乱立するキャッシュレス決済に潜むリスクと安全な利用に向けた注意点

7payで大規模な不正利用

セブンイレブンのキャッシュレス決済サービスである7payにおいて、サービス開始早々に大規模な不正利用が行われました。その被害人数は1500人以上、被害金額は3000万円を超えるとのことです。（7月11日時点）

現在、キャッシュレス決済サービスが乱立状況にあります。その理由は、銀行などの金融機関に比べて参入障壁が低いことに加えて、大量の購買データを収集することにあります。この購買データをビッグデータとして分析し、販促や新サービス開発等に役立てることが可能となります。そのため、キャッシュレス決済の事業者は利用者を増やすため、高い割引率やポイント還元等の様々なキャンペーンを行っています。今回の事件は、サービスの充実や利便性を追求するあまり、セキュリティ対策を怠ったことに由来すると考えられます。

キャッシュレス決済が拡大する中で、行政機関も今回の事件を問題視しています。金融庁は不正利用の原因や再発防止策等を報告するよう、資金決済法に基づく報告徴求命令を行いました。経済産業省は各事業者に対して不正利用防止のための各種ガイドラインの徹底とセキュリティレベルの向上を求めています。

二段階認証とは

今回の事件ではセキュリティ対策が不十分、特に、多くの決済事業者で採用されている「２段階認証」が行われていないことが指摘されています。記者会見で7payの運営会社社長が２段階認証について尋ねられた際の戸惑う様子が印象に残る方も多いでしょう。

従来、インターネット上のサービスを利用する際の認証手段は「ID＋パスワード」でした。しかし「ID＋パスワード」は以下の理由から安全性が十分に確保できません。

・パスワード管理が煩雑（覚えにくい、定期変更、等）
・覚えやすいパスワードは第三者に推測されやすい
・外部に漏洩されている可能性
・パスワードを使い回すと、複数のサービスでアカウントを乗っ取られる

そのため、利用者の保有するスマートフォンにSMSや音声による認証コードを送って入力させることで、より確実な本人確認を行うことができます。これが２段階認証です。スマートフォンに紐づけられた電話番号は重複することはありません。この電話番号に通信を行うことで、スマートフォンの持ち主である利用者を確実に特定することが可能となります。7payではこの２段階目の認証プロセスが無いため、スマートフォンの持ち主でない第三者が不正利用することができたのです。

安全にキャッシュレス決済を利用するための注意点

こうした事件が起きたからと言って、従来の現金利用に戻る方は少ないでしょう。今後もキャッシュレス決済はより拡大し、キャッシュレス決済のみ有効な店舗も増加するでしょう。

それでは、キャッシュレス決済を安全に利用するためにはどうすればよいでしょうか。

１．利用する決済サービスのセキュリティ内容を確認すること

２段階認証が行われていることは必須ですが、２段階認証で使用される認証コードが、登録した自分のスマートフォンの電話番号でしか受信できないことを確認すべきです。それ以外のメールアドレス等で受信可能な場合、当該メールアドレスが乗っ取られると不正利用につながる恐れがあります。

また、その他の安全性に関わる項目をできるだけ強固に設定すべきです。操作が面倒だから、という理由で設定しなかった項目はそのままセキュリティ上の「穴」になります。

２．スマートフォンの画面ロック設定を行うこと

スマートフォンを通じてキャッシュレス決済を行う場合、スマートフォンの紛失、盗難等がそのまま決済サービスの不正利用につながります。また、スマートフォンを利用可能な状態で放置した場合も、自分が利用している決済サービスやその設定を見られたり、変更されたりする可能性もあります。

３．利用明細やチャージ記録などをこまめに確認すること

自分が利用する決済サービスが仮に不正利用された場合、早期に発見することが被害の最小化につながります。身に覚えのない操作が行われていないかどうか、購買履歴等をこまめに確認することも必要だと考えます。

キャッシュレス決済に限らず、インターネット上のやり取りは常にリスクに晒されています。家に鍵をかけても泥棒に入られるように、サービス事業者が提供するセキュリティ機能だけで十分という訳ではありません。利用者の側でも日ごろから注意し、できる限りの自衛手段を行うことで初めて安心・安全なサービス利用が可能となるのです。

（金子 清隆／ITコンサルタント セキュリティコンサルタント）