日本の決済不正インシデント・タイムライン 2023-2025

Wiki ルート

本項目は決済の下に位置する、時系列のインシデント・取締りページであり、J-CSC ガイドライン 6.0 / 6.1 のコントロール・フレームワークについては Japan card security and authentication controls と、銀行レール固有の不正サーフェスについては日本の銀行 API インシデントと不正管理マップと、4 クラスのコンテキストについては日本の決済スキーム経済性マトリクスとペアになる。各インシデント・クラスでどの当事者がチャージバック・リスクを負うかについては日本のカード発行会社、アクワイアラー、プロセッサーの分担と、PSP オンボーディングの失敗事例については PSP の加盟店精算リスクと、後払い経由の現金化乱用については日本の BNPL と信用購入境界と比較すること。カードブランドのコンテキストはビザ・ワールドワイド・ジャパン (Visa Worldwide Japan)、マスターカードジャパン、JCB である; 主要なカード発行者アンカーは MUFG NICOS、Rakuten Card、イオンフィナンシャルサービス (AEON Financial Service) である。

TL;DR

日本の決済不正における 2023-2025 の期間は、4 つの収斂するサーフェスによって定義された: (1) オンラインマーチャントで使用される漏洩 / フィッシングされたカード番号に駆動されるクレジットカード EC 不正で、METI 6.0 / 6.1 J-CSC ガイドラインの厳格化と、2025-03 からの EC カード決済に対する EMV 3-DS 必須化 の要件につながった; (2) 被害者が金融機関を装う SMS を受け取り、フィッシングサイトで認証情報を入力し、正当に見える銀行アプリまたは銀行 API の引き落とし経由で資金を失う スミッシング主導の銀行 API 不正指図; (3) PayPay / d払い / au PAY / 楽天ペイをまたいで発生する コード決済の不正使用事例で、しばしばクレデンシャル・スタッフィングまたはソーシャル・エンジニアリングからのアカウント乗っ取りに結びつく; (4) 不十分な KYM（know-your-merchant）コントロールが、不正なマーチャントがカード取引を獲得しチャージバック前に消えることを許した PSP マーチャント・オンボーディングの失敗。FSA、METI、警察庁、および全国銀行協会が公的警告キャンペーンを調整した; 累積的な規制対応は、コントロール基準とマーチャント / PSP オンボーディングの厳格さの双方について、急激に高い 2025 ベースラインを設定した。

集計不正損失のコンテキスト

この期間の日本の決済不正損失の集計像は、各クラスが異なる統計レジームの下で報告されるため、慎重に読む必要がある:

Source	Scope	Pattern
日本クレジット協会	クレジットカード不正損失（発行者側）	年間損失額が記録される; 非対面（EC）不正が期間を通じて支配的なカテゴリー
警察庁サイバー犯罪統計	フィッシング、スミッシング、不正アクセス	期間を通じてフィッシング関連のサイバー犯罪報告が大幅に増加
全国銀行協会	インターネットバンキング不正送金	スミッシング主導の不正送金の波に関する定期的なアラート
FSA Newsroom	オペレーターに対する行政処分	銀行、カード発行者、PSP、前払い発行者にわたる複数の取締りイベント
消費者庁	消費者警告	フィッシング、偽マーチャント、BNPL 現金化、コード決済ソーシャル・エンジニアリングのスキームに関する定期的なアラート

像としては、日本のカード不正損失が EC チャネルで歴史的に高い水準に達した（2023 と 2024, を通じて）こと、そして スミッシング主導の銀行口座侵入が大幅に増加したことであり、これらが相まって J-CSC ガイドラインの厳格化と、銀行 API 側の認証 / デバイスバインディングの取締りの双方を駆動した。

