不正利用被害の約93％は、カード自体を盗まれるのではなく「番号盗用」によるものです。最大の脅威はフィッシング詐欺で、カードを肌身離さず持っていても防げません。補償には「60日」という期限もあります。筆者はクレジットカード業界に15年以上在籍する現役社員で、オーソリ業務を担当した経験から不正利用の実態と対策を解説します。
この記事でわかること
- 2024年の不正利用被害額と、手口別の内訳
- カード情報が狙われる2つの主要ルート（非接触スキミングとクレジットマスター攻撃）
- 被害の9割を占める「番号盗用」の正体と実例
- 不正利用に気づいたときにやるべきこと、そして「60日ルール」の落とし穴
2024年の被害額は過去最悪の555億円
2024年の不正利用被害額は555億円で過去最悪でした。被害の約93％は「番号盗用」で、偽造カードはわずか1.5％程度です。
| 手口 | 割合 | 特徴 |
|---|---|---|
| 番号盗用 | 約93％ | カード情報だけを盗む |
| 偽造カード | 約1.5％ | 偽物のカードを作る |
カード番号が盗まれる3つの経路
偽メール・偽サイトに
自分で入力してしまう
5cm以内に読み取り機を
近づけられる
番号の規則性から
機械的に割り出される
▼ いずれも「番号だけ」が盗まれる
カードは手元にあるのに、勝手に使われる
カードを肌身離さず持っていても、3つの経路はどれも防げません。件数として最も多いのはフィッシングです。
現金は盗まれたら終わりですが、カードには補償制度があります。一方で情報を盗む手口は年々巧妙化し、被害額は右肩上がりです。
カードが狙われる2つのルート
狙われるルートは、大きく「非接触スキミング」と「クレジットマスター攻撃」の2つです。
非接触スキミング
財布から出さなくても情報を抜き取られる手口です。満員電車やエレベーターなど密集する場所で、犯人がスマホや小型の読み取り機をカバンやポケットに5cm以内まで近づけると、カード番号や有効期限が読み取られます。Androidスマホは、特定のアプリを使えば専用機がなくてもNFC（タッチ決済）の電波を拾えるという検証結果もあります。タッチ決済とナンバーレスカードの安全性は別記事で詳しく検証しています。なお、この手口が実際にどれほどの脅威なのかについては、後半の「4つの鉄壁習慣」で筆者の見解を述べます。
クレジットマスター攻撃
AIやコンピューターでカード番号の規則性から有効な番号を割り出す手口です。「一度も使っていないカード」でも「肌身離さず持っているカード」でも番号を特定され、勝手に使われる可能性があります。カード会社が対策をしても穴をかいくぐるため厄介で、「使っていないから大丈夫」という油断が一番の隙になります。
被害の9割を占める「番号盗用」の正体
主な手口はフィッシング詐欺です。オーソリ業務を担当していた際、不正利用のほとんどがフィッシングによるものでした。
最近の偽メールやSMSは巧妙で、銀行・宅配業者・Amazonなどを装い、本物そっくりのログイン画面に誘導します。そこに情報を入力すると、一瞬でカードが犯罪者の手に渡ります。
オーソリ業務を担当していた際、会員から「身に覚えのない請求がある」と連絡を受けたことがあります。不正利用シンポジウムでこの件を共有すると、複数の会社から同一の不正利用が報告され、不正メールの内容も全く同じでした。企業名は伏せますが、某大手ECサイトの名義で「○○ポイント当選」というメールが届き、誘導されるまま情報を入力して番号が盗用されていました。「すぐアクセスしないと失効します」というパターンもあります。
このほか、ジムや銭湯のロッカーで隠しカメラを使い暗証番号を盗み見る手口や、ブランド品を極端な安値で売る詐欺サイトで情報だけ奪う手口もあります。「自分だけは騙されない」という自信を捨てることが第一歩です。
不正利用に気づいたときのやることリスト3つ
①カード会社への即連絡、②警察への届け出、③冷静な事実確認の3つを行います。
①カード会社への即連絡
まずカードを止め、再発行の手続きをします。必ず覚えておきたいのが「60日ルール」です。補償されるのは一般的に「連絡した日からさかのぼって60日前まで」で、半年後に気づいたのでは1円も返ってこない可能性があります。60日を超えても補償する会社はありますが、ケースバイケースです。
実際に、数か月間にわたり毎月数千円ずつ不正利用され続けていた顧客がいました。少額で明細を確認しておらず、気づいたときには一部が60日を過ぎ、その分は自己負担となりました。
60日ルールはどこから数えるか
起点は「気づいた日」ではなく「カード会社に連絡した日」です。数か月分まとめて気づいた場合、古い被害から順に対象外になります。
