スキミングとは｜カード情報を不正取得する仕組みと手口

当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー

スキミングとは、クレジットカードやキャッシュカードなどの情報を、カード所有者の知らない間に不正取得する手口である。取得した情報は、偽造カードの作成や不正決済などに悪用される。

従来はATMや店舗の決済端末に不正な読み取り装置を取り付ける手法が中心だったが、ECサイトの決済ページからカード情報を盗み取る「Webスキミング」も問題となっている。

スキミングの仕組み

スキミングでは、カード情報を扱う機器やシステムに不正な仕組みを介在させ、正規の利用に紛れて情報を取得する。

代表的な手法は、物理的な読み取り装置を使うものと、Webサイトに不正なプログラムを仕込むものに分けられる。

種類	主な対象	情報の取得方法
物理的なスキミング	ATM・店舗の決済端末など	不正な読み取り装置によってカード情報を取得
Webスキミング	ECサイトなどの決済ページ	不正なスクリプトによって入力情報を取得

いずれも、利用者が通常の操作を行っている間に情報を盗み取る点が特徴である。

ATMや決済端末のカード挿入口などに、不正な読み取り装置を取り付ける手法である。

磁気ストライプに記録されたカード情報を読み取るものが代表的であり、暗証番号を盗むために小型カメラや偽のキーパッドが併用されることもある。

取得した情報は、偽造カードの作成や不正な取引に利用される。

ICチップを利用した決済では、磁気ストライプ情報の複製だけでICチップを偽造することはできない。ただし、ICチップ搭載カードであっても、磁気ストライプを使用する取引などでは情報が悪用される余地がある。

Webスキミングとは、ECサイトなどの決済ページに不正なプログラムを組み込み、利用者が入力したカード情報を盗み取る手法である。

デジタルスキミングとも呼ばれ、Magecartはこの種の攻撃に関連する攻撃グループや活動を指す名称として知られている。

Webスキミングでは、利用者が正規のECサイトにアクセスしていても被害が発生する。決済処理自体が正常に完了する場合もあり、利用者が異常に気付きにくい。

HTTPSによる通信の暗号化だけでは防げない。正規のページ内で動作する不正なスクリプトが、暗号化される前の入力情報を取得できるためである。

スキミングで取得された情報は、次のような不正行為に悪用される。

被害	内容
偽造カードの作成	盗まれた磁気ストライプ情報などを利用したカードの複製
不正な現金引き出し	偽造カードや盗まれた暗証番号を使ったATM取引
オンラインでの不正決済	取得したカード番号・有効期限などを使った決済
カード情報の売買	盗まれた情報を第三者に販売・提供する行為

実際に可能な不正利用は、取得された情報の種類やカード会社の認証・不正利用防止機能によって異なる。

スキミングは、カード情報を不正に取得する手口の一つであり、フィッシングやデータベースからの情報窃取とは取得方法が異なる。

手口	主な特徴
スキミング	カード読み取り装置や不正なプログラムなどを介して情報を取得
フィッシング	偽サイトや偽メッセージなどで利用者を誘導し、情報を入力させる
データベースからの情報窃取	保存されたカード情報などをシステムへの不正アクセスによって取得

ただし、Webスキミングで偽の入力フォームを表示するなど、複数の手口が組み合わされることもある。

スキミングの特徴は、正規のカード利用や決済操作に紛れて情報を盗み取ることにある。物理的な装置だけでなく、Webサイト上の不正なプログラムもその手段となる。