不正検知・ノウハウ

フォームジャッキングの被害状況や防止策。ECサイト利用が増える今、不正検知や対策を。

ECサイトなどの注文情報入力ページにコードを仕掛け、クレジットカード情報を盗みだすフォームジャッキング。
この記事ではフォームジャッキングによるカード情報の流出状況とEC事業者ができる防止策について紹介します。

フォームジャッキングによりカード情報の流出被害が拡大

カード情報の流出はこれまでも問題となっており、2018年6月に施行された改正割賦販売法では加盟店(実店舗・EC事業者等)に対してカード情報の非保持化が義務付けられました。

この非保持化により情報流出を抑制する効果が期待されており、実際に加盟店のデータベースが狙われることによる流出は非常に少なくなりました。

しかし、2018年下半期から目立ってきたのが「フォームジャッキング」という不正手口で、流出件数も拡大しているのが現状です。

不正対策サービスを提供しているかっこ株式会社の調査によると、直近の2019年上半期(1月~6月)のクレジットカード番号流出は約9万件。
これは前年同期に比べて2倍近くの数字です。

参考:金融情報流出、日本で急増 被害1兆円の試算
カード番号は倍増、対策急務│日本経済新聞

フォームジャッキングを防ぐには

では、クレジットカード情報の流出につながるフォームジャッキングを防ぐにはどのような対策をすればいいのでしょうか。

フォームジャッキングは注文画面などの改ざんによるものです。改ざんのためには、多くの場合ECサイト等のサーバー・管理画面への侵入が必要ですから、ネットワーク・アプリケーションに関する一般的なセキュリティ対策が有効となります。
まずは現時点での状況を知るためにセキュリティ会社などが提供する「脆弱性診断」を受けることをおすすめしますが、事業者が行える対策例として、次のようなものが挙げられます。

管理画面のURLを推測されにくいものにする

管理画面で使用するIDやパスワードを社名など推測しやすいものにしない、
誤入力が繰り返された場合にはアクセスを遮断する、
といった対策はもちろん大切ですが、見落としやすいのが管理画面のURL。
初期設定のものだったり、「/admin」など推測しやすいものだと攻撃に遭うリスクが高まってしまいます。

ファイアウォールの設定

ファイアウォールとは、外部ネットワークとの結節点となる場所に設置して悪質な通信を阻止するシステムです。

インターネットのデータ受信は、ポートとプロトコルという2つの規則が設定されています。

ファイアウォールを設定すると、不要なポートとプロトコルを遮断でき、不審なアクセスのブロックに役立ちます。

また、不正なアクセスがあった場合に管理者へ通知することも可能なため、様々な状況に対応が可能です。

WAF

WAFはWeb Application Firewallの略で、Webサイト上のアプリケーションに特化したファイアウォールです。
また、アプリケーションの脆弱性を狙う攻撃からWebサイトを保護できるようになるため、フォームジャッキングによる被害削減が見込めます。

IPS

IPS(Intrusion Prevention System)を導入すると不正な通信を感知し、アクセスを防止したり、アクセス元のIPアドレスを遮断したりできます。

不正の手口はデータの閲覧・盗用だけでなく、一定期間に大量のアクセスを行いサーバーに負担をかけるといったものもあります。

IPSは、そうした攻撃にも対応が可能です。

IPアドレス認証

IPアドレス認証は、あらかじめアクセスを許可するIPアドレスを設定しておき、ログイン時・アクセス時に照合する方法です。
自社や取引先のIPアドレスのみを許可しておくことで、不正アクセスが起こりにくい環境をつくります。

Basic認証

Basic認証は、事前に設定したIDとパスワードを照合することで簡易的にWebサイト・特定ページなどへのアクセス認証を行う仕組みです。
Webサーバ上に「.htaccess」という設定ファイルを設置・利用することで簡単に設定できありますが、あくまで簡易的な仕組みなので、不正対策という面では補助的に利用するのが良いでしょう。

ECサイト利用が増える年末年始は対策が必須

年末から年始にかけては、独身の日、ブラックフライデーからボーナス商戦、クリスマス、正月の初売り、それからバレンタインデーとEC事業者にとってイベントが続くかきいれ時。ただ、プロモーションや受注対応に追われがちな時期だからこそ、クレジットカード情報の流出で足元をすくわれないよう注意が必要です。
被害に合わないためにもフォーム画面のURLが改ざんされていないかなど、定期的に確認することが大切です。

不正検知のシステムについてメリットデメリットを紹介しています。本記事と合わせてご参考まで。

ピックアップ記事

  1. 受取拒否にならないようにするには
  2. なりすましによる不正の被害内容と具体的な対策(不正検知)について 
  3. 後払い決済の手順や支払い方法は?購入者にとってのメリット・デメリットや未払い時の…
  4. 不正検知システムとは?「取引データや分析結果から決済前に危険性を判断する」仕組み…
  5. キャッシュレスとは?何が変わるのかを消費者、事業者の視点から解説

関連記事

  1. 不正検知・ノウハウ

    チャージバック保険とは?保証の仕組みと不正利用対策としての効果について

    ECなどの非対面取引でチャージバックが発生した場合、本人確認(*)が行…

  2. 不正検知・ノウハウ

    代金未回収のリスクを回避できるキャリア決済。導入する場合のメリット・デメリット

    「キャリア決済」を利用すると、EC事業者は購入者が契約するキャリア(電…

  3. 不正検知・ノウハウ

    企業が行うチケットの転売対策と購入者がやむなく転売する際の注意点について

    平成30年法律第103号として「特定興行入場券の不正転売の禁止等による…

  4. 不正検知・ノウハウ

    【後払い未払い発生時の対策】督促手順や支払う意思がない購入者への対応について

    決済方法の1つとして挙げられる「後払い」。購入者にとってはクレ…

  5. 不正検知・ノウハウ

    クレジットカード決済の不正検知対策を行うための体制構築・オペレーションを解説

    ECサイトにおける不正検知対策の体制構築・オペレーションを検討する場合…

  6. 不正検知・ノウハウ

    不正転売・悪質転売とは?

    「不正転売」「悪質転売」とはどういったものを指すのでしょうか。…

おすすめ記事

  1. なりすましによる不正の被害内容と具体的な対策(不正検知)につ…
  2. コード決済(QRコード決済)における不正流出したクレジットカ…
  3. 受取拒否にならないようにするには
  4. 後払い決済の手順や支払い方法は?購入者にとってのメリット・デ…
  5. 不正検知システムとは?「取引データや分析結果から決済前に危険…

ECサイト不正利用。巧妙化する手口


PR

  1. ニュース・業界動向

    IPA(独立行政法人情報処理推進機構)が「情報セキュリティ10大脅威 2020」…
  2. 不正検知・ノウハウ

    企業ができるクレジットカード決済での具体的な不正検知対策とは
  3. 不正検知・ノウハウ

    PSP(Payment Service Provider)とは?決済サービスプロ…
  4. 不正検知・ノウハウ

    3Dセキュア導入のメリットとデメリット。クレジットカード決済を利用する場合は自社…
  5. セキュリティ用語

    決済代行会社とは何か?特徴や決済方法の動向を踏まえて解説
PAGE TOP