引き続き必要です。
2025年通年と第4四半期の被害額
第4四半期の四半期被害額は93.9億円と、4年ぶりに100億円を下回りました。
指標 | 公表値 | 判断できること |
|---|---|---|
2024年の被害額 | 555.0億円 | 過去最高を記録 |
2025年の被害額 | 510.5億円 | 前年比8.0％減 |
2025年の発生率 | 0.038％（日本クレジット協会公表値） | 取扱高に対する被害規模 |
番号盗用の割合 | 約93％、約475億円 | 非対面対策を優先 |
2025年第4四半期 | 93.9億円（日本クレジット協会公表値） | 4年ぶりに100億円未満 |
日本クレジット協会は、これらの数値を2026年3月公表の統計で集計しています。減少は前進ですが、2024年の555.0億円から44.5億円減った段階であり、年間500億円を超える被害が残っています。
EMV 3-Dセキュアの原則導入
経済産業省主導のクレジットカード・セキュリティガイドラインに基づき、EC加盟店には2025年3月末までのEMV 3-Dセキュア導入が原則として示されました。
EMV 3-Dセキュアは、カード番号だけで決済を完了させず、取引リスクに応じてワンタイムパスワードや生体認証を追加する仕組みです。ガイドラインの詳細と加盟店対策は、経済産業省のクレジットカード・セキュリティ対策資料で案内されています。2025年の被害減少と導入時期は重なりますが、減少分のすべてを3Dセキュアの効果と断定せず、不正検知やカード会社側の監視強化も含めて評価します。
カゴ落ちとオーソリ不承認
認証を一律に厳しくすると、不正を減らす一方で正規購入者の離脱と誤ブロックが増えます。
認証画面が開かない、ワンタイムパスワードが届かない、カード発行会社のリスク判定で承認されないといった事象は、EC事業者のコンバージョン率を下げます。特に全件へ追加認証を要求すると、低リスク取引まで操作が増えます。取引データをカード発行会社へ正確に渡してフリクションレスフローを増やし、加盟店側の不正検知で高リスク注文だけを保留する設計が、売上と防御の両立につながります。
ガイドライン6.1版の多層防御
2026年3月公表のクレジットカード・セキュリティガイドライン6.1版は、決済時だけでなく取引全体を守る多層防御を扱っています。
決済という「点」だけを守っても、会員登録、ログイン、配送先変更、ポイント交換の段階でアカウントを奪われれば不正注文は成立します。EC事業者は、脆弱性対策、不正ログイン対策、EMV 3-Dセキュア、不正検知、出荷前確認を一本の線として管理します。版数と適用内容は、日本クレジット協会のクレジットカード・セキュリティガイドライン掲載ページで公開されており、版数が更新されている場合は掲載ページの最新版を基準にします。
防御段階 | 監視対象 | 代表的な対策 |
|---|---|---|
会員登録・ログイン | 大量登録、異常ログイン、端末変更 | 多要素認証、速度制限、端末分析 |
注文・決済 | 金額、商品、IP、認証結果 | 3Dセキュア、AI不正検知 |
配送先変更 | 注文者との不一致、転送先 | 再認証、住所評価、保留 |
出荷・受取 | 高換金商品、受取方法 | 本人確認、出荷前レビュー |
クレジットカードの不正利用はなぜわかる？
カード会社は、オーソリ時のAIスコアリング、利用傾向分析、EMV 3-Dセキュアの認証結果を組み合わせて不正を検知します。
オーソリ時のAIスコアリング
カード決済の信用照会では、短い処理時間の中で取引ごとのリスクスコアが算出されます。
カード発行会社や決済事業者は、過去の利用金額、時間帯、加盟店、国、商品、端末、IPアドレス、連続試行、直前の利用場所などを照合します。普段は国内の実店舗で数千円を利用するカードが、深夜に海外ECで高額なスマートフォンを連続購入すれば、本人の通常パターンから外れた取引として保留されます。判定項目や処理速度は各社で異なるため、「AIだけで犯人を特定する仕組み」ではなく、「追加確認や停止の候補を絞る仕組み」と捉えます。
AI不正検知の国内導入例
国内カード会社では、過去の取引時系列を学習し、従来ルールで拾いにくい不正パターンを判定する運用が進んでいます。
