増加するスマホ決済の不正利用！よくある手口と基本的な対策

買い物などをした際に、スマートフォンでお金を支払う「スマホ決済（キャッシュレス決済）」。現金を持ち歩く必要がないことから、頻繁に利用する人も多いのではないでしょうか。

スマホ決済を利用する人が増えるにつれて、不正利用の被害者も増加傾向にあります。

そこで本記事では、スマホ決済の不正利用によくある手口や、基本的な対策を紹介します。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス紹介資料をダウンロードする

増加するスマホ決済の不正利用

スマホ決済とは、スマートフォンにインストールしたアプリを使ってお金を支払う方法です。近年スマホ決済を利用する人が増えてきています。

MMD 研究所が2022年1月に、18〜64歳44,727人に対して行ったアンケートでは、スマホ決済を利用する人の割合は43.6%という結果が出ています。年別で見ると、2019年7月のスマホ決済利用者の割合が14.3%で、ここ3年ほどで3倍近く増えていることが分かります。

参照：MMD 研究所

このようなスマホ決済の利用者増加に伴って増えているのが不正利用です。スマートフォンの本来の持ち主でない第三者が利用したことで、金銭的な被害を受けるケースがあります。

IPA (独立行政法人情報処理推進機構) が1年ごとに発表している「情報セキュリティ10大脅威（個人）」では、「スマホ決済の不正利用」が2021年に1位、2022年に5位と、上位にランクインしています。このランキングは社会的に影響が大きい脅威を専門家らが分析して決めます。「スマホ決済の不正利用」は近年、件数・被害額ともに増大していると考えるべきでしょう。

参照元：情報セキュリティ10大脅威 2022

スマホ決済の不正利用によくある手口

次に、スマホ決済の不正利用においてよくある手口を4つ紹介します。

ログイン情報などを盗み取る（フィッシング詐欺）

まずは、スマホ決済サービスの利用者のログイン情報やクレジットカード情報などを盗んで不正に利用する方法です。

例えば、アプリの運用元を装って「以下のサイトから情報の更新を行ってください」などのメールやショートメッセージを送り、偽のサイトに誘導します。そこでログイン情報などを入力させて盗み取るといった方法などがあります。

辞書攻撃・アカウント攻撃

2つ目は、辞書攻撃・アカウント攻撃などでスマホ決済サービスのログイン情報を特定して、不正利用する方法です。

辞書攻撃とは、ログイン情報となる ID やパスワードに使われやすい名前などをまとめたリストを使い、リストの名前をランダムに組み合わせて何度もログインを行ってアカウントに不正アクセスする攻撃を指します。

アカウント攻撃とは、別のサービスで入手したログイン情報を使ってアカウントに不正アクセスを試みる方法です。同じログイン情報を使い回していると、アカウント攻撃の被害を受けてしまう可能性が高まります。

脆弱性への攻撃

3つ目は、スマホ決済サービスのセキュリティの脆弱性を攻撃し、アカウントを乗っ取る手口です。

サービスの欠陥を狙った攻撃のため利用者側で防ぐのが難しく、運営元での対策に依存する部分が大きいでしょう。

もし利用者側で対策するのであれば、スマホ決済サービスを銀行口座と直結させず、プリペイド式にしてチャージした金額以上は利用できないようにするなどの方法があります。

スマートフォン自体を盗む

4つ目は、スマートフォン（端末）自体を盗んで不正利用を試みる方法です。

スマートフォンは小さいため、ズボンのポケットに入れようとして落としてしまったり、外食中にテーブルに置いたまま忘れて店を出てしまったりした経験がある方もいると思います。

スマートフォンを落としたり忘れたりしても、良い人が拾ってくれればそのまま交番などに届けてくれるかもしれません。しかし、中には拾ったスマートフォンを盗んで悪用する人もいます。