2023 イベント

Event class	What happened	Regulatory / industry response
EC カード不正損失が高止まり継続	マーチャント侵害およびフィッシング経路を通じたカード番号の漏洩が、持続的な EC 不正使用ボリュームを駆動した; 非対面チャネルが支配的な不正損失クラスであり続けた	METI / 日本クレジット協会が全 EC カードアクセプタンスに対する EMV 3-DS の義務化へ向かった; J-CSC ガイドライン 5.0 → 6.0 改訂パイプラインが加速
主要銀行に対するスミッシングの波	MUFG、SMBC、みずほ、楽天銀行等を装う SMS ベースのフィッシングが被害者を認証情報採取サイトへ誘導; 続く不正な銀行アプリまたはインターネットバンキング送金	全国銀行協会が継続的な公的警告を発した; FSA が銀行にデバイスバインディング、アプリインストール検証、高額送金認証の強化を促した
コード決済アカウント乗っ取り事例	クレデンシャル・スタッフィングおよび SIM スワップ経路を介したアカウント乗っ取りの試みが、複数のウォレットで不正なコード決済支出を引き起こした	ウォレット・オペレーターがデバイス変更の再認証と高額取引の OTP 強制を厳格化
FSA 取締り行為	AML / 不正コントロールの不備に対する銀行、カード発行者、前払い発行者への定期的な行政処分	オペレーターごとの公的ニュースルーム・リリース

2024 イベント

Event class	What happened	Regulatory / industry response
銀行 API 不正指図の波	スミッシング駆動のフィッシングが被害者を偽の銀行ログインページへリダイレクトし、その認証情報が、攻撃者が制御するデバイス上で正当に見える銀行 API 送金指図または銀行アプリのアクティベーションを発行するために使用される、特定のサーフェスが出現した	全国銀行協会が高まったアラートを発した; 参加銀行がデバイスバインディング、生体認証のステップアップ、および新デバイス送金有効化に対する 24 時間のクーリング期間を強化
スミッシング・サーフェスの拡大	税務当局、配送サービス、政府機関を装う SMS（金融機関に加えて）が被害者を偽の決済画面へ誘導; ボリュームと巧妙さが大幅に増加	警察庁の公的統計が増加を確認; モバイルキャリアのフィルタリングは改善したがサーフェスを排除しなかった
カード発行者侵害インシデント	特定のカード発行者事例でカード保有者データの侵害が発生し、強制的なカード再発行とチャージバックの波につながった	J-CSC ガイドライン 6.0 が、厳格化された非保持ルールと拡大された脆弱性スキャン義務とともに公表された
EMV 3-DS 展開の加速	EC マーチャントが 2025-03 の義務化に先立って EMV 3-DS 展開を加速; 中堅マーチャントと PSP は実行のプレッシャーに直面した	METI / J-Credit のガイダンス資料と J-CSC 6.0 / 6.1 タイムラインが展開を後押し
PSP マーチャント・オンボーディングの失敗	PSP が不十分な KYM コントロールの下で不正なマーチャントをオンボードした事例が出現した; マーチャントは架空の商品に対するカード取引を受け付け、チャージバックの裁定前に消え、アクワイアラー / PSP / 発行者が損失を抱えることになった	METI が PSP / マーチャント契約当事者の義務を厳格化; PSP 業界が内部の KYM フレームワークを厳格化

2025 イベント

Event class	What happened	Regulatory / industry response
EC カード決済に対する EMV 3-DS 必須化	2025-03, から、EC カードアクセプタンスは J-CSC ガイドライン 6.0 / 6.1 フレームワークの下で EMV 3-DS 認証を要求された	業界全体のコンプライアンス・プレッシャー; 非準拠の EC マーチャントはカード決済アクセプタンスの喪失リスクを負った
銀行 API スミッシングの継続	銀行 API 不正指図のサーフェスは、厳格化された認証にもかかわらず 2025 へ持続した; 攻撃者の手口は進化した（フィッシングサイトでの捕捉に続く AI 生成の音声通話フォローアップを含む）	銀行と FSA が公的アラートを継続; 調整された銀行横断モニタリングが強化された
コード決済不正事例	PayPay、d払い、au PAY、楽天ペイウォレットに対するアカウント乗っ取りとソーシャル・エンジニアリングの事例が継続; 一部の事例は同じ被害者に対する調整されたウォレット横断攻撃を含んだ	ウォレット・オペレーターがデバイスバインディングと高額取引コントロールの強化を継続
複数オペレーターに対する FSA 取締り	コントロールの不備に対する銀行、カード発行者、PSP、前払い発行者への取締りが継続	オペレーターごとの公的ニュースルーム・リリース
税務当局 / 政府なりすましスミッシング	特に納税期限の窓口周辺で高まったボリューム; 消費者向け警告がエスカレート	消費者庁と警察庁が公的警告キャンペーンを継続