②警察への届け出
補償に警察の「受理番号」が必要になるケースもあるため、必要に応じてセットで行います。基本的にはカード会社の指示に従えば問題なく、筆者自身はそうしたケースを見たことはありませんが、他社では必要になる場合もあります。
③冷静な事実確認
「利用店名」が実際の店舗名ではなく「運営会社の名前」で記載され、勘違いだったケースもあります。カード会社に連絡してからでも問題ないので、家族の利用も含めてまず落ち着いて確認しましょう。利用可能額が急に減っていた場合は、不正利用ではなく限度額の仕組みが理由のこともあります。
現役社員が実践する4つの鉄壁習慣
利用通知設定、3Dセキュア・パスキーの導入、物理的なガード、不要なカードの断捨離の4つを実践しています。
①利用通知設定の徹底
利用のたびにスマホへ通知が届く設定にしておけば、100円単位のテスト的な不正利用（クレジットマスターの試行）にも即座に気づけます。通知機能がないカードは明細をこまめに確認するか、マネーフォワードなどのアプリと連携しましょう。通知設定の手順はカードが届いたらやること4選にまとめています。
②3Dセキュアやパスキー（生体認証）の導入
パスワードの代わりに指紋や顔認証を使うことで、フィッシングサイトに情報を盗まれるリスクをゼロに近づけられます。
▶ 3Dセキュア未設定は超危険！現役クレカ社員が教える不正利用の裏側と安全対策
③物理的なガード
筆者はカバンの裏面（身体に接触する側）のポケットに財布を入れ、満員電車での万が一のスキミング対策をしています。
ただし、非接触型スキミングには5cm以内という近距離が必要で、情報を抜き出すこと自体のリスクが高く効率も悪い手口です。過度に不安を煽る情報も見られますが、カバンの中で位置も定まらないカードをスキミングするのは困難であり、専用グッズは必須ではないと考えています。心配な場合は100円ショップの防止ケースでも電波を遮断でき、極論を言えばアルミホイルで包むだけでも効果はあります。
④不要なカードの断捨離
管理しきれないカードはそれ自体がリスクです。クレジットマスター攻撃は番号の規則性から番号を割り出すため、保有しているだけでリスクを負います。多く持つほど少額の不正利用に気づきにくいため、使っていないカードは解約を推奨します。年会費だけが負担なら、解約せずダウングレードする方法もあります。
▶ クレジットカードを減らすときに重要なこと｜解約で後悔しない断捨離の正しいやり方を現役社員が解説
よくある質問（FAQ）
Q. 満員電車でのスキミングは本当に危険ですか？
A. 5cm以内の近距離が必要で、位置も定まらないカードから抜き取るのは容易ではなく、過度に恐れる必要はありません。
Q. 一度も使っていないカードなら安全ですか？
A. 安全とは言えません。クレジットマスター攻撃は使用履歴にかかわらず番号を特定するため、未使用でも不正利用される可能性があります。
Q. 不正利用に気づいたら、まず何をすべきですか？
A. カード会社に連絡し、カードを止めて再発行します。補償は「連絡日から60日前まで」が期限のため、少額でもすぐ連絡しましょう。
Q. 60日以内に連絡すれば、必ず補償されますか？
A. 必ずしもそうとは限りません。家族にカードを貸していた場合や、裏面に署名がない場合は、60日以内でも補償されないことがあります。
Q. 不正利用されたお金は、いつ返ってきますか？
A. 調査に1〜2か月かかるのが一般的です。その間に引き落とし日が来ると、いったん請求されることがあります。あとから返金または相殺されますが、口座残高には余裕を持たせておくと安心です。
Q. 不正利用されると、信用情報に傷がつきますか？
A. つきません。不正利用と認められた分は本人の利用ではないため、支払い遅れとしては扱われません。ただし補償されずに支払いが滞ると話は別です。信用情報に事故情報が記録される仕組みで条件を解説しています。
まとめ
「カードが手元にあれば安心」という時代は終わりました。満員電車では5cmの距離まで近づかれると情報を抜かれる可能性があり、一度も使っていないカードでもAIの攻撃対象になります。60日以内に連絡しないと補償されない可能性がある点にも注意が必要です。最も警戒すべきは「○○ポイント当選」といった偽メールです。鉄壁習慣を、まずは一つでも今すぐ始めましょう。
本記事の内容は、以下の動画でもより詳しく解説しています
著者：クレカの中の人｜クレジットカード業界15年以上。審査・与信管理・不正検知・オーソリ業務・個人／法人営業・Webマーケティングを経験。貸金業務取扱主任者（国家資格）／FP技能士2級／クレジット債権管理士
