セキュリティ用語

フォームジャッキングとは?手口や事例、対策方法について解説

2018年以降、「フォームジャッキング」と呼ばれるECサイトの決済フォーム改ざんによる不正被害が拡大しています。

この記事では

  • フォームジャッキングとは何か
  • フォームジャッキング被害が増加している背景
  • フォームジャッキングを防ぐための対策

といった内容を解説します。

フォームジャッキングとは何か

フォームジャッキングとは、情報を盗むためのコードをECサイトなどの注文情報入力フォームに仕掛け、決済ページや購入ページからクレジットカード情報を盗みだす手法を指します。

具体的には以下の2つの手口が確認されています。

手口①


1つ目の手口はリンク型決済です。

こちらの手口はECサイトを改ざんし、ユーザーが決済へ進むと偽のカード情報入力画面に誘導されます。

偽の画面にカード情報を入力し送信するとカード情報が不正者の元へ送信されてしまいます。

送信後、一度エラー表示となり正しい決済画面へと誘導されるためユーザーは情報を盗まれたことに気づきにくいです。

手口②


2つ目の手口はトークン型決済と呼ばれるもので、ユーザーが入力フォームにカード情報を入力し確認ボタンをクリックすると、そのフォームに仕掛けられたJavaScriptが作動してカード情報がカード会社だけでなく、不正者にも送信されてしまうという仕組みです。

こちらも正しい決済画面から知らぬ間にクレジットカード情報が盗まれてしまうのでユーザーが不正に気づくことは難しいです。

これらの「フォームジャッキング」は、実店舗のクレジットカード決済端末機(CAT)などにスキマーという装置を仕掛けてカード情報を盗み出す「スキミング」という手口になぞらえて”WEB版のスキミング”とも呼ばれています。

フォームジャッキング増加の背景

フォームジャッキング増加の背景としては、皮肉なことですがECサイトなどでカード情報の非保持化が進んだことも理由に挙げられるでしょう。

2018年6月に施行された改正割賦販売法の、実務上の指針となっている「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2019-(実行計画2019)」では
対策の3本柱が述べられています。

●「実行計画」における対策の3本柱
1.クレジットカード情報保護対策:カード情報を盗らせない
2.クレジットカード偽造防止による不正利用対策:偽造カードを使わせない(主に実店舗)
3.非対面取引におけるクレジットカードの不正利用対策:なりすましをさせない(主にEC)

このうち 1 の対策として「加盟店におけるカード情報の非保持化」が記載されています。
ハッキングされて加盟店(EC事業者など)のサーバーに侵入されたとしても、そもそもカード情報を持っていなければ盗られようがありません。
(もちろん、侵入されてしまうこと自体は大きな問題ですが。)

そこで不正者は、情報がないなら入力させてしまえばいいと、フォームジャッキングという手口に移行してきたわけです。

ハッキングを防ぐことができれば、フォームジャッキングも含め加盟店に起因する流出は大きく減らせるはずですが、1社あたり一億円の投資が必要という専門家の意見もあり、現実的には難しいところです。

参考:金融情報流出、日本で急増 被害1兆円の試算│日本経済新聞

フォームジャッキングの被害を防ぐために

2019年5月、オープンソースのEC構築システム「EC-CUBE」を提供している株式会社イーシーキューブがフォームジャッキングに対する注意喚起を発表しました。ここではECサイト運営者にむけて効果の見込める対策や具体的なチェック事項を紹介しています。

参考:【重要】サイト改ざんによるクレジットカード流出被害が増加しています。│EC-CUBE

フォームジャッキングによるカード情報流出が多発している中、ECサイト運営者は利用しているサーバーやシステムのセキュリティ対策をこれまで以上に検討・実施していく必要があります。

フォームジャッキングへの対策

当サイトが考えるフォームジャッキングへの対策としては

  • 管理画面のURLを推測されにくいものにする
  • ファイアウォールの設定
  • WAFの導入
  • IPSの導入
  • IPアドレス認証
  • Basic認証

