キャッシュレス決済は安全？セキュリティ対策の取り組み・方法を解説

キャッシュレス決済の普及が進む一方で、利用や導入に際してセキュリティ面の不安を感じる人も少なくありません。特に、キャッシュレス決済の導入を検討している企業にとっては、「どのようなリスクが伴うのか」「どのような対策が必要なのか」を正確に把握することが重要です。

本コラムでは、キャッシュレス決済に伴うリスクの種類、決済事業者によるセキュリティ対策の取り組み、そして導入店舗が取るべきリスク対策などを詳しく解説します。

1 キャッシュレス決済のセキュリティは大丈夫？

キャッシュレス決済では、電子データやインターネットを使って取引を行うため、現金の管理とは異なる不正使用や情報漏えいなどのリスクが伴います。

キャッシュレス決済サービスを提供する各事業者では、不正利用検知システムの運用、EMV 3-Dセキュア（3DS）による本人確認、補償制度などを導入し、利用者が安全に取引できる環境を整えています。

ただし、キャッシュレス決済の安全性を確保するには、利用者・加盟店・事業者の全てがリスク対策を徹底することが不可欠です。キャッシュレス決済を導入する店舗には、リスクの種類を正しく把握し、PCI DSS準拠やカード情報の非保持化など、最新ガイドラインに沿った対策を講じる必要があります。

2 キャッシュレス決済のリスクとは

キャッシュレス決済には、決済方式ごとに特有のリスクがあります。

代表的なリスクを、次の表に示します。

キャッシュレス決済の種類	リスクの例
QRコード決済	QRコードのすり換え（ステッカー詐欺）
	QRコードの盗撮
	決済画面の偽造
クレジットカード決済	スキミング
	BIN攻撃（カード列挙）
	チャージバック
スマホ決済（NFC決済）	リレー攻撃（中間者攻撃）
	リプレイ攻撃
	スニッフィング
	NFC決済端末の偽造・不正アクセス
	悪意のあるアプリの利用
キャッシュレス決済全般	フィッシング詐欺
	カード・端末の紛失・盗難
	情報漏えい
	マネーロンダリング・テロ資金供与

表に示したリスクについて、決済事業者・利用者ができる対策を含めて以下に詳しく解説します。

2-1 QRコード決済のリスク

2-1-1 QRコードのすり換え（ステッカー詐欺）

QRコードのすり換えとは、決済に使用するQRコードを別のQRコードにすり替えて、売り上げ金を攻撃者の口座へ送金させる手口です。

例えば、店頭に掲示したコードを読み取って決済する「店舗提示型」の場合、偽のQRコードを貼り付ける「ステッカー詐欺」のリスクがあります。

偽のQRコードで決済が行われると、利用者は正しく決済したつもりでも、売り上げ金が別の送金先に送られてしまうことになります。一度貼り付けられると気付くまでに時間がかかることもあり、大きな被害につながる可能性があるリスクです。

防止策としては、店舗側がQRコードを定期的に目視確認し、不審なステッカーの貼り付けがないかをチェックすることが重要です。また常にQRコードの近くにスタッフがいるようにしたり、監視カメラを設置したりするなど、工夫も必要です。

2-1-2 QRコードの盗撮

QRコード決済の利用時には「QRコードの盗撮」にも注意する必要があります。店舗で支払いのためにユーザーがスマートフォンに表示させたQRコードを、第三者がこっそり撮影することで不正に情報を取得されるリスクです。

盗撮されたQRコードが悪用されれば、そのまま別の決済に利用されてしまうなどの不正利用につながる危険があります。

このようなリスクを防ぐために、QRコード決済を行う際には周囲の動向に十分注意することが大切です。店舗側でも、他人に画面が見えにくいレジ配置を行ったり、読み取りを行う店員への教育を徹底したりといった対策が求められます。

