セキュリティ用語

増加するオンラインスキミングとは?その手口と被害をまとめました

ECサイトからクレジットカードの決済情報を盗み取る、オンラインスキミングという手口が発生しています。

この記事では

  • オンラインスキミングとは何か
  • オンラインスキミングの主な手口
  • オンラインスキミングを防ぐために取るべき対策

について解説します。

オンラインスキミングとは何か

オンラインスキミングとは、ECサイトなどに不正なコードを挿入し利用者が入力した決済情報を盗む行為を指します。
ユーザーがフォームに入力したクレジットカード情報を盗み取るため、カード番号や有効期限だけではなく、不正利用防止のために設定されているセキュリティコードまで盗まれてしまいます。
さらに、本人認証用の3Dセキュアのパスワードまで盗まれることもあります。

オンラインスキミングの発生は日本だけではありません。
例えば、2018年9月にイギリスの航空会社British Airwaysのオンラインストアが、2019年4月にはアメリカとカナダで200以上の大学のオンラインストアが、サイバー犯罪集団グループMagecartからハッキングを受けたという報道がありました。

手口としてはオンラインストアにJavaScriptのコードを埋め込み、支払いフォームに入力される情報(クレジット番号、名前、住所など)を窃取し、遠隔のサーバーに送信するといったものです。
このようにオンラインスキミングの被害は海外の大手ECサイトなどでも報告されています。

オンラインスキミングの主な手口

ECサイトの改ざんによるオンラインスキミングの手口から、増加しているものをご紹介します。

1.偽決済ページヘの誘導

1つ目は、偽物の決済情報入力ページへ誘導しクレジットカード情報を窃取する手法です。

この手口ではECサイトが改ざんされ、商品カートから決済入力画面に移行する際に偽造された決済代行会社の決済サイトに誘導されます。

利用者が偽造されたサイトのクレジットカード情報入力フォームにて情報を入力し決済を行うとエラーメッセージが表示され、その間にクレジットカードの情報等が遠隔のサーバーに送信されます。

その後、正規の決済代行会社の決済サイトに戻され正規の決済手続に移行します。そのため、商品購入の手続きも通常通り行えて後日商品も届くことでクレジットカード情報が盗まれたことに気づきにくいです。

2.不正者への情報送信

2つ目は、ECサイトにスクリプトを埋め込むことにより不正者へ情報を送信する手法です。

こちらの手口ではECサイトのカード情報入力フォームに直接JavaScriptのコードが埋め込まれています。
利用者がカード情報を入力し確認ボタンをクリックすると、不正者にも入力されたカード情報が送信され、個人情報が盗まれてしまいます。

こちらの手口も正規のカード情報入力フォームが改ざんされているため、利用者はクレジットカード情報が盗まれたことに気づくことは困難です。

オンラインスキミングを防ぐために取るべき対策

ここで紹介したオンラインスキミングの手口はいずれもサイトの改ざんを防ぐことで対策できます。

  • ミドルウェアやプラットフォームなどのアップデート実施
  • 管理者アカウントのパスワード強化
  • 管理者アカウントへの二要素認証の導入

といった対応で脆弱性を極力なくし、不正なログインからの改ざんも防ぐようにしましょう。

オンラインショッピングの普及と共にオンラインスキミングの被害も増加し、EC事業者は情報漏洩や不正利用情報漏洩への対策が求められています。

ピックアップ記事

  1. 不正アクセスの件数は実際どのくらい?総務省のデータを元に徹底解説
  2. 不正アクセスを検知する「不正検知システム」とは?
  3. 旅行事業者・旅行者が知っておくべき「不正トラベル対策」
  4. 【購入者から見る後払い決済】利用手順やメリット・デメリット、未払い時の対応は?
  5. クレジットカードの不正利用を防ぐ方法は?消費者と事業者の両視点から原因を解説

関連記事

  1. セキュリティ用語

    アドフラウド(adfraud)とは

    「アドフラウド」という言葉はご存知ですか?ブロガーやYouTube…

  2. セキュリティ用語

    クレジットカードのセキュリティコードとは|クレカの不正対策や注意点を解説

    海外旅行中やインターネットショッピングでも便利なクレジットカード。…

  3. セキュリティ用語

    不正トラベルとは?その手口を図解・解説

    旅行サービス(宿泊施設・航空券・テーマパークのチケット等)を提供する事…

  4. 不正検知・ノウハウ

    クレジットカードにセキュリティコード(SC)がある理由を解説

    多くのクレジットカードに設定されているセキュリティコード(SC)は、悪…

  5. 不正検知・ノウハウ

    不正転売とは?不正転売に関連するトラブルや、チケット不正転売禁止法について解説

    メディアでも採り上げられ、問題視されている「不正転売」。この記…

  6. セキュリティ用語

    オーソリゼーション(オーソリ)とは?利用目的や仕組みを解説

    オーソリゼーション(authorization)とは、直訳すると権限付…

おすすめ記事

  1. 転売屋対策に効果のある9つの方法を紹介!転売が引き起こすリス…
  2. 不正検知サービスは無料で利用できる?価格を抑えて導入する方法…
  3. 不正アクセスの件数は実際どのくらい?総務省のデータを元に徹底…
  4. ECサイトでの情報漏洩対策とは?どんなセキュリティ強化をする…
  5. 事業者が不正なチャージバックを防ぐ対策3つ!不正注文を防いだ…
漫画3匹の子豚でわかるどこよりもわかりやすいWebセキュリティ入門

お役立ち資料

2020年最新調査データ無料DL オンラインサービスの最新不正傾向と対策を!約20,000サイトの独自データから分析
  1. 不正検知・ノウハウ

    不正検知システムとは?「クレジットカード等の決済前に危険性判断する」仕組みや導入…
  2. 不正アクセス

    消費者向け11の不正ログイン対策と事業者の防止策
  3. JTB 不正アクセス

    ニュース・業界動向

    「JTB」グループ会社で不正アクセスによる情報流出。「JTB」がとるべき対策とは…
  4. 不正アクセス

    SBI証券で発生した不正アクセスの手口を解説
  5. セキュリティ用語

    クレジットカードのセキュリティコードとは|クレカの不正対策や注意点を解説
PAGE TOP