エポスカードは2024年11月からPKSHA TechnologyのAI不正検知ソリューションを本格導入したとプレスリリースで発表しています。2024年の事例であるため最新導入ではありませんが、カード会社側の検知が固定ルールから機械学習を併用する方式へ移る具体例です。ソリューションの詳細は、PKSHA Securityの公式ページで案内されていますが、掲載内容は変更される場合があるため、最新情報は同社へ直接照会します。
リスクベース認証の判定フロー
EMV 3-Dセキュアは、危険度の低い決済をスムーズに通し、不審な決済へ追加認証を要求します。
認証フロー | 判定 | 利用者の動作 | 代表例 |
|---|---|---|---|
フリクションレスフロー | 低リスク | 追加入力なし | 普段の端末、同じ配送先、通常金額 |
チャレンジフロー | 中・高リスク | ワンタイムパスワードや生体認証 | 初回端末、高額購入、海外IP |
否認・保留 | 高リスク | 決済停止または本人確認 | 短時間の連続試行、換金性商品の大量購入 |
低リスク取引まで全件チャレンジフローにするとカゴ落ちが増えます。一方、追加認証を減らしすぎると不正を通すため、EC事業者は認証率だけでなく、決済承認率、不正率、チャージバック率、購入完了率を同じ期間で測定します。
利用通知と本人確認
本人が明細を見る前に不正が分かるのは、検知システムが取引を保留し、SMSやアプリで利用意思を照会するためです。
ただし、利用確認通知を装ったフィッシングもあります。通知に「至急」「24時間以内」と書かれていても、本文のURLは開かず、カード会社の公式アプリを直接起動します。アプリに同じ通知がなければ、カード裏面または公式サイトに掲載された電話番号へかけ直します。
身に覚えがない請求と間違えやすい失敗パターン
身に覚えのない請求は、不正と断定する前に店舗名、家族利用、定期課金、少額テスト決済を順番に切り分けます。
不正利用と誤認しやすい5つのケース
明細の表示名が購入した店舗名と異なるケースは多い一方、1円や100円の請求を単なる確認処理と決めつけるのも危険です。
確認ポイント | 考えられる原因 | 判断方法 |
|---|---|---|
明細の店舗名が違う | 運営会社名や決済代行会社名で表示 | 利用日、金額、購入メールを照合 |
金額が少し違う | 為替レートや海外事務手数料 | 請求通貨と確定日のレートを照合 |
家族に心当たりがある | 家族カード、ゲーム、ファミリー共有 | 家族明細とアプリ購入履歴を照合 |
無料のはずが請求された | 無料期間終了後の自動課金 | 契約メールと更新日を照合 |
1円・100円などの少額 | カード確認処理または不正な試し打ち | 加盟店へ確認し、不明ならカード会社へ申告 |
ゼロ円や1円のオーソリは、正規サービスがカードの有効性を確認する目的でも使います。利用したサービスと一致すれば取消処理を待ち、一致しなければ明細画面を保存してカード会社へ連絡します。後日消えるはずだと決めつけて放置しません。
検索広告とSMS経由の二次被害
不審請求を見つけた直後に、検索結果やSMSから偽窓口へ連絡する行為は被害を拡大させます。
返金代行を名乗るサイトへカード番号や本人確認書類を送る、遠隔操作アプリを入れる、SMSのリンク先でログインする行為は避けます。公式アプリからカードを一時停止できれば先に停止し、連絡先はカード現物、公式アプリ、事前に保存した公式サイトから取得します。
カード停止による支払い障害
カードを再発行すると、公共料金、携帯電話、クラウドサービス、広告費などの継続決済が止まる場合があります。
不正が疑われる場合は業務影響より停止を優先しますが、再発行後の更新先を先に一覧化すると復旧漏れを減らせます。法人カードでは、支払先、サービス責任者、更新日、代替決済手段を台帳へ記録します。共用カードを停止して複数サービスが同時停止する失敗は、カードの用途分離で防げます。
過剰ブロックによる売上損失
EC事業者が不正判定を厳しくしすぎると、正規顧客のオーソリ不承認とカゴ落ちが増えます。
高額注文、海外IP、注文者と配送先の不一致だけで一律拒否すると、贈答、出張中の購入、訪日客なども止まります。ルール変更前後で不正率だけを比較せず、決済承認率、購入完了率、問い合わせ件数、目視確認時間を測ります。不正率が下がっても正常売上の減少額が上回るなら、判定条件を高リスク商品や複数シグナルの一致へ絞ります。