横断的な攻撃パターン

Pattern	How it works	Targeted scheme
スミッシング → フィッシングサイトでの認証情報採取	SMS が信頼されるブランドを装う; 被害者が攻撃者制御のページで認証情報を入力する	銀行口座、カード口座、ウォレット口座
SMS ワンタイムコードの傍受	攻撃者が被害者に SMS OTP の共有を説得する、または SIM スワップを用いて OTP を傍受する	銀行 API、カード 3-D Secure、ウォレット OTP
リモート制御マルウェア経由のデバイスバインディング・バイパス	被害者が、攻撃者に被害者のデバイスを操作させるマルウェアをインストールする	銀行アプリ、ウォレットアプリ
マーチャント侵害またはスキマー経由のカード番号採取	カード番号が EC マーチャントの侵害または POS スキマーから流出する; 他のマーチャントで再利用される	EC カード決済（主に）
クレデンシャル・スタッフィング経由のアカウント乗っ取り	他サイトの侵害からの再利用された認証情報がウォレット / カードポータルに対して試される	ウォレット、カードポータル
偽マーチャントの PSP オンボーディング	詐欺師が弱い KYM を通過する; 偽の商品に対するカード取引を受け付ける; チャージバック解決前に逃亡する	カードクラス; PSP / アクワイアラーが損失を負う
BNPL / 後払い乱用経由の現金化	詐欺師が盗まれた本人確認を用いて後払い口座を開設する; 現金等価の購入後にデフォルトする	BNPL、コード決済後払い、分割

誰が損失を負うか

Surface	Primary loss bearer
3-D Secure なしのカード EC 不正	マーチャント（チャージバック責任）
3-D Secure が正常に完了したカード EC 不正	発行者（責任シフト）
消費者口座への銀行 API 不正引き落とし	銀行（消費者が無過失の場合、預金者保護法フレームワークの下で）
コード決済の不正使用	T&C ごとのウォレット・オペレーター; 事例固有の証拠により異なる
カード発行者侵害の再発行	発行者
PSP マーチャント・オンボーディングの失敗	PSP / アクワイアラー / 時にブランドが一部を吸収
スミッシング主導の認証情報開示	自発的に開示したと判断されれば、しばしば消費者; 精巧ななりすまし事例では銀行がより柔軟な解釈を適用

責任シフトのダイナミクスが重要なのは、それが投資インセンティブを形作るからである: 発行者が残余損失を負うとき、彼らは不正モニタリングと 3-D Secure の採用に投資する; マーチャントが損失を負うとき、彼らはマーチャント側のアンチ不正スクリーニングに投資する; 消費者が損失を負うとき、金融サービス・オペレーターにフレームワークの改訂を求める規制的・政治的プレッシャーが高まる。2023-2025 の期間は、これら 3 つのダイナミクスすべてが同時に動いているのを見た。

規制対応のアーキテクチャ

2023-2025 の不正に対する日本の規制対応は、複数の機関と自主規制団体にわたって層をなしている:

Body	Role
FSA（金融庁）	銀行 / カード発行者 / 前払い発行者 / ウォレット・オペレーターの監督と取締り
METI（経済産業省）	割賦販売法の運用; カード決済 / EC マーチャントのセキュリティ・ガイドライン（J-Credit と共同）
日本クレジット協会	カード決済セキュリティ・ガイドライン（J-CSC）、業界調整
警察庁	サイバー犯罪統計、スミッシング / フィッシング捜査、刑事取締り
消費者庁	消費者警告、公的アラート
全国銀行協会	銀行側の調整、公的警告
資金決済法の PSP および電子決済代行業のフレームワーク	銀行 API および口座情報アクセスのルール

機関横断の調整はますます緊密になっている —— 2024-2025 のほとんどの主要インシデントは、数日以内に FSA、警察庁、および関連する業界団体にわたる調整された公的アラートを引き起こした。

