クレジットカードクラッキングとは？

クレジットカードクラッキング（Credit Card Cracking）とは、オンライン決済プロセスを悪用し、有効期限やセキュリティコードなど、欠けているカード情報を特定しようとする自動化された決済カード不正利用の一種です。

攻撃者は、すでに入手したカード番号（PAN：Primary Account Number）を起点として、自動化されたリクエストを繰り返し送信し、追加のカード情報がシステムに受け入れられるかどうかを検証する場合があります。

クレジットカードクラッキングは、企業にとって深刻な脅威となります。悪意のある自動化プログラムによって決済処理が繰り返し試行されると、決済システムへの負荷が増大し、不正利用に関連するコストが増加するほか、正規の顧客の購入体験にも悪影響を及ぼす可能性があります。

クレジットカードクラッキングの仕組みとは？

カードクラッキングは、大きく分けて次の3つの段階で行われます。

1. カード情報の一部を入手する。 攻撃者は、過去の情報漏えい事件やその他の不正な経路を通じて、不完全な決済カード情報を入手することがあります。
2. オンライン決済機能を悪用する。 自動化ツールを使用して決済や認証に関わるエンドポイントに繰り返しアクセスし、欠けているカード情報を推測しようとします。
3. 検証に成功したカード情報を不正利用する。 有効性が確認されたカード情報は、決済詐欺、不正取引、犯罪市場での転売などに悪用される可能性があります。

具体的な攻撃手法は、決済システムや導入されている不正対策によって異なります。

防御側が特に注意すべきなのは、決済機能に対する異常な反復アクセスです。特に、異なるデバイス、セッション、ネットワークからの多数の試行に共通する特徴が見られる場合は、注意が必要です。

カードクラッキングとカードテスティング（Carding）の違い

これらは関連性のある自動化された決済不正行為ですが、その目的と手口には違いがあります。

実際の攻撃では、同じ攻撃キャンペーンの中で複数の決済不正行為が組み合わされることがあります。企業は決済リスク管理とボット検知の両方を必要とするため、こうした手口の違いを理解することが重要です。

OWASPの自動化脅威フレームワークでは、カードクラッキングは「OAT-010」、カードテスティングは「OAT-001」に分類されています。

自動化されたカードクラッキング攻撃の兆候

企業は、次のような不審なパターンに注意する必要があります。

• 決済承認の失敗や検証エラーが異常に増加する。
• 少額決済の試行や未完了の購入手続きが大量に発生する。
• 関連するセッション、デバイスフィンガープリント、IPネットワークから決済リクエストが繰り返し送信される。
• リクエスト頻度、アクセス元の地域分布、購入手続きの行動パターンが突然変化する。
• 多数の決済失敗が発生した後に、少数の取引だけが成功する。

単一の兆候だけで攻撃と断定することは困難です。正規の購入者への影響を避けるため、不正対策チームは決済サービスプロバイダーが提供するリスクシグナル、アプリケーションログ、行動分析、ボット検知の結果を組み合わせて総合的に判断する必要があります。

クレジットカードクラッキングは企業にどのような影響を与えるのか？

不正利用と金銭的損失

不正な決済行為は、チャージバック（支払いの取り消し）、調査業務の増加、決済処理コストの上昇、取引に関する紛争などにつながる可能性があります。

決済システムのパフォーマンス

自動化されたリクエストが繰り返し送信されると、決済エンドポイントへの負荷が増大し、運用コストの上昇や正規の顧客の購入体験の悪化を招く可能性があります。

顧客からの信頼

誤検知、決済エラー、実際の不正利用は、正規の顧客の購入意欲を低下させ、ブランドの評判を損なうおそれがあります。

運用管理の複雑化

不審な活動を調査するために、セキュリティチームや決済担当チームは、アクワイアラー（加盟店契約会社）、決済サービスプロバイダー、社内の不正検知システムの担当者などと連携する必要が生じる場合があります。

クレジットカードクラッキングを防止する方法

効果的な多層防御戦略では、正規の顧客に不要な負担をかけることなく、悪意のある自動化処理を防ぐことが重要です。

1. 悪意のある決済自動化を検出する

ボット検知と行動分析を活用し、購入手続きページ、決済フォーム、APIエンドポイントにおけるスクリプトによる自動操作を特定します。

IPアドレスだけに依存せず、複数のセッションやデバイスにまたがる活動を総合的に評価することが重要です。

2. リスクに応じたレート制限を適用する

過剰または不審な決済試行を制限しながら、正規の顧客が問題なく購入を完了できるようにします。

レート制限を設定する際は、アプリケーションの特性に応じて、セッション、アカウント識別子、デバイスの特徴、リクエストパターンなどを考慮する必要があります。

3. 決済サービスプロバイダーの不正対策機能を活用する

信頼できる決済処理事業者と連携し、適切な検証機能や不正検知対策を導入します。また、決済承認の失敗状況を監視し、不審な活動に関するアラートを確認します。

追加の本人認証は、リスクに応じて実施し、適用される決済関連の要件に準拠する必要があります。

4. 不審な行動を監視・調査する

決済承認の結果、取引件数、決済エラー率の変化を継続的に追跡します。

決済イベントとウェブサイトやAPIのセキュリティ監視データを関連付けて分析することで、潜在的な攻撃キャンペーンを早期に検出できます。

5. 正規の顧客を保護する

認証チャレンジやその他の防御措置は、リスクシグナルに基づいて必要と判断された場合にのみ、適切に調整して適用します。

誤検知が発生していないかを検証するとともに、認証に失敗した際に不要な詳細情報が外部に公開されないようにすることが重要です。

CDNetworks Bot Shieldによる対策

EC事業者にとって、ボット管理は決済や購入手続きの前段階にセキュリティ対策を追加する重要な手段となります。

CDNetworks Bot Shieldは、ボットトラフィックの可視化、行動検知、デバイスに基づくリスクシグナル、設定可能なレート制限や認証チャレンジなどの機能を提供し、不審な自動リクエストの特定と対策を支援します。

個々の取引に関するリスク判断には、引き続き決済サービスプロバイダーが提供する不正対策機能が必要です。

クレジットカードクラッキングに関するよくある質問

カードクラッキングとカードテスティングは同じものですか？

完全に同じではありません。カードクラッキングは欠けている決済カード情報の特定を目的とするのに対し、カードテスティングは一般的に、すでに入手したカード情報が有効かどうかを確認する行為を指します。

実際の攻撃では、両者が組み合わされる場合もあります。

CAPTCHAだけでカードクラッキングを防止できますか？

いいえ。CAPTCHAなどの認証チャレンジは多層防御の一環として有効ですが、高度な自動化攻撃や誤検知のリスクを考慮すると、それだけでは十分ではありません。

企業は行動分析、レート制限、継続的な監視、決済不正対策などを組み合わせて防御する必要があります。

企業はどのシステムを重点的に監視すべきですか？

購入手続きや決済に関わるエンドポイント、不正検知ログ、決済承認ログ、APIリクエストパターン、ボット検知のシグナル、そして正規の顧客が決済する際のユーザー体験を優先的に監視することが重要です。