また決済事業者においては不正利用を検知するシステムを整備することで、QRコードの盗撮による被害を防止する取り組みがなされています。

2-1-3 決済画面の偽造

決済画面の偽造は、利用者がQRコード決済の完了画面をスクリーンショット等で偽装し、実際には支払いが行われていないにもかかわらず、支払済みと見せかける行為です。

店舗側が目視のみで取引完了の判断をしている場合、こうした偽装を見抜くことが難しくなります。

被害を防ぐためには、目視による確認だけに頼らず、POSレジなどのシステムを使って「決済が正しく完了したことをリアルタイムで確認できる仕組み」を整えることが重要です。

2-2 クレジットカード決済のリスク

2-2-1 スキミング

スキミングとは、クレジットカードやデビットカードの磁気ストライプ情報を不正に読み取ってコピーし、偽造カードを作成・使用する犯罪手口です。

この手口では「スキマー」と呼ばれる専用の機器をATMや店舗のカードリーダーなどに巧妙に取り付け、利用者が気付かないうちにカード情報を読み取ります。

スキミング対策としてはICチップ搭載カードを利用することが有効です。ICチップでは情報が暗号化されるため、磁気ストライプ単独カードよりもスキミング耐性が高く、近年は国内主要ブランドでもICチップ搭載が標準化しています。

さらに、スマートフォン内にカード情報を格納しトークン化して使う「カードレス」決済であれば、物理カードを持ち歩かずに済み、スキミングの物理的リスクを低減できます。

2-2-2 BIN攻撃

BIN攻撃は、クレジットカード番号の一部情報をもとに、有効なカード番号を割り出そうとする行為です。BINとは「Bank Identification Number（銀行識別番号）」の略で、カード番号の先頭6桁（または8桁）が該当します。攻撃者はこのBINを元に、自動スクリプトなどを使って残りの番号を総当たり的に試すことで、実在するカード番号を特定しようとします。

BIN攻撃は、実際のカードが盗まれたりスキミングされたりすることなく、ネット上の情報とプログラムのみで不正が成立してしまうため、被害に気付くまで時間がかかることもあります。

防止策としては、オンラインショップ側がカード番号の試行回数に制限を設けたり、異常なアクセスを遮断する不正検知システムを導入したりといった方法が有効です。

2-2-3 チャージバック

キャッシュレス決済において何らかの不正利用が発生すると「チャージバック」のリスクにつながります。

チャージバックとは、「身に覚えのない請求がある」などの理由でカード会社に支払いの取消しを求め、その結果として加盟店に売り上げの返金処理が行われる制度です。チャージバックが発生した場合、店舗側はその決済についての売り上げ金を失うことになります。

また本人による正式な取引であるにもかかわらず、虚偽のチャージバックを行って不正に返金を受け取ろうとする「フレンドリーフラウド」にも注意する必要があります。

チャージバックへの対策として、店舗側は「3Dセキュア」などで本人確認を徹底することが大切です。3Dセキュアとは、オンラインでの決済を安全に行うためにワンタイムパスワードなどを使って本人確認をする仕組みです。詳しくは「キャッシュレス決済サービス事業者によるセキュリティ強化の取り組み」で解説します。

3Dセキュアによって本人確認を行い、店舗側に落ち度がないことを示すことで、フレンドリーフラウドを含むチャージバックに備えることができます。

2-3 スマホ決済（NFC決済）のリスク

2-3-1 リレー攻撃（中間者攻撃）

Apple PayやGoogle Payなどのスマホ決済や、クレジットカードのタッチ決済などのNFC決済においても、いくつかのリスクが存在します。

NFC決済のリレー攻撃（中間者攻撃）は、決済端末と利用者の端末の通信を、攻撃者が不正に中継（リレー）する行為です。NFC決済は非常に近距離で行われるため、中継されにくいという特徴がありますが、中継装置を不正に取り付けたり、スマートフォンに不正なアプリをインストールさせたりといった方法でリレー攻撃が成立するケースがあります。

リレー攻撃が行われると、通信内容を傍受され、アカウント情報の取得や取引の改ざんなどが可能になります。

店舗側としては、通信の暗号化、不正利用を監視するリアルタイム検知システムの導入、端末の物理的管理の徹底が有効です。

2-3-2 リプレイ攻撃

リプレイ攻撃は、一度送信された正規の通信データを攻撃者が記録して「再送信」することで不正な取引を行う手口です。
この攻撃では、過去に正当な利用者が送った「本物のデータ」が再利用されます。例えば、NFC決済を行った際の通信を攻撃者が傍受して保存し、それを別の店舗に再送信して決済を不正に成立させるといった手口です。
対策としては、同じ取引データを1度しか使用できないようにする「タイムスタンプ」や「ワンタイムトークン」などの導入が有効であり、多くの決済事業者が導入を進めています。

