ドイツのサイバー犯罪対策国家中央事務所（LZC）とラインラント・プファルツ州警察が、ダークウェブ向けのデータセンターを強制捜査したとの報道がありました。
今回、ドイツ警察が動いたデータセンターはかってNATOの建物だった場所に設置されていました。
容疑者は13人に及び、うち7人はその場で逮捕。6人には逮捕状が発行されました。
参考（ドイツ語）：Generalstaatsanwaltschaft Koblenz und das Landeskriminalamt Rheinland-Pfalz teilen mit:
「ダークウェブ」とは特殊なブラウザソフトなどを使わなければ接続できないインターネットサイトの総称で、麻薬や児童ポルノ、偽造免許証など多くの違法な物品が売買されていると考えられています。
発信元の特定が難しいことから犯罪収益の資金洗浄にも使われており、今後も対策の強化が求められています。
今回は、ダークウェブからの情報流出と、流出からの国内での悪用ケースをご紹介します。
ダークウェブでは「クレジットカード情報」の取引も。日本国内では1件1万円程度？
ダークウェブで取引されているものとして挙げられるのが「クレジットカード情報」です。
VISA・Mastercardといった国際ブランドの付与されたクレジットカードから、プリペイド・デビットの情報、決済に用いられるアカウント情報まで扱われていると言われます。
中には実物のクレジットカード（決済情報を転載したクローンと考えられています）の購入もでき、こういった幅広さからも不正利用の手口が多岐にわたると想定できます。
とくに日本人のカードは与信力が高いとされており、海外のダークウェブでは1件あたり10ドルを超えて取引されているそうです。
金額は有効期限や与信枠等によっても変動し、100ドルほどに及ぶものもあります。
日本国内では1人あたり1万円程度で取引されているとも言われ、安価に購入した情報を他サイトで転売するケースも確認されています。
流出した情報を使われないための仕組みの強化が必要
流出したカード情報は、2018年頃から一般的となった各種コード決済での悪用が目立っています。
一例として、2018年12月、決済サービス「PayPay」でのクレジットカードの不正利用が多数発生したことが挙げられます。
参考：クレジットカード取引におけるセキュリティの改善状況について（PayPay株式会社）
12月4日～13日にかけてPayPayが行った100億円に及ぶ大規模な還元キャンペーン時に、他人のカード情報をアプリに入力し買い物をするといった不正利用が報告されています。
これはダークウェブ上で個人のカード情報が大量に流出・流通したことと、アプリにカード情報を登録する際の仕組みをあわせて悪用された結果だと考えられています。
これに対しPayPay側は入力回数に上限を設けるなどの改善策をとり、19年5月には不正発生率を0.0004%まで削減したとの発表がありました。
このケースでわかるのは、残念ながらカード情報流出のリスクは非常に高まっており、流出しても使われにくい仕組みを作っていくことが大切だということです。
実際にダークウェブでクレジットカード情報だけを入手され、その他のセキュリティコードや暗証番号は数字の組み合わせを手当たり次第に試し探り当てる「総当たり攻撃」で特定するケースも確認されています。
消費者側の意識も大切ですが、決済に関する情報を扱う事業者側には、注意して顧客情報を管理する体制づくりや、認証の強化などで不正を阻止する仕組みづくりが必須と言えます。
特にコード決済に関しては、一般社団法人キャッシュレス推進協議会が各事業者に向けて「コード決済における不正流出したクレジットカード番号等の不正利用防止対策に関するガイドライン」を作成し提示しています。
興味がある方は以下にガイドラインのアドレスを掲載しますのでご覧ください。
参考：コード決済における不正流出したクレジットカード番号等䛾不正利用防止対策に関するガイドライン：一般社団法人キャッシュレス推進協議会 Ver. 1.0 2019年4月16日