スマートフォンにロックがかかっていないと、スマホ決済サービスを不正に利用されてしまうかもしれません。

関連記事：情報セキュリティインシデントとは？主な種類や対策方法を解説

スマホ決済の不正利用を防ぐには？

では、スマホ決済の不正利用を防ぐには、どうすればよいのでしょうか。

ここからは、個人でできる基本的な対策を7つ紹介します。

• 不審な URL にアクセスしない

• 公式のアプリストアから正規のアプリをインストールする

• ログイン用の ID・パスワードを使い回さない

• スマホ決済アプリを定期的にアップデートする

• 利用履歴をこまめに確認する

• スマートフォン自体のセキュリティ対策を行う

• 不審なフリー Wi-Fi を利用しない

不審な URL にアクセスしない

身に覚えのないメールや SMS は開かず、記載されている URL はクリックしないように注意しましょう。偽のサイトに誘導されて、ログイン情報やクレジットカード情報の入力を求められ、盗まれてしまう可能性があります。

公式のアプリストアから正規のアプリをインストールする

スマホ決済アプリをインストールする際は、Google Play や App Store など公式のアプリストアからインストールするようにしてください。不正なアプリの場合、公式のストアでの配布・販売が承認されない傾向があります。

しかし、公式のアプリサイトだからといってよく確認せずにインストールするのは禁物。正規のアプリだと誤認しやすい名前やアイコンを使った不正アプリが全くないとは限りません。インストールする前に名前やアイコン、他のユーザーのレビューなどを確認しましょう。

ログイン用の ID・パスワードを使い回さない

スマホ決済だけでなく、他のアプリ・サービスについてもログイン用の ID・パスワードを使い回さないよう注意してください。

1つのアプリ・サービスのログイン情報が特定されてしまった場合、他のアプリ・サービスへの不正アクセスを許してしまう可能性があります。

また自分の名前や誕生日など予想しやすい文字列を ID・パスワードにしないことも意識してください。

スマホ決済アプリを定期的にアップデートする

スマホ決済アプリ・サービスのアップデート情報が来たら、必ず更新して最新版を使うようにしましょう。

アプリのアップデートによって脆弱性が減り、第三者から攻撃を受ける可能性を下げることにつながります。

利用履歴をこまめに確認する

仮にスマホ決済アプリ・サービスを不正利用されていたとしても、利用履歴を見ることで更なる悪用を防げる可能性があります。

身に覚えのない利用履歴を発見できれば、すぐに運営元に確認をしたり、アプリ・サービスの利用を停止したりなどの対策を打てるでしょう。

スマートフォン自体のセキュリティ対策を行う

スマートフォンを盗まれて悪用される可能性を下げるために、端末自体のセキュリティ対策も行いましょう。

例えば以下などの対策が挙げられます。

• ロックをかけてパスワードを入力しないと使えない設定にする

• 指紋認証や顔認証システムをオンにする

• 遠隔で端末内のデータを消去・リセットできる設定にする

不審なフリー Wi-Fi を利用しない

フリー Wi-Fi を利用してスマホ決済を行う場合、不審な Wi-Fi には接続しないように注意しましょう。ログイン情報やクレジットカード情報などを盗まれてしまう可能性があります。

関連記事：セキュリティ認証 (ISMS認証・Pマーク) 取得や運用の費用対効果をデータをもとに紹介

スマホ決済を利用するなら不正利用対策も必須！

現金やクレジットカードが手元になくても、スマートフォンさえあれば決済できるため非常に便利な「スマホ決済アプリ・サービス」。

しかしセキュリティ対策をしないと不正利用されてしまう可能性があります。

少しでもリスクを下げるために、本記事で紹介した対策を必ず実践してください。

従業員のセキュリティ意識向上と教育管理を効率化しませんか？

スマホ決済の不正利用をはじめ、サイバー攻撃の手口は日々巧妙化しています。組織を守るためには、従業員一人ひとりがこうした最新の手口を知り、高いセキュリティ意識を持つことが不可欠です。

しかし、全従業員に対して定期的な教育を行い、その実施状況を記録・管理するのは多大な労力がかかります。 そこで役立つのが、情報セキュリティ体制構築・運用支援ツール「SecureNavi」です。

• 従業員教育の実施から実施の記録までをクラウドで完結

• ISMSやPマークで求められる教育要件にもスムーズに対応

• 担当者の管理工数を削減しつつ、組織全体のセキュリティレベルを向上

「教育は大事だが、手間はかけられない」という担当者様は、ぜひ詳細をご覧ください。