2-3-3 スニッフィング

NFC決済のスニッフィングは、取引データやアカウント情報などを通信経路上で盗み取る行為のことです。決済時だけでなく、決済事業者とのデータ連携の際など、データ送信が行われるあらゆる場面でスニッフィングが行われる可能性があります。

スニッフィングによって傍受される情報には、決済アカウントのIDや暗証番号、カード番号などが含まれる可能性があり、これらの情報が第三者の手に渡ることで、なりすましや不正決済、個人情報の流出といった被害につながる恐れがあります。

スニッフィング対策として有効なのは、エンドツーエンド暗号化と安全なネットワーク環境（例：店舗Wi-Fiの暗号化）の確保です。

2-3-4 NFC決済端末のマルウェア感染

インターネット接続型の決済端末は、他のIT機器同様マルウェア感染のリスクがあります。感染すると取引改ざんや情報流出が起こり得ます。

マルウェア感染を防止するには、信頼できるメーカーの機器を導入し、OS・ソフトウェアを常に最新の状態に更新するなど、NFC決済に関係するあらゆる機器のセキュリティ管理を徹底することが大切です。

2-3-5 悪意のあるアプリの利用

スマホ決済においては、利用者自身が悪意のあるアプリ（マルウェアアプリ）をインストール・利用してしまうことによるリスクにも注意が必要です。

悪意のあるアプリは、一見すると通常の決済アプリや家計簿アプリ、バーコードリーダーなどの便利なツールに見えるため、ユーザーはそれと知らずにインストールしてしまうことがあります。しかし、内部にはユーザーの許可なくNFC決済の通信内容などを収集・送信する仕組みが組み込まれており、バックグラウンドで密かに不正行為が実行されることがあります。

基本的な対策は、利用者側が自身の端末に悪意のあるアプリをインストールしないようにすることですが、決済事業者側としては悪意のあるアプリが公開されないよう、公式アプリになりすます「偽アプリ」を監視するなどの取り組みを行っています。

2-4 キャッシュレス決済全般に共通するその他のリスク

2-4-1 フィッシング詐欺

フィッシング詐欺は、キャッシュレス決済全般に共通する代表的なリスクの1つです。攻撃者は実在の企業や決済サービスを装って、メールや偽のWebサイトなどを通じてユーザーに接触し、クレジットカード番号やパスワードなどの機密情報をだまし取ろうとします。

例えば「あなたのアカウントに不正なアクセスがありました」「決済が正しく行われていません」などと不安をあおる文言を使い、ユーザーを偽のログイン画面へ誘導します。見た目は本物そっくりに作られていることもあるため、注意を怠ると気付かないうちに情報を入力してしまい、結果として不正利用やなりすまし被害につながります。

フィッシング詐欺はユーザーが自ら機密情報を入力してしまうため、基本的には利用者側の心がけによって防ぐことが大切です。

決済事業者側では、機密情報が漏れた際に決済をロックするといった、被害を最小限に抑える仕組みを提供しています。また前述の「3Dセキュア」で本人確認を行うなど、漏えいした情報で決済ができない環境づくりも行われています。

2-4-2 カード・スマートフォンの紛失・盗難

クレジットカードやスマートフォンの紛失・盗難は、キャッシュレス決済に必ずつきまとうリスクです。キャッシュレス決済では、物理的なカードや端末そのものが「お金の鍵」となるため、紛失や盗難は即座に金銭的被害に直結します。