▲ 身に覚えのない請求があった場合の切り分け判別フロー
犯人はバレる？誰が使ったかわかるか
クレカ不正利用の犯人を被害者個人が特定するのは困難であり、カード会社や警察によるログ照会と捜査が必要です。
個人による犯人特定の限界
明細に表示される加盟店名だけでは、利用者の氏名、IPアドレス、配送先まで確認できません。
加盟店や通信事業者が持つ情報は、本人から問い合わせてもプライバシーや捜査上の理由で開示されないことがあります。SNSで相手を探す、配送先と思われる住所へ行く、不審な出品者へ連絡する行為は、誤認、脅迫、追加の個人情報流出につながります。個人は証拠保全と申告に集中します。
IPアドレスと端末情報の追跡
カード会社、決済事業者、EC加盟店は、取引時のIPアドレス、端末識別情報、ブラウザ、ログイン履歴を照合します。
犯人がVPNや海外サーバーを使っても、同じ端末からの複数注文、アカウント作成時刻、配送先変更、決済試行の間隔などが関連付く場合があります。これらは犯人の氏名を直接示す証拠ではありませんが、複数事件を結び付け、通信事業者やサービス事業者へ照会する手掛かりになります。
配送先と防犯カメラの追跡
商品を伴う不正注文では、配送伝票、転送履歴、置き配写真、受取店舗の防犯カメラが捜査対象になります。
ホテル、私書箱、空室、第三者宅が配送先に使われることもあるため、配送先の名義だけで犯人と断定はできません。警察や加盟店は、受取時刻、端末ログ、連絡先、配送指示の変更を組み合わせます。被害者側に誤配送の商品が届いた場合は開封や転送をせず、カード会社と警察の案内に従って保管します。
転売履歴と資金経路の追跡
フリマアプリの出品履歴、登録口座、売上金の移動、端末情報は、不正購入品の換金経路を追う材料です。
警察庁はサイバー空間の脅威に関する公表資料で、フィッシングによる認証情報の窃取や不正利用を継続的に扱っています。捜査の背景については、警察庁のサイバー空間をめぐる脅威に関する公表資料ページおよび警察庁サイバーセキュリティ統計・報告書一覧で最新の公表内容を参照できます。
行為に応じた刑事責任
盗んだカード情報の利用は、行為の内容に応じて詐欺罪、電子計算機使用詐欺罪、不正アクセス禁止法違反などが問題になります。
どの犯罪が成立するかは、情報を入手した方法、ログインの有無、商品やサービスを取得した方法によって異なります。被害額が補償された場合でも犯罪行為が消えるわけではありません。明細、SMS、メール、注文通知、相手との連絡記録を削除せず、カード会社や警察へ提出できる状態にします。
クレジットカードを不正利用されたら誰が払う？
会員に重大な過失がなければ原則0円となるカード会社補償の対象ですが、届出期限や利用状況などの例外条件が存在します。
「カード会社が必ず全額を負担する」という意味ではありません。会員への請求を取り消した後、カード発行会社、加盟店、加盟店契約会社のどこが最終損失を負うかは、認証結果、国際ブランドのルール、加盟店契約によって変わります。
会員補償の基本
第三者による利用と認定され、会員規約の申告期限と調査協力の条件を満たせば、会員への請求は取り消されるのが一般的です。
引き落とし前なら請求取消、引き落とし後なら口座への返金または翌月以降の請求との相殺が行われます。調査中の支払い処理はカード会社によって異なるため、申告時に「引き落としを止めるのか」「一度支払って後日返金するのか」を聞き、回答を記録します。
関係者 | 通常の対応 | 主なリスク |
|---|---|---|
カード会員 | 不正申告と調査協力 | 規約違反や申告遅れによる自己負担 |
カード発行会社 | 利用停止、調査、請求処理 | 補償費用と調査費用 |
EC加盟店 | 取引・配送証拠の提出 | 売上取消、商品損失、手数料 |
加盟店契約会社 | チャージバック処理 | ブランドルールに基づく精算 |
補償対象外となる主な条件
届出の遅れ、暗証番号の管理不備、家族利用、調査への不協力は、自己負担につながる代表的な条件です。
ケース | 補償判断への影響 | 取るべき対応 |
|---|---|---|
届出期限の超過 | 規約上の補償期間外になる場合がある | 不明請求を発見した当日に申告 |
暗証番号の漏洩 | 管理状況や取引方法を個別審査 | 推測しやすい番号を避け、他人に伝えない |
