2026年10月28日 9:02（日本標準時間）
【日本】特殊詐騙與網路安全犯罪正逐漸成為社會問題。雖然圍繞信用卡的安全攻擊也是其中一部分，但面對日益狡猾的釣魚攻擊等，單靠支付業界已難以獨力防範，這已成為現實。支付專家丸山英之先生回顧了可謂「防範欺詐對策歷史」的信用卡發展歷程，並針對海外與國內支付安全對策的最新動向進行了探討。 （節錄自2026年9月25日舉辦的「支付安全論壇2026秋季」演講）
丸山英之先生（支付領域專家）
僅靠支付對策已無法應付
已成為社會問題的網路安全
本次主題定為「海外及國內支付防範詐騙對策的趨勢」。在 在「Payment Navi」的「安全論壇」中，自其前身「信用卡安全論壇」時期起，我已獲得約10年的演講機會；每次皆以「海外及國內支付詐騙防範對策的趨勢」作為主要主題，本次亦大致沿用相同的主題框架。
信用卡的歷史，換言之，也可以說是防範詐騙對策的歷史。因此，這次我想稍微回顧一下過去的情況。在信用卡支付生態系中，除了持卡人在特約商戶使用信用卡外，還存在發卡機構（Issuer）與收單機構（Acquirer）。 過去，安全對策僅針對此支付生態系統內部，但如今僅靠內部防範欺詐的措施已難以應對，因此連支付以外的領域，例如人工智慧（AI）或密鑰（Passkey）等議題，也已納入對策之中。
從「已超越支付生態系」的角度來看，防止支付詐騙的對策可說是已成為網路安全對策本身。
擁有超過30年的支付產業經驗
安全對策邁向次世代
我曾任職於萬事達卡（Mastercard）及美國運通（American Express）。 在支付業界工作已逾30年。在此期間，我負責安全相關業務，約自2015年、2016年起，經濟產業省便與業界團體共同成立了「信用交易安全對策協議會」，我從初期便以委員身分參與其中。目前以自由工作者身分活動。
看待「欺詐」的視角與定義有所不同
發卡機構的觀點與特約商戶的觀點
關於「欺詐交易」的定義，以及發卡機構與特約商家的觀點差異，我個人長期以來一直對此感到困惑。原因在於，從發卡機構的角度來看，欺詐交易與特約商家所見的欺詐交易，既有重疊之處，也有不同之處。
從發卡機構的角度來看，所謂的「不當交易」，簡單來說就是向日本信用協會通報的數據。具體而言，包括「偽造卡片」與「號碼盜用」，原則上只要非持卡人本人的第三方使用卡片，即被視為不當交易。
此外，雖然近期發卡機構方面似乎也開始將此視為一項課題，但除了第三方使用以外，還存在另一種欺詐行為，也就是說，連持卡人本人可能也未察覺的欺詐行為。 在海外，這類行為向來被稱為「家庭詐騙（Family Fraud）」或「友善詐騙（Friendly Fraud）」，具體而言，例如子女擅自用卡支付小費，或是遊戲消費時未經許可使用父母的卡片等情況。
此外，發卡機構必須管理的異常交易案例還包括洗錢（Money Laundering），在韓國這屬於《防止犯罪所得移轉法》的適用範圍。
另一方面，從特約商戶的角度來看，以轉售為目的的商品購買也屬於詐欺交易。事實上，限量版商品或門票等高價轉售案例也曾引發熱議。不過，這些數據並未包含在日本信用協會的詐欺損失報告中。我認為這種觀點與視角的差異正是問題所在。
此外，加盟店方面往往傾向認為，只要導入3-D Secure並未發生退款爭議，便等同於未發生詐騙損失。但從發卡機構的角度來看，由於持卡人的申訴已被列為詐騙案件處理，因此也產生了這類認知上的差異。
發卡機構與特約商家的觀點呈現相同格局
公司內部對詐騙的看法也各不相同
我經常目睹這樣的場景：即使核准總管部、加盟店管理部等信用卡公司部門主管在同場會議中並肩而坐、交談時，仍會出現「咦，是這樣嗎？」的回應。既然連信用卡公司內部都無法妥善合作，我個人經常不禁思考：究竟能否真正制定出有效的防範詐騙對策呢？ 從業界外部來看，雖然信用卡公司似乎正運用人工智慧實施最先進的防範詐騙對策，但這與加盟店方的觀點存在些許差異，這點讓我個人非常在意。