利用者にできる対策としては、財布やカバンの管理を徹底しつつ、スマートフォンのロック機能を活用するなどセキュリティ対策を講じることが大切です。

決済事業者側は紛失・盗難時の補償制度や、アプリ・カードの一時停止（ロック）機能を提供し、被害を最小化することが求められます。

2-4-3 情報漏えい

情報漏えいも、キャッシュレス決済全般に共通するリスクです。クレジットカード番号やQRコード決済のログインID・パスワードなど、キャッシュレス決済に使用する機密情報が第三者に漏えいすると、不正利用やなりすまし、個人情報の売買といったさまざまな被害につながる可能性があります。

キャッシュレス決済では、利用者・加盟店・決済事業者など複数の事業者がデータをやり取りしており、そのどこかでセキュリティが甘ければ、情報が漏れるリスクが生じます。

キャッシュレス決済を導入する店舗では、顧客情報の保存範囲を最小限にし、不要な情報は社内に保持しないようにすることが大切です。

また従業員に対するセキュリティ教育の徹底やアクセス権限の最小化など、人的ミスによる情報漏えいを防ぐ対策も求められます。

2-4-4 マネー・ローンダリングやテロ資金供与のリスク

マネー・ローンダリング（資金洗浄）やテロ資金供与のリスクは、キャッシュレス決済が広く普及する中で、国際的にも重要視されているセキュリティ上の課題です。

マネー・ローンダリングとは、犯罪行為によって得た資金の出所が分からないようにして正当な資金であるかのように見せかける一連の行為です。違法な資金を移動させる過程などに、キャッシュレス決済が利用されることがあります。

テロ資金供与は、テロ活動を支援する目的で金銭や物資を提供する行為です。

いずれの場合も、キャッシュレス決済の「匿名性」や「利便性」などの特徴を利用して行われます。

キャッシュレス決済を提供する決済事業者や加盟店は、マネーロンダリング・テロ資金供与のための決済を受け付けないよう、対策を徹底することが求められています。具体的には取引のモニタリングや、疑わしい取引を検知する「AML/CFTシステム」の導入などの対策が可能です。

マネー・ローンダリング対策とは？銀行などの金融機関が取り組むべき施策も解説

3 キャッシュレス決済サービス事業者によるセキュリティ強化の取り組み

上記のようなリスクへの対策として、キャッシュレス決済サービス事業者では、どのような取り組みがなされているのでしょうか。代表的なものとして次の4つが挙げられます。

• 不正利用検知システムの導入
• 3Dセキュアによる本人確認
• 不正利用に対する補償制度の導入
• ナンバーレスカードの導入

それぞれ以下に詳しく見ていきましょう。

3-1 不正利用検知システムの導入

キャッシュレス決済サービス事業者では「不正利用検知システム」によって、取引を24時間体制で監視しています。

「不正利用検知システム」とは、取引のパターンや異常な取引行動をリアルタイムで監視し、不審な活動を自動的に検出するシステムです。例えば、過去の購買履歴から外れた高額取引や、異なる地域（IPアドレス）での不審な利用などが検知されると、即座に通知したり取引をキャンセルしたりといった処理を自動で行います。

不正利用は「キャッシュレス決済のリスクとは」で紹介した通り、さまざまな方法で「本人以外が利用可能になる」ことで発生しますが、不正利用検知システムでは「利用する段階」で不正利用を防止できるため、原因を問わず幅広いリスクへの対策として有効であるといえます。

3-2 3Dセキュアによる本人確認

3Dセキュアは、クレジットカードやデビットカードのオンライン取引の際に、追加の本人確認を行う仕組みです。

通常はカード番号・有効期限・名義・セキュリティコードなどの基本情報を入力するだけで決済できますが、追加でパスワードなどの入力を求めて本人確認を行うのが3Dセキュアです。

3Dセキュアにはいくつかの種類がありますが、現在普及している「EMV 3-Dセキュア」（3Dセキュア2.0）では、不正利用の可能性が高い取引を自動的に検知して、疑いがある場合にのみ追加認証を行うことが可能です。正規のユーザーの認証の負担を軽減しつつ、不正利用を防止できるといったメリットから導入が進んでいます。

3-3 不正利用に対する補償制度の導入

万が一不正利用が発生した場合でも、「補償制度」による保護を受けられることがあります。

補償制度を利用できる場合、不正利用で発生した取引金額についての返金を受けることができ、金銭的な損失を最小限に抑えることが可能です。

ただし前述の通り決済事業者は、補償制度を不正に利用する「フレンドリーフラウド」も防ぐ必要があるため、「損害発生日から〇〇日以内に申請する」「1度利用すると、その後1年間は利用できない」など補償範囲のルールを設けています。