署名欄の未署名 | 署名欄があるカードでは規約違反を審査 | 発行会社の券面・規約に従う |
家族・同居人の利用 | 第三者利用と認められない場合がある | 本人名義カードを貸さず、家族カードを使う |
虚偽申告・調査拒否 | 補償を受けられない場合がある | 明細、警察相談番号、経緯を提出 |
「60日ルール」は法律で全カードへ一律に適用される制度ではなく、各カード会社が会員規約で補償期間を個別に定めている例を指す通称です。起算日・期限・条項名はカードごとに異なるため、申告時にカード会社へ「補償期間を定めた規約条項名」を確認します。条項名が分かれば手元の会員規約と照合でき、期限内かどうかを自分で確認できます。期限内なら調査へ進み、期限外でも申告自体は行い、カード会社の個別判断と加盟店への取消交渉の可否を確認します。
EC加盟店のチャージバック
チャージバックとは、カード会員が不正利用を申し立てた取引について、加盟店の売上が取り消される仕組みです。
商品を発送済みなら、EC事業者は商品原価、売上、送料に加えて、決済会社との契約によっては処理手数料も負担します。高換金商品を扱う店舗では、一件の不正が数十万円の損失になるため、決済承認だけで出荷せず、認証結果と不正検知結果を出荷判定へ連携します。
ライアビリティシフトの適用条件
EMV 3-Dセキュアの認証が所定の条件で成立した取引では、国際ブランドのルール上、不正利用損失の責任が加盟店側からカード発行会社側へ移る仕組みが設けられています（ライアビリティシフト）。ただし、3Dセキュアを導入しただけで全取引の損失が移るわけではなく、認証結果の種別、取引区分、例外取引、加盟店契約の内容が適用可否を左右します。適用条件の詳細は契約する決済代行会社または加盟店契約会社に確認します。EC事業者はライアビリティシフト対象を示す認証結果コードを決済代行会社から取得できるなら注文データに保存し、取得できないならチャージバックを想定した出荷前審査を維持します。
▲ クレジットカード不正利用における関係者間の負担と処理構造
クレジットカード不正利用の調査方法と初動
不正利用を疑った最初の10分は、カード停止、証拠保存、公式窓口への申告、関連アカウントの保護の順で動きます。
最初の10分で行う初動
被害拡大を止めながら、後の調査に使う記録を失わない順序で対応します。
0～2分：公式アプリの一時停止機能が使える場合はカードを停止します。
2～5分：明細、利用通知、SMS、メールを日時が分かる状態で保存します。
5～8分：カード裏面または公式サイト掲載の窓口へ連絡し、利用停止と調査を依頼します。
8～10分：メール、ECサイト、カード会員ページのパスワードを変更し、ログイン中の端末を解除します。
カードを紛失していなくても番号盗用は継続するため、不正明細が一件でも確認できれば一時停止だけで終えず、カード番号の無効化と再発行の要否をカード会社へ聞きます。
カード会社による調査手順
調査は、本人への利用確認、加盟店への照会、認証・配送情報の検証、補償判断の順に進みます。
時点 | カード会社側の処理 | 利用者側の処理 |
|---|---|---|
発見当日 | 利用停止、不審取引の特定 | 明細と通知を保存して申告 |
当日～数日 | 本人利用の聞き取り | 日時、金額、心当たりの有無を回答 |
数日～数週間 | 加盟店、認証、配送情報の照会 | 注文履歴や警察相談番号を提出 |
数週間～2カ月程度 | 第三者利用と補償可否の判断 | 返金方法と再発行後の更新先を確認 |
数週間から2カ月は一般的な目安であり、海外加盟店、デジタル商品、複数国を経由した決済では長引くことがあります。申告時に受付番号と次回連絡予定日を控え、予定日を過ぎても連絡がなければ受付番号を伝えて進捗を照会します。
調査で照合される情報
カード会社は、利用日時、金額、加盟店、端末、IPアドレス、3Dセキュア結果、配送先、過去の利用傾向を照合します。
実店舗では伝票、暗証番号入力の有無、防犯カメラ、カード読取方式などが対象になります。オンライン取引ではログイン履歴、アカウント変更、端末識別情報、配送記録が中心です。カード会員が保持していないログは、カード会社から加盟店や決済事業者へ照会します。
警察相談と受理番号の取得
カード会社から被害届や相談記録を求められた場合、警察へ経緯を伝えて受理番号または相談番号を取得します。
