サイバーセキュリティ企業のNordVPNは、国内で年間510.5億円の被害が出ているクレジットカード不正利用に関し、盗難カードの使われ方の傾向を発表しました。脅威分析チームがダークウェブ上の議論を分析した結果、Apple PayやGoogle Payなどのスマホ決済に盗難カードを登録する手口に関する話題がこの1年で約3倍に増え、急速に拡大していることが示されました。背景には、ネット通販での3Dセキュア普及によりカード番号だけでは決済しにくくなったことが挙げられています。加えて、スマホ決済は登録時に一度本人確認を通過すれば、その後の支払いは端末の生体認証で行える点が悪用されています。ICチップ普及で偽造カードが使いづらくなる中、店頭のタッチ決済でカード本体が不要となることや、ギフトカードなどを転売して現金化しやすい点も要因として示されました。
登録時の本人確認が突破の焦点となる実態と市場動向
スマホ決済への登録時には、カード会社がSMSコードやアプリ承認などで正当性を確認します。犯罪者はこの一点を突破するため、カード会社や銀行を名乗って確認コードを聞き出す手口や、フィッシング、SIMスワップでコードを横取りする方法を用いる例が挙げられました。ダークウェブでは確認コード窃取の話題が増加し、登録に成功しやすいとされる「ウォレット対応」カードも販売されているとされています。盗難カードの価格は「使える見込み」で格付けされ、約22ドルから35ドル、残高5,000ドル以上で約38ドルなどの水準が示されました。平均価格は約10ドルで、米国カードは約10～12ドル、日本のカードは中央値27ドルと高い傾向です。氏名や住所、電話番号などの個人情報が複数付くと価格は23ドル超に上昇し、カード停止後も個人情報だけが残る「デッド・フルズ」は約1ドルで取引されています。
NordVPNが示す実務的な対策とCTOコメント
NordVPNは被害抑止に向け、カード利用通知の有効化を推奨しています。予期せぬ連絡の相手に確認コードを伝えないこと、新しい端末への追加通知を見落とさないこと、身に覚えのない登録が判明した際はカード会社へ連絡し、カード停止に加えてスマホ決済の登録も無効化できるか確認することを呼びかけています。最高技術責任者のマリユス・ブリエディス氏は、地下市場では情報を現金化できるかが重視され、本人確認やアカウントアクセスなど周辺の弱点が狙われていると述べています。さらに、決済カードは停止できる一方で、生年月日や住所などは長期に出回るおそれがあると指摘しました。調査は9つのダークウェブマーケットプレイスの24,000件超の出品と、フォーラムやTelegramにおける約3,900件の投稿を対象とし、2025年第3四半期から2026年第3四半期までの推移を分析しています。調査データはNordLayer Intelligenceを用いて収集されたと説明されています。
詳しくは「Nordvpn S.A.」の公式ページまで。レポート／DXマガジン編集部