3-4 ナンバーレスカード・カードレスの導入

クレジットカード・デビットカードを持ち歩くことに伴うリスクへの対策として、「ナンバーレスカード」や「カードレス」の導入も進んでいます。

「ナンバーレスカード」とは、券面にカード番号や名義などの情報が印字されていないカードのことです。カード提示時にカード情報が他人の目に触れることがないため、情報漏えいの防止につながります。

「カードレス」とは、物理的なカードを発行せず、スマートフォンのアプリやWeb上でバーチャルカード情報のみを提供する仕組みです。ユーザーは電子データとしてカード番号や有効期限、セキュリティコードを確認し、オンライン決済に利用できる他、Apple Payなどのモバイル決済に連携すれば店舗でのタッチ決済も可能です。カードを発行しないことで、紛失や盗難、スキミングなどの防止につながります。

4 キャッシュレス決済の利用者が行えるセキュリティ対策

キャッシュレス決済の利用者側は、リスクに対してどのように備えることができるのでしょうか。基本的な対策として次の3つが挙げられます。

• 利用するキャッシュレス決済の種類の選択
• カード・端末の管理の徹底
• 安全な店舗・加盟店の利用

それぞれどのように取り組めるのか、詳しく見ていきましょう。

4-1 利用するキャッシュレス決済の種類の選択

利用者にできるセキュリティ対策の第一歩は、信頼性の高いキャッシュレス決済事業者・サービスを選ぶことです。

キャッシュレス決済にはさまざまな種類がありますが、本人確認・補償制度などのリスク対策の内容を比較し、安全性を確認しましょう。

安易に利便性だけで選ばず、リスクと対策を理解した上で使い分けることが、被害防止につながります。

4-2 カード・端末の管理の徹底

キャッシュレス決済を安全に利用するためには、カードやスマートフォンなどの「物理的な管理」を徹底することが欠かせません。

カードを持ち歩く場合は、スリや置き忘れなどに注意し、使用する際には他人にカード番号やセキュリティコードが見えないように扱うことが基本です。

またスマートフォンなどの決済端末についても、画面ロックや生体認証を設定し、不正にアクセスされないようにする必要があります。

さらに万が一紛失・盗難に遭った場合に備えて、カード会社が提供する「利用停止機能」や、スマートフォンの「遠隔ロック機能」などをあらかじめ確認し、迅速に対応できるよう備えておきましょう。

こうした基本的な管理を徹底することで、不正利用のリスクを大きく下げることができます。

4-3 安全な店舗・加盟店の利用

キャッシュレス決済を安全に利用するためには、信頼できる店舗や加盟店を選ぶことも重要です。セキュリティ対策が不十分な加盟店など、安全性が低い店舗で決済を行うと、カード情報や個人情報が漏えいするリスクが高まります。

特にオンラインショッピングでは、運営会社の情報が明記されているか、ドメイン表記が正しいかなどを確認することが基本です。口コミやレビューなども参考にして、実績や信頼性の高いショップを選ぶようにしましょう。

実店舗においても、不審なカードリーダーやQRコードなどに注意することが大切です。

このようにセキュリティ意識を持って店舗・加盟店を選ぶことが、安心・安全にキャッシュレス決済を利用するための基本です。

5 キャッシュレス決済の加盟店が取るべきセキュリティ対策

キャッシュレス決済を導入する加盟店や店舗側では、リスクに対してどのような対策を取るべきなのでしょうか。基本的な対策は以下の4つです。

• 決済システム・設備のセキュリティ強化
• 通信環境のセキュリティ強化
• クレジットカード情報の非保持の検討
• PCI DSSへの準拠

それぞれどのように実施できるのか、以下に詳しく解説します。

5-1 決済システム・設備のセキュリティ強化

キャッシュレス決済を導入している加盟店にとって、決済システムや設備のセキュリティ強化は非常に重要な対策です。

まずPOS端末やカードリーダーなどの機器は常に更新し、最新のセキュリティが適用された状態を保つことが基本です。古いソフトウェアや未更新の機器は、不正アクセスやマルウェア感染のリスクが高まります。