事實上，這已對所謂的「授權率」或「3-D Secure 認證率」產生顯著影響，絕非輕易能解決的問題。從「詐騙交易」的定義來看，由於授權及 3-D Secure 皆由發卡機構主導管理，因此據說特約商必須針對各發卡機構分別制定對策。
透過磁條讀卡機竊取
資訊 購買高級品牌商品後隨即轉售
回顧詐騙交易的發展歷程，在我剛進入信用卡業界時，當然還沒有晶片支付。那當然也是沒有網路的時代，是磁條卡的時代。當時，到處都能聽到關於偽造信用卡的傳聞。所謂的CAT終端機（共用終端機）內部，常有以兼職人員身分潛入的詐欺集團成員，在磁條讀取部位安裝記憶卡。 雖然大小僅如火柴盒般，但若放任不管長達三個月或六個月，其中便會累積刷卡資訊，進而能竊取卡片資料。在這些卡片資訊中，法人用卡或用於高額支付的卡片資訊會自動累積。利用這些資訊製作偽造卡片並進行非法使用的案例，當時曾是資安業界的熱門話題。
若要說當時竊取卡號的方式與現在有何不同，我個人認為僅是轉變為線上進行罷了。至於竊取卡號後用來做什麼，其基本思維模式——即購買商品後轉售——並未發生太大變化。
如今，盜刷的主要舞台已轉移至線上，商品配送或使用智能信箱等必要環節雖有所改變，但我認為像特殊詐騙這類集體實施的詐騙行為自當時便已存在，這僅僅是隨著時代變遷，手法逐漸演變罷了。
防禦型 AI 與攻擊型 AI 哪一方更強？
密鑰（Passkey）的導入比海外來得晚
鑒於詐騙手法不斷演變，防範措施自然也必須隨之調整，因此磁條卡已轉為晶片卡，以防止輕易遭偽造。 同樣地，我認為我們正逐漸邁入 3-D Secure、安全令牌及 Passkey 的時代。在此期間，PCI DSS 也定期進行版本升級，甚至有消息指出下一版修訂將於 2027 年推出。
回顧詐騙犯罪的歷史，其手法已從所謂的「偽造卡片時代」演變為「號碼盜用時代」。人工智慧（AI）也已開始被運用，即時網路釣魚攻擊更是屢見不鮮。 儘管隨著時代變遷，詐騙手法如冒充、帳戶竊取等不斷演變，但犯罪者存在的這個事實卻未曾改變。此外，我認為犯罪規模正逐漸擴大，這也是不爭的事實。
在當前的AI時代，有說法指出AI會檢查目標企業系統的弱點並藉此發動攻擊；另一方面，在防禦層面，也有利用AI分析異常資訊並用於偵測的情況。因此，我也曾被問過：「若是AI對抗AI，結果會如何？」 這個問題意指當AI處於攻擊方與防禦方時，哪一方的AI會勝出？我個人認為攻擊方會勝出。
防禦方基本上只能優先考慮避免過往曾發生的攻擊模式重現，並在發生時及早阻斷。防禦方運用AI的優勢在於分析過往數據，以盡可能迅速地阻止後續的二次損害。反觀攻擊方，則會為了克服這一點而尋找系統漏洞。據聞，若檢視當前的漏洞狀況，不僅各企業的電子商務網站，連同銀行、證券公司等機構，都發現了大量漏洞。甚至聽說即使修補了漏洞，也難以完全跟上攻擊者的步伐。如此一來，攻擊方確實佔有優勢。
此外，在認證方法方面，我認為基本上應將 FIDO2 和密鑰（Passkey）作為對策導入。談到密鑰，我最深切感受到的是，日本與海外在這方面的導入速度有顯著差異。 正如日本警視廳與警察廳在證券詐騙案發生時曾強力推動導入該技術那樣，我認為不僅是證券公司，銀行、網路銀行、信用卡公司、大型電子商務網站以及平台營運商也都應導入此技術。
若要
了解安全對策，請參閱以下可作為資訊蒐集參考的網站介紹
觀察防範詐欺的趨勢，可發現其正從單純的支付防範，轉變為網路安全對策。談到支付防範詐欺，其發展歷程從磁條、晶片、3-D Secure 到網路令牌。由於支付防範詐欺僅限於品牌所提供的範圍，因此仍需從網路安全層面制定防範詐欺對策。
關於資安對策，應將國家網路安全辦公室（National Cybersecurity Office）、警視廳網路安全資訊、日本網路犯罪對策中心（JC3）以及防範網路釣魚對策協議會的資訊，作為整體趨勢加以掌握。支付行為本身僅是整體犯罪的一部分，因此我認為應以網路安全為核心，進而衍生出相關的支付措施。
感謝各位的聆聽。