といったものが挙げられます。

フォームジャッキングは注文画面などの改ざんによって行われます。

改ざんのためには、ECサイト等のサーバー・管理画面への侵入が必要ですから、それを防ぐセキュリティ対策が有効です。

対策の1つとして、セキュリティ会社などが提供する「脆弱性診断」を受け、現状を知るのもおすすめです。

上記の対策について、詳しくは以下の記事をご覧ください。

また、当サイトを運営するかっこ株式会社は不正検知システムを提供しています。

不正検知に関するご相談は常に受け付けていますので、

  • 現状に不安がある
  • どんな不正対策から導入すればいいかわからない

といった方は、ぜひご相談ください。


アクセスから注文まで一貫して対応 かっこの不正検知サービス

ピックアップ記事

  1. 不正アクセスを検知する「不正検知システム」とは?
  2. 3Dセキュア2.0を導入後も不正注文対策は必要!理由とおすすめの不正検知システム…
  3. サイバー攻撃への対策5選!被害事例や対処法も解説
  4. 【後払い未払い発生時の対策】督促手順や支払う意思がない購入者への対応について
  5. 通販サイトが攻撃を受ける原因とリスク!4つのセキュリティ対策とは?

関連記事

  1. セキュリティ用語

    サイバー攻撃とは?代表的な7つの種類と事例・対策など総まとめ

    行政機関や企業などを狙ったサイバー攻撃は減る気配がなく、被害も増加傾向…

  2. 不正アクセス

    eKYCとは?注目が集まる3つの理由や、メリット・デメリットを解説!

    「eKYCとはどういう意味で、どのような特徴があるのだろう?」「e…

  3. セキュリティ用語

    クリプトジャッキングとは?広まった背景や手口について紹介

    仮想通貨取引におけるマイニング(採掘)の仕組みを悪用して不正に報酬(仮…

  4. セキュリティ用語

    決済代行の選び方は?失敗しない9つのポイントを徹底解説

    決済代行サービスは、料金形態や提供される機能がサービスごとに異なります…

  5. 不正検知・ノウハウ

    PSPとは?決済サービスプロバイダーの導入メリットと契約手順

    自社サイトに複数の決済方法を導入しようと考えたときに、選択肢として挙が…

  6. セキュリティ用語

    クレジットカードのセキュリティコードとは|クレカの不正対策や注意点を解説

    「クレジットカードで決済をしたいのに、セキュリティコードが分からない!…

フィッシング対策状況を今すぐチェック。「フィッシング対策セルフチェックシートWebサイトのなりすまし対策に!鉄壁PACK for フィッシング
クレジットカードの不正利用対策はしていない!?独自調査レポート
漫画3匹の子豚でわかるどこよりもわかりやすいWebセキュリティ入門
漫画ウサギとカメでわかるどこよりもわかりやすいEC不正注文対策 無料ダウンロード
自社の商品の転売状況を「転売チェッカー」で調べてみませんか?

おすすめ記事

  1. 【2024年最新】クレジットカードの不正利用被害は過去最高額…
  2. フィッシングサイトを検知する3つの方法!企業が受ける被害例も…
  3. 3Dセキュア2.0を導入後も不正注文対策は必要!理由とおすす…
  4. QRコード決済は危険?不正利用される原因や安全に使える電子決…
  5. 不正アクセスとは?主な4つの手口と対策、被害事例を紹介
漫画3匹の子豚でわかるどこよりもわかりやすいWebセキュリティ入門

お役立ち資料

いざという時に。不正アクセス被害後の対応手順マニュアル
  1. スマホ 通知

    不正検知・ノウハウ

    「フィッシングに対する保護を強化しましょう」は正式通知!保護強化の手順も解説
  2. 不正検知・ノウハウ

    AIを活用した不正検知が広がるメリットについて
  3. 不正アクセス

    100%迷惑メール!「不正アクセスによりあなたの個人情報が流出しています」という…
  4. EC構築・ノウハウ

    支払い方法にはどのようなものがある?決済方法の一覧と注意点を紹介
  5. ニュース・業界動向

    【注意】iPhoneに表示される不審なカレンダー通知への対策
PAGE TOP