2026年10月28日9:02（JST）
【日本】特殊詐欺、サイバーセキュリティ犯罪が社会問題化しています。クレジットカードを巡るセキュリティ攻撃もその一部ですが、巧妙化するフィッシング攻撃への対策など、決済業界だけでは防ぎきれなくなっている現実もあります。決済の専門家である丸山秀幸氏が、不正対策の歴史とも言えるクレジットカードの歴史を振り返りながら、海外と国内の決済のセキュリティ対策をめぐる動向について語りました。（2026年９月25日開催「ペイメント・セキュリティフォーラム2026 Fall」の講演より）
丸山秀幸氏（決済領域の専門家）
決済の対策だけでは追い付かない 社会問題化するサイバーセキュリティ
今回の議題を「海外、国内の決済の不正対策の動向」としています。このペイメントナビの「セキュリティ・フォーラム」では前身の「クレジットカード・セキュリティフォーラム」の時代から10年ぐらい話をする機会を頂いていていますが、毎回、大きなテーマを「海外、国内の決済の不正対策の動向」としていて、今回も大きな意味で同じにしています。
クレジットカードの歴史は言い換えると不正対策の歴史とも言えます。そこで今回は少し昔の状況も振り返ってみたいと思っています。クレジットカードの決済のエコシステムでは、カード会員が加盟店でカードを利用し、イシュア、アクワイアラがいます。以前はこの決済のエコエシステムの中だけをセキュリティ対策の対象にしていましたが、今となっては、その中だけの不正対策だけでは追い付かず、決済以外の領域のAIやパスキーの話も対策の中に出てきているような状況です。
決済のエコシステムを通り越しているという意味でいうと、決済の不正対策はサイバーセキュリティ対策そのものになっていると言えます。
決済業界30年以上の経験 セキュリティ対策が次の世代に
私は元Mastercard、元アメリカン・エキスプレスで勤務しておりました。30年以上、決済業界に勤務をしています。その間のセキュリティ関連の担当時代の2015年、16年ぐらいから、経済産業省が業界団体と「クレジット取引セキュリティ対策協議会」を立ち上げて、その当初の頃から委員をやっていました。今ではフリーランスとして活動しています。
「不正」を見る目と定義が違う イシュア目線、加盟店目線とは
そもそもの不正の定義ですが、イシュア目線、加盟店目線の違いに、長年、個人的には課題を感じていました。なぜかというと、カードを発行するイシュア目線の不正というのは、加盟店側から見る不正とは重なる部分と異なる部分があるからです。
イシュアから見た時の不正は、端的に言ってしまうと、日本クレジット協会に報告されている数字になります。具体的には「偽造カード」「番号盗用」となり原則カード保有者以外の第三者のカード利用が不正となります。
また、最近イシュアでも課題になりつつあるようですが、第三者利用以外の不正、言い換えると本人が利用したかもしれない不正と言うのもあります。海外では以前から「ファミリーフロード」「フレンドリーフロード」と呼ばれていた不正ですが、具体的には、子供が勝手に投げ銭をカードで払った、ゲームの課金に勝手に親のカードを使われたという内容です。
他にもイシュアが管理しなければならない不正にはマネロン（マネー・ロンダリング）があり、国内では反収法（犯罪収益移転防止法）の対象になります。
一方、加盟店から見ると、転売目的の商品の購入も不正になります。実際、限定品、チケットなど、高額転売も大きな話題になりました。ただし、その数字は日本クレジット協会の不正被害報告には含まれてきません。その辺の観点、視点が違うと言うことが課題と感じています。
また、加盟店側では3-D セキュアを導入してチャージバックがなければ不正被害がなかったと考える傾向もあります。イシュアから見ればカード利用者からの申告は不正として処理されていますので、このあたりの認識の違いも起きています。
イシュア目線・加盟店目線と同じ構図 会社の内でも不正を見る目が違う
オーソリ統括部、加盟店管理部など、カード会社の部長が同じ会議で二人で並んで話をしていても「え、そうなの？」と言う状況を良く目にしました。カード会社の中の連携も取れていないのに不正対策できるの？というのは個人的にとても思うことがあます。業界の外の方から見ると、カード会社はAI使って最先端の不正対策をしているように映っているようですが、加盟店側から見たところとは若干違うのはが個人的にはとても気になっています。
実際にいわゆるオーソリの承認率、3-D セキュアの認証率にはっきり影響が出ていて、簡単に解決できるところではありません。不正の定義という意味でいうと、イシュア目線でオーソリ、3Dセキュアは管理されているため、加盟店としては個社で個別に対策をする必要があると言います。
