ウェブスキミングの手口と対策

▼ 新たな犯罪「ウェブスキミング」とは
ウェブスキミングとは、ネットショッピングなどのウェブ上で横行している新手のスキミング手口です。
オンラインショップなどECサイトの決済フォームからユーザーが入力した個人情報を盗み取るもの。
国内では11月に初めてウェブスキミングによる犯行が摘発され、クレジットカード情報などが搾取される被害が確認されています。

もともと「スキミング」といえば、クレジットカードの磁気情報を読み取って、クレジットカードを偽造する犯罪ですが、「ウェブスキミング」はクレジットカードそのものを狙うものではありません。

犯行の手口は大きく分けて2つあるといわれています。

1つは、ECサイトのシステムに不正なコードを埋めこむもの。
ウェブスキミングのコードが仕組まれた決済画面でクレジットカード情報を入力すると、攻撃者にクレジットカード情報が送信されてしまう仕組みです。

もう1つは、ECサイトが利用する外部サービスのシステムを改ざんする方法。
ECサイトが利用している広告などの外部サービスのサーバーにウェブスキミング用の不正なコードを仕込みます。
ECサイトで決済する際にユーザーのブラウザが不正なコードを間接的に読み込むことで、攻撃者にクレジットカード情報が送信されてしまいます。
不正コードが仕込まれた広告配信などを受けている多くのECサイト利用者が被害を受ける可能性があります。

ウェブスキミングは巧妙に仕組まれた罠です。
偽サイトを用いるフィッシング詐欺とは違って、公式サイトが悪用されています。
しかも決済画面には不審なところがないため見抜くのは困難です。

△ウェブスキミングの手口と対策 TOPへ

▼ ウェブスキミングの被害を防ぐには？
ウェブスキミングは、未然に防ぐことが非常に難しい手口です。
公式サイトで正常に決済されて商品やサービスを受け取るため、外部にクレジットカード情報が漏洩していることに気づくのが遅れる可能性があります。
被害を最小限にとどめるためには、次のことに留意してください。

□カード利用があった場合にメール通知されるよう設定しておく
□クレジットカードの利用明細をこまめにチェックする
□不審な決済履歴が見つかったら、すぐにクレジットカード会社や警察に連絡する


▼ フィッシング詐欺にも注意を
ウェブスキミングは新手の犯罪であり、その実態はすべて明らかになっているわけではありません。今後もウェブスキミングの被害が拡大する可能性があります。
また、ウェブスキミングの名称を悪用した新手のフィッシング詐欺なども登場するかもしれません。

例えば
「当サイトでウェブスキミングの被害が確認されたため、こちらからお客様の利用情報をご確認ください」などという文言で、「利用履歴を確認する」というボタンがついたメールが送られてきたとします。
リンク先には本物そっくりの偽サイトが用意されていて、アカウント情報やクレジットカード情報の入力を求められる......このような手口も考えられるのです。

ウェブスキミングも、フィッシングも、非常に巧妙です。
サイト運営側の対策だけではカバーしきれない新たなリスクが登場することも考えられます。

誰もが被害者になる可能性があるのです。
被害にすぐに気づけるよう、クレジットカードの利用履歴は頻繁に確認してください。

【あわせて読みたい！関連コラム】
・SIMスワップ詐欺の対策
・家庭のWi-Fiセキュリティ

＊　＊　＊　＊　＊　＊　＊　＊　＊

＜監修＞
濱田宏彰
セコム株式会社IS研究所リスクマネジメントグループ
シニアリスクコンサルタント／防犯設備士／防災士／日本市民安全学会常任理事

侵入窃盗を中心にあらゆる犯罪情勢の調査研究を継続。各方面に対しセキュリティコンサルティングを実施。犯罪傾向・統計情報を基にリスクマネジメントの観点から、「安全・安心」な暮らしのためのセキュリティについて研究する日々。
地域の自主防災会では常任委員を務め、日々の防災活動にも注力。
また書籍『セコムが教える防犯プロのアドバイス』『タイプ別にみる働く女性の防犯対策 ライフスタイルWoman360°』などの執筆・監修に携わる。

△ウェブスキミングの手口と対策 TOPへ

■留守中・在宅中のご自宅を守る「セコム・ホームセキュリティ」
防犯は、留守中も在宅中も注意が必要です。防犯・火災監視・非常通報など、お客さま宅の異常発生を24時間365日セコムが見守り、万一の際には安全のプロがただちに急行する「セコム・ホームセキュリティ」は、留守中でも在宅中でも危険を察知できておすすめです。
「一戸建て・一軒家向けのホームセキュリティプラン」はこちら。