消費者保護フレームワークの比較

保護フレームワークはサーフェスをまたいで実質的に異なり、これが、不正イベントでどのスキームが使用されたかに応じて同じ消費者が非常に異なる結果に直面しうる理由の一つである:

Scheme	Primary consumer-protection lever	Strength
カード EC（3-D Secure あり）	ブランドのチャージバック・ルール + 分割契約に対する割賦販売法抗弁の接続	強い
カード EC（3-D Secure なし）	ブランドのチャージバック・ルール; マーチャント責任シフト	強いがマーチャント経路依存
銀行 API 不正引き落とし	消費者が重過失でない場合の預金者保護法フレームワーク	適用される場合は強い
消費者の認証情報開示を介した銀行アプリログイン侵害	銀行 T&C と預金者保護法下のケースバイケースの解釈	可変 —— 消費者が何を開示したかに依存
コード決済の不正使用	ウォレット・オペレーター T&C; 法定のチャージバック・フレームワークなし	カード / 銀行より弱い
前払い電子マネーの不正使用	発行者 T&C; 発行停止時のみ返金	最も弱い
BNPL / 後払いの本人確認不正	プロバイダー T&C + 一般消費者信用フレームワーク	可変

サーフェス間の可変性は、消費者信頼のギャップを避けるために オペレーターが T&C を最も強いフレームワーク（カード / 銀行）に揃える構造的プレッシャー を生むが、この整合はコード決済および前払いのサーフェスについては法的に要求されておらず、したがってオペレーター間で不均一なままである。

スミッシングの運用メカニクス

2024-2025 のスミッシング・サーフェスは、消費者側の損失の持続的な源であった。そのメカニクスを理解することが重要なのは、それを検知またはブロックできるオペレーター側のコントロールが、攻撃チェーンのどのステップを標的にするかに依存するからである:

Attack chain step	Operator-side detection / control surface
1. 攻撃者が電話番号を採取する	オペレーターの範囲外; モバイルキャリアのモニタリングは部分的
2. 銀行 / カード / ウォレット / 政府を装う SMS が送信される	モバイルキャリアのフィルタリング（キャリアグレード）; SMS 送信者認証標準
3. 被害者がリンクをクリックし、フィッシングサイトに着地する	URL ブロックリストの調整; 消費者ブラウザの警告
4. 被害者が認証情報を入力する	オペレーター側はこのステップで検知できない; フィッシングサイトがオペレーターを装う
5. 攻撃者が認証情報を用いてオペレーター・システムにログインする	オペレーター検知ポイント 1: デバイスバインディング、IP / ロケーション異常、行動モニタリング
6. 攻撃者が高額取引を開始する	オペレーター検知ポイント 2: 取引パターン・モニタリング、ステップアップ認証
7. 資金が攻撃者制御のミュール口座へ移動する	オペレーター検知ポイント 3: 受取口座パターン、クレジット側の AML / CFT モニタリング
8. ミュールが資金を現金化する	引き出しポイントでの銀行 / ウォレット AML モニタリング

主たるオペレーター側のレバレッジ・ポイントはステップ 5-7 である。主要銀行での 2024-2025 の強化は、デバイスバインディング（二次検証なしの新デバイスからのステップ 5 を防ぐ）と取引パターン・モニタリング（パターンがカード保有者 / 口座保有者のベースラインから逸脱したときにステップ 6 を遅延 / ブロックする）に集中してきた。持続的な課題は、被害者制御のデバイスからの正当に見えるセッション（攻撃者がマルウェアまたはソーシャル・エンジニアリング通話を介して被害者のデバイスにリモートで入る場合）がデバイスバインディング・コントロールを回避することである。

Sources

FSA: Newsroom (令和5 / 令和6 / 令和7); ordinary public warnings.
Japan Credit Association: security guideline document page; J-CSC 6.0 publication PDF.
METI: card security guideline revision press release (2024-03).
National Police Agency: cybercrime statistics portal.
Consumer Affairs Agency: internet / payment trouble warning portal.
Payments Japan Association: publications index.
Japanese Bankers Association: news / public-warning archive.