警察へ持参する情報は、カード会社の受付番号、不正利用日時、金額、加盟店名、保存したSMSやメール、商品が届いた場合の配送伝票です。警察が被害届ではなく相談として受け付けた場合は、相談日時、警察署名、相談番号をカード会社へ伝えます。カード会社の指定書類があるならその様式を使い、ないなら次の記録項目を一枚にまとめます。
申告メモのテンプレート
発見日時：
不正利用の日時・金額・加盟店：
カードを最後に正常利用した日時：
カードの紛失有無：
3Dセキュア通知の受信有無：
カード会社の受付番号・担当窓口：
警察署名・相談番号または受理番号：
電話を使った聞き取り詐欺への警戒
正規窓口を名乗る相手であっても、電話口で暗証番号全桁やワンタイムパスワードを伝えません。
本人確認方法はカード会社ごとに異なりますが、暗証番号や認証コードを聞かれた時点で通話を終了し、カード裏面または公式アプリの番号へかけ直します。着信番号が公式番号と同じ表示でも、番号偽装の可能性を排除できません。調査担当者には受付番号を伝え、前回の申告記録とひも付くことを確かめてから回答します。
▲ 不正利用を疑った際に行う「最初の10分間」の初動手順
クレジットカードの不正利用を防止するための対策
個人は利用通知とアカウント保護、法人はカード台帳と権限分離、EC事業者は3DセキュアとAI不正検知を組み合わせます。
個人が今日から行う対策
被害を早期発見するには、月次明細だけでなくリアルタイム通知と週次確認を併用します。
利用通知を有効にし、1円や100円の身に覚えがない決済も照合します。
カード会社、メール、ECサイトで異なるパスワードを設定します。
多要素認証を有効にし、バックアップ用のメールと電話番号も保護します。
SMSやメールのリンクではなく、公式アプリや保存済みブックマークからログインします。
暗証番号に生年月日、電話番号、連番を使いません。
カードを再発行したら、公共料金、通信費、サブスクリプションの登録を更新します。
週1回の確認なら、一回5分として月20分程度で済みます。月1回だけの確認より発見までの時間を短くでき、規約上の届出期限を超えるリスクも抑えられます。
情シスと法人カード管理者の規模別対策
法人の管理方式は従業員数だけで決めず、カード枚数、利用部門、月間決済件数、退職者処理の頻度を基準に選びます。
組織規模の目安 | 管理方式 | 切り替え判断 |
|---|---|---|
50名未満 | 管理者を固定し、カード台帳と月次照合を実施 | カードが10枚以内で利用者を追跡できる間 |
50～300名 | 部門別カード、利用通知、SaaS支払台帳、四半期棚卸し | 退職・異動や支払先変更が毎月発生する段階 |
300名超 | 経費精算、ID管理、監査ログ、カード制御を連携 | 手作業では利用者と支払先を即日特定できない段階 |
この人数区分は公的基準ではなく、運用設計の出発点です。50名未満でも共用カードで広告費やクラウド料金を集中決済しているなら、部門別カードへ分割します。300名超でもカードが少数なら、まず利用者、用途、上限、支払先、代替手段を台帳化し、棚卸し時間が月8時間を超えた段階で自動連携へ切り替えます。
EC事業者の多層防御
3Dセキュアだけで不正対策を完了させず、ログインから出荷までを複数の防御層でつなぎます。
対策 | 主に防ぐ手口 | 注意点 |
|---|---|---|
EMV 3-Dセキュア | 盗用番号による本人なりすまし | OTPフィッシングとカゴ落ちは残る |
AI不正検知 | 不審端末、住所、注文パターン | 誤ブロック率を継続測定 |
不正ログイン対策 | 登録済みカードの悪用 | ログイン後の住所変更も監視 |
出荷前確認 | 高換金商品の持ち逃げ | 全件目視は工数が増える |
不正検知システムは、注文者のIPアドレス、端末、配送先住所の表記ゆれ、メールアドレス、購入速度、過去のチャージバック情報を組み合わせて判定します。O-PLUX、ASecure3D、Siftなどは扱うデータや提供範囲が異なります。EC事業者が監査ログと判定理由を取得できるなら限定商品で検証し、取得できないなら誤ブロックの原因を分析できる代替手段を残します。
LIXILストアのAI不正検知導入事例
