相次ぐスマホ決済の不正被害

スマホで決済するサービスで、第三者による不正利用が相次いでいます。昨年12月にヤフーのペイペイでクレジットカードの不正利用が発生。100億円を還元するキャンペーンが大人気になったこともあり、この不正利用も派手に報道されました。ここ最近では7月にスタートしたばかりのセブンペイでも大規模な不正利用が発生しています。今週はTポイントの不正利用もニュースになっていました。

不正利用による損害に対する補償

上記のペイペイ、セブンペイも顧客の損害に関しては運営会社が全額補償しています。が、しかし、今後も運営会社が全額補償してくれるとは限りません。今は各社が顧客の囲い込みを競い合っている場面ですから、全額補償していると考えておいた方が良さそうです。

7/24付け日本経済新聞に「スマホ決済の不正被害 『補償』8割明記なし」という記事があり、その中でスマホ決済運営会社各社の利用規約を調査し比較しています。

「不正があっても支払いの責任を利用者が負う」としているのが、d払い、メルペイの2社。
「会社に重過失などがない限り、会社は責任を負わない」としているのが、ペイペイ、楽天ペイ、オリガミペイ、セブンペイ、auペイ、ファミペイの6社。
「会社が補償に応じる」と明記しているのが、Jコインペイ、LINEペイの2社。

運営会社が補償すると明記しているのは、Jコインペイ、LINEペイの2社だけであり、残りの8社は補償するとは明記されておらず、救済基準があいまいなわけです。

補償が明記されているクレジットカード

同じキャッシュレス決済であっても、クレジットカード大手は会員規約で定められた手続きを踏めば、不正利用による支払いを免除すると明記されています。この手続きというのは「警察と自社に対して届出がされること」らしいです。

スマホ決済との補償に関する違いの背景にあるのは、クレジットカード運営会社が損害保険に加入していて、不正被害が発生しても運営会社に大きな損害が出ないような体制が構築されているからだそうです。

被害が発生した場合の顧客対応から損害の補償に至るまで、こうした体制構築にも当然コストが掛かっているはずです。これらのコストとクレジットカードの決済手数料の高さの関係性って、どの程度説明可能なんでしょうかね(ただ、決済手数料を負担するのは販売店ですが)。

クロネコヤマト リスト型攻撃で個人情報3,467件漏洩

ヤマト運輸の個人向け会員制サービス「クロネコメンバーズ」のサイトに不正アクセスがあり、3467件の個人情報が漏洩した可能性があることが公表されました。同社は、不正ログインを確認したIDはパスワードを変更しなければ利用できないよう対策をとったとのこと。

リスト型アカウントハッキング攻撃(リスト型攻撃)

以前当ブログでも、リスト型アカウントハッキング攻撃(リスト型攻撃)については取り上げました。ユニクロやコジマが被害を受けていたころのことです。今回のヤマト運輸の件も同様の手口のようです。何らかの手段により他者のID・パスワードを入手した第三者が、これらのID・パスワードをリストのように用いてサイトにログインを試みるという手口ですね。

ヤマト運輸によると、22日夜から24日朝にかけて約3万件の不正アクセスがありました。このうち3467件が不正にログインされ、名前や住所、メールアドレスやクレジットカード番号の下4桁などが閲覧された可能性があるとのこと。25日時点で個人情報の悪用など被害は確認されていないようです。

同サイトでは2014年9月25日にもリスト型攻撃を受けており、1万589件の不正ログインがありました。その時のログイン試行回数は19万件だったと報道されていました。一度こういう被害が出ていて、パスワードの使い回しに対する注意喚起が行われているのに、、、。それでも使い回しはなくならないんですね。ちなみに2014年9月は佐川急便も同じ被害にあってたようです。

ヤマト運輸の対応

公表されている情報が事実であれば、3万件のアクセスを受けた時点ですぐに不正を検知しています。また、速やかに、不正ログインを確認したIDについてパスワードを変更しなければ利用できないよう対策もとっています。翌日には事実の公表も行われていて、おおむね良好な対応がされているという評価でしょうか。

このところ不正・不祥事が相次いだヤマトだけに、またやらかしたか、、、と思いましたが、今回はヤマトを責めるわけにもいかないようです。ただし、会員登録する際の画面においてどんな注意喚起が行われているか、とか、アマゾンやヤフーのIDと連携できるようになっている仕組みに問題はなかったのか、といった点についてはkuniもチェックできていません。

2回も同じ手口で被害にあってしまうわけですから、どこかに問題があるんじゃないかという気がしますが、、、。あともう一つ気になるのが、このサイトで犯人は何を目的にアクセスしたかです。住所変更して宅急便をだまし取るんでしょうか。よく分かりません。