セキュリティ用語

  •  PR 

フォームジャッキングとは?手口や事例、対策方法について解説

2018年以降、「フォームジャッキング」と呼ばれるECサイトの決済フォーム改ざんによる不正被害が拡大しています。

この記事では

  • フォームジャッキングとは何か
  • フォームジャッキング被害が増加している背景
  • フォームジャッキングを防ぐための対策

といった内容を解説します。

フォームジャッキングとは何か

フォームジャッキングとは、情報を盗むためのコードをECサイトなどの注文情報入力フォームに仕掛け、決済ページや購入ページからクレジットカード情報を盗みだす手法を指します。

具体的には以下の2つの手口が確認されています。

手口①


1つ目の手口はリンク型決済です。

こちらの手口はECサイトを改ざんし、ユーザーが決済へ進むと偽のカード情報入力画面に誘導されます。

偽の画面にカード情報を入力し送信するとカード情報が不正者の元へ送信されてしまいます。

送信後、一度エラー表示となり正しい決済画面へと誘導されるためユーザーは情報を盗まれたことに気づきにくいです。

手口②


2つ目の手口はトークン型決済と呼ばれるもので、ユーザーが入力フォームにカード情報を入力し確認ボタンをクリックすると、そのフォームに仕掛けられたJavaScriptが作動してカード情報がカード会社だけでなく、不正者にも送信されてしまうという仕組みです。

こちらも正しい決済画面から知らぬ間にクレジットカード情報が盗まれてしまうのでユーザーが不正に気づくことは難しいです。

これらの「フォームジャッキング」は、実店舗のクレジットカード決済端末機(CAT)などにスキマーという装置を仕掛けてカード情報を盗み出す「スキミング」という手口になぞらえて”WEB版のスキミング”とも呼ばれています。

\不正発覚した時に企業としてどう対応しますか?/

フォームジャッキング増加の背景

フォームジャッキング増加の背景としては、皮肉なことですがECサイトなどでカード情報の非保持化が進んだことも理由に挙げられるでしょう。

2018年6月に施行された改正割賦販売法の、実務上の指針となっている「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2019-(実行計画2019)」では
対策の3本柱が述べられています。

●「実行計画」における対策の3本柱
1.クレジットカード情報保護対策:カード情報を盗らせない
2.クレジットカード偽造防止による不正利用対策:偽造カードを使わせない(主に実店舗)
3.非対面取引におけるクレジットカードの不正利用対策:なりすましをさせない(主にEC)

このうち 1 の対策として「加盟店におけるカード情報の非保持化」が記載されています。
ハッキングされて加盟店(EC事業者など)のサーバーに侵入されたとしても、そもそもカード情報を持っていなければ盗られようがありません。
(もちろん、侵入されてしまうこと自体は大きな問題ですが。)

そこで不正者は、情報がないなら入力させてしまえばいいと、フォームジャッキングという手口に移行してきたわけです。

ハッキングを防ぐことができれば、フォームジャッキングも含め加盟店に起因する流出は大きく減らせるはずですが、1社あたり一億円の投資が必要という専門家の意見もあり、現実的には難しいところです。

参考:金融情報流出、日本で急増 被害1兆円の試算│日本経済新聞

EC運営に関する無料資料DLはこちら

フォームジャッキングの被害を防ぐために

2019年5月、オープンソースのEC構築システム「EC-CUBE」を提供している株式会社イーシーキューブがフォームジャッキングに対する注意喚起を発表しました。ここではECサイト運営者にむけて効果の見込める対策や具体的なチェック事項を紹介しています。

参考:【重要】サイト改ざんによるクレジットカード流出被害が増加しています。│EC-CUBE

フォームジャッキングによるカード情報流出が多発している中、ECサイト運営者は利用しているサーバーやシステムのセキュリティ対策をこれまで以上に検討・実施していく必要があります。

フォームジャッキングへの対策

当サイトが考えるフォームジャッキングへの対策としては

  • 管理画面のURLを推測されにくいものにする
  • ファイアウォールの設定
  • WAFの導入
  • IPSの導入
  • IPアドレス認証
  • Basic認証