かっこ株式会社の発表によると、LIXILストアは高単価商品の不正注文と目視確認の負担に対してO-PLUXを導入し、実際の注文データを用いたトライアルで97％のブロック率を記録したとしています。
業種・規模 | 導入時期 | 課題→施策→成果 |
|---|---|---|
住生活関連商品の公式EC | 2026年5月公表 | 月数千万円規模の被害と毎日30分超の確認作業→O-PLUX導入→事前検証で97％を検知し、不正被害と出荷停止作業を大幅に抑制 |
かっこ株式会社が公開するLIXILストアのO-PLUX導入事例では、浄水カートリッジや窓拭きロボットなどが狙われ、3Dセキュアをすり抜ける不正が課題だったと説明しています。97％は同社の事前検証条件における数値であり、他の商材へそのまま適用できる保証値ではありません。導入評価では、同じ期間の不正阻止額、正常注文の否認率、確認工数、決済承認率を測ります。
3Dセキュアを補完する運用
OTPをリアルタイムで盗むフィッシングや、乗っ取ったアカウントの登録済みカード利用は、3Dセキュアだけでは止めきれません。
初回端末から配送先を変更し、直後に換金性商品を購入した注文は、認証成功済みでも追加審査へ回します。一方、既存顧客が普段の端末と配送先で通常金額を決済する場合は、低リスクとして処理します。判定ルールを月1回見直し、チャージバックとなった注文の共通点を次月のルールへ反映します。
生成AI利用時のセキュリティ実務
生成AIへカード番号、明細原本、顧客の配送先、認証ログを入力しないことが、カード情報を扱う業務の基本ルールです。
問い合わせ文の要約や不正傾向の分析に生成AIを使う場合は、カード番号を末尾4桁だけにし、氏名、住所、電話番号、セキュリティコードを削除します。法人向け環境で入力データの学習利用を制御でき、管理者が監査ログを取得できるなら匿名化したデータで限定検証へ進みます。条件を満たせない場合は実データを投入せず、架空データで手順だけを検証します。
よくある質問
クレジットカード不正利用に関する緊急性の高い疑問へ、判断基準を簡潔に回答します。
Q：身に覚えのない1円や100円の請求があった場合はどうしますか？
A：加盟店名と直近の注文履歴を照合し、正規サービスのカード確認処理かを調べます。一致しない場合は明細を保存してカード会社へ当日中に連絡し、高額決済へ進む前にカードを停止します。
Q：補償申請が却下される主な理由は何ですか？
A：会員規約の届出期限超過、家族・同居人の利用、暗証番号の管理不備、調査への不協力などです。却下理由と根拠となる規約条項を書面で聞き、事実認定に誤りがあれば明細や警察相談番号を添えて再照会します。
Q：カードを不正利用されたら誰が払いますか？
A：第三者利用と認定され、会員に重大な過失がなく規約の条件を満たせば、会員負担は原則0円です。最終的な損失は、認証結果や契約に応じてカード発行会社、加盟店、加盟店契約会社の間で処理されます。
Q：クレカ不正利用の犯人はバレますか？
A：被害者個人による特定は困難ですが、カード会社や警察はIPアドレス、端末、配送先、防犯カメラ、転売履歴を追跡できます。自分で接触せず、明細や通知を保存して正式な窓口へ提出します。
Q：不正利用の調査にはどのくらいかかりますか？
A：一般的な目安は数週間から2カ月程度ですが、海外加盟店や配送記録の照会では長引く場合があります。申告時に受付番号、次回連絡予定日、調査中の請求処理を聞いて記録します。
まとめ
不審な請求に備える最初の一歩
クレジットカード不正利用の中心は、オンライン決済における番号盗用です。利用通知を有効にし、週1回の明細確認を始めるだけでも、少額テスト決済や届出遅れを防ぎやすくなります。
不審請求を見つけたら、公式アプリでカードを停止し、明細と通知を保存して公式窓口へ連絡します。犯人を自分で追跡せず、カード会社と警察へ記録を渡します。法人はカード台帳、EC事業者は3DセキュアとAI不正検知を組み合わせ、決済だけでなくログインから出荷までを守ります。
防犯チェックリスト
利用通知をオンにしている
1円や100円の不明請求も照合している
カード、メール、ECサイトでパスワードを使い回していない
SMS内のURLからログインしていない
カード会社の公式連絡先を確認できる
法人カードの利用者、用途、支払先を台帳化している
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