加えて、QRコードや端末のすり替えなどを防ぐため、店舗スタッフが定期的に決済設備の状態をチェックし、異常がないか監視する体制も求められます。

さらに導入する決済サービスは、国際的なセキュリティ基準「PCI DSS」に準拠したものを選ぶことも重要です。詳しくは「PCI DSSへの準拠」で解説します。

5-2 通信環境のセキュリティ強化

キャッシュレス決済を安全に運用するためには、通信環境のセキュリティ強化も欠かせません。決済データはネットワークを通じて送受信されるため、通信が第三者に傍受・改ざんされると、重大な情報漏えいにつながる恐れがあります。

まず、Wi-Fi環境はWPA3などの強力な暗号化方式を採用することが基本です。また店舗のWi-Fi環境を利用者に提供するなど、第三者が同じWi-Fi環境に接続する状況は避けるようにしましょう。

Wi-Fiルーターは定期的にファームウェアをアップデートし、セキュリティ面に不安のある古い機器は使用しないことも大切です。

通信環境においても十分な対策を講じることで、店舗と顧客の両方を不正アクセスや情報漏えいから守ることができます。

5-3 クレジットカード情報の非保持の検討

情報漏えいのリスクを避けるためには、カード情報を店舗で保管しない「非保持化」を検討することも重要です。

クレジットカード番号や有効期限、セキュリティコードといった情報を店舗側で保管・管理する場合、サーバーやシステムがサイバー攻撃を受けた際に情報漏えいにつながります。こうしたリスクを回避する手段として注目されているのが「非保持化」です。

非保持化とは、加盟店がカード情報を一切保存せず、決済処理をすべて外部の決済代行事業者などのセキュリティが強固な第三者に委託する仕組みです。これにより、店舗側のセキュリティ対策の負担が軽減され、セキュリティレベルの向上とコスト削減を両立できます。

経済産業省の「クレジットカード・セキュリティガイドライン」でもカード情報の非保持化は推奨されています。

参考：「クレジットカード・セキュリティガイドライン」が改訂されました｜経済産業省

5-4 PCI DSSへの準拠

キャッシュレス決済を導入する加盟店がセキュリティ対策として取り組むべき重要な施策の一つに、「PCI DSS」への準拠があります。

PCI DSSは「Payment Card Industry Data Security Standard」の略で、VISAなどの国際ブランドが共同で策定した、クレジットカード会員データの保護を目的とするセキュリティ基準です。加盟店がクレジットカード会員の情報を扱う際には、PCI DSSに定められた要件を満たす必要があります。

この基準に準拠することで、不正使用や情報漏えいのリスクを低減できるだけでなく、万が一事故が発生した際の責任軽減や、自社の信頼性の向上にもつながります。

前述の「クレジットカード・セキュリティガイドライン」でも、PCI DSS準拠は加盟店に推奨される対策とされており、特にクレジットカード情報を保持・処理する事業者にとっては必須要件といえます。

6 まとめ

キャッシュレス決済にはさまざまなリスクが伴います。キャッシュレス決済を提供する各事業者においても、リスク対策として不正利用検知システムの導入など、さまざまな取り組みを行っています。

キャッシュレス決済を導入する店舗・加盟店においても、決済システム・設備・通信環境のセキュリティ管理を徹底するなど、さまざまな対策が必要です。

キャッシュレス決済サービスの運用・導入に際しては、リスクと対策方法を十分に把握した専門家のサポートのもとで計画を進めていく必要があります。

TISのデジタル決済プラットフォームPAYCIERGE（ペイシェルジュ）では、キャッシュレス決済にまつわる幅広いソリューションを提供しています。キャッシュレス決済を利用したサービスの開発や、大規模なビジネスへの一括導入など規模を問わず、決済にまつわるご相談はPAYCIERGEにお問合せください。

※この記事が参考になった!面白かった!　と思った方は是非「シェア」ボタンを押してください。