といったものが挙げられます。

フォームジャッキングは注文画面などの改ざんによって行われます。

改ざんのためには、ECサイト等のサーバー・管理画面への侵入が必要ですから、それを防ぐセキュリティ対策が有効です。

対策の1つとして、セキュリティ会社などが提供する「脆弱性診断」を受け、現状を知るのもおすすめです。

上記の対策について、詳しくは以下の記事をご覧ください。

また、当サイトを運営するかっこ株式会社は不正検知システムを提供しています。

不正検知に関するご相談は常に受け付けていますので、

  • 現状に不安がある
  • どんな不正対策から導入すればいいかわからない

といった方は、ぜひご相談ください。

アクセスから注文まで一貫して対応-かっこの不正検知サービス- かっこの不正検知サービス

ピックアップ記事

  1. ECサイトでの情報漏洩対策とは?どんなセキュリティ強化をするべきか
  2. eKYCとは?注目が集まる3つの理由や、メリット・デメリットを解説!
  3. テレワークで気を付けるべきこと・必要なセキュリティ対策8つ
  4. 通販サイトが攻撃を受ける原因とリスク!4つのセキュリティ対策とは?
  5. 不正アクセスの手口とは?多様化する不正アクセスの発生状況や手口と検知対策も併せて…

関連記事

  1. セキュリティ用語

    クレジットカード業界におけるオンアス取引とオフアス取引の違いは何か?

    オンアス取引・オフアス取引とはクレジットカード業界における取引の種類を…

  2. 不正検知・ノウハウ

    クレジットカード番号だけで悪用される?確認方法・番号流出のケース・対応

    クレジットカード番号とは、クレジットカードの表面に記載されている14〜…

  3. セキュリティ用語

    フィッシングサイトとは?偽物と公式の見分け方や被害事例、情報流出を守る方法も解説

    フィッシングサイトとは、公式サイトに似せた偽サイトのことです。…

  4. 不正検知・ノウハウ

    不正転売とは?不正転売に関連するトラブルや、チケット不正転売禁止法について解説

    メディアでも採り上げられ、問題視されている「不正転売」。この記…

  5. 不正アクセス

    リスト型攻撃とは?攻撃を受けた場合の被害の例や対策を解説!

    「リスト型攻撃はどんな手口で行われるの?」「リスト型攻撃にはどんな…

  6. 不正アクセス

    eKYCとは?注目が集まる3つの理由や、メリット・デメリットを解説!

    「eKYCとはどういう意味で、どのような特徴があるのだろう?」「e…

EC不正事業者セルフチェックシート
漫画3匹の子豚でわかるどこよりもわかりやすいWebセキュリティ入門
漫画ウサギとカメでわかるどこよりもわかりやすいEC不正注文対策 無料ダウンロード

おすすめ記事

  1. チャージバックとは?不正が起こる原因と事業者が行うべき5つの…
  2. 【2024年最新】クレジットカードの不正利用被害は過去最高額…
  3. フィッシングサイトを検知する3つの方法!企業が受ける被害例も…
  4. 3Dセキュア2.0を導入後も不正注文対策は必要!理由とおすす…
  5. QRコード決済は危険?不正利用される原因や安全に使える電子決…
漫画3匹の子豚でわかるどこよりもわかりやすいWebセキュリティ入門

お役立ち資料

いざという時に。不正アクセス被害後の対応手順マニュアル
  1. EC構築・ノウハウ

    EC業界用語集〜不正編〜ジャンルごとに主要な用語を解説!
  2. 無断キャンセルをしてしまったら?

    不正検知・ノウハウ

    無断キャンセルをしてしまったら?予約時間に行けない理由や法的処分回避するための工…
  3. ニュース・業界動向

    自作プログラムでIDを大量に不正取得。ヤフーポイント約9300万円相当の被害、詐…
  4. EC構築・ノウハウ

    大手ECサイトAmazonの特徴は?メリット・デメリットや始め方を解説
  5. 自社型ECサイト

    EC構築・ノウハウ

    自社型ECサイトとは?おすすめの構築方法やメリット・デメリットを解説
PAGE TOP