クレジット番号はどうやって盗まれるのでしょうか？

質問

クレジットのアカウントに 12月30日から合計3件
見覚えのない利用項目がありました。
まめにチェックする方なので、早速クレジット会社に
調査を依頼しましたが、2日後 "Fraud（詐欺）と
決定したので返金する” という返事でした。

皮肉にも私は年末からインフルエンザにかかり、
5日間は外出せず家にいました。 　その間、ネットで
バスの定期券をネットで購入（クレジット番号を
入力）しました。　このサイトは何度も利用していて、
新年から新しいシステムを導入したらしく security
code（パスワードとは別にカード会社に連絡し
新たに作るもの）も要求された位なので、比較的
安全と思うのですが・・・。

スパイウェアの心配ですが、確かに不審メールは
毎日のようにありますが、スパムボックスにあるので
無視してそのまま消去しています。　よって、何か
新しいソフトをダウンロードするなどはしていません。

回答No.9

natsuanko

再度No.６のお礼のページについて。

このページは動的に作られています。Webページの更新日付をjavascriptやブラウザのアドオンで調べられるのですが、それで調べると表示した日付と時刻が出て来ます。
実際にいつ作られたかは、Google検索で期間指定（期間を１年と指定）すると検索一覧に日付が表示されます。（キーワードは「非接触方式　スキマー　マネーフォワード」で検索しました。）
結果表示された日付は、2014/06/09と出てきます。

それでは、これより新しく作成・更新されたページを紹介します。
http://creca-gensen.com/archives/711
ここにも「非接触式タイプのスキマーは非接触型カード(SuicaやICOCAなど)のみ有効となるため、被害額が高額になってしまうクレジットカードやキャッシュカードなどの接触式カードには使用することはできません。」と記載されています。
また、ICカードそのものが、「カード内の情報をICチップに書き込むICカードは、従来の磁気カードに比べて扱える情報量が数千倍となるうえ、扱う情報もCPUが制御しているため外部からの不正なアクセスによる改ざんや読み出しといった事が非常に難しくなります。」と言う記載されていることを参考にして下さい。

クレジットカードが非接触スキマーで読み取られるような情報がWeb上には溢れています。
これは、以下の要因によるものと思われます。
１　ICカードが非接触式の方が普及しているため、クレジットカードのICカードも同様だと思い込んだことによるもの。
２　前の回答でも書きましたが、スキミング防止グッズを売ろうとしている業者がわかっていてそう言う情報を流布させている。

以上で納得していただけたでしょうか。

お礼

何度も回答にいらしていただいて恐縮です。
スキミングの手口についてはあくまでも素人の範囲で知っておきたい程度ですが、そこに矛盾というか、不明な点があったため何度も補足してしまいました。
私なぞはまさかプロのスキマーグループの標的にはならないでしょうから、ひたすら利用明細（小さな買い物）をチェックするのみですが。　

クレジットカードが非接触スキマーで読み取られるような情報がWeb上には溢れている、とのことですが、「単なる思い込み」にしろ、「スキミング防止グッズを売ろうとしている業者がわかっていてそういう情報を流布させている」にしろ、実しやかなサイトもあるので困りますね。　私も物好きなので、一応警察庁に問い合わせています（笑） 近日中にこの中のサイトのどれかが消える可能性があるかもしれません。 乞うご期待！
※北米では犯罪技術その他事情が違うことも勿論考慮に入れております。

補足

日本のクレジットカード事情はわかりませんが、私がメインで使っている○○提携ＭＣはＩＣチップ付きで、特定のお店の読み取り機ならそこに翳すだけで（接触しないでも）支払いができます。　そういった状況の中で、カナダ連邦警察に「接触せずにそのバッグの中にある財布に入ったクレジットカードの番号を読み取ってしまう機会はあるか」を問い合わせてみました。　以下が回答です。

クレジットカードが他のカード類と混ざっている場合は読み取りは困難となるが、確かにそういった高性能読み取り機は存在し スキャマーのポケットに隠されていることが多い。　但しディバイス自体が非常に高額のため、平均的スキャマーには手が出ないだろう。　
※最後にそういったデバイスから守るような保護ケースも販売されている、という紹介もあります。
（The answer is not likely if the credit card is amongst other cards, in the wallet and in the purse but there are very high tech devices out there that can read cards which are kept in pockets. These devices are very expensive and the average scammer cannot afford them. Please note there are protective cases being sold to keep your credit and banking cards safe from these devices.）

私が今回被害に遭ったその手口はわかりませんが。。。

回答No.8

natsuanko

No.６のお礼について回答します。

確かに最新の記事ではあるようてすが、ネット上に書かれている事が全て正しい訳では有りません。
しかもこの記事「磁気記録を非接触で読み取る」と有りますね。私は物理の専門家では無いので、100%無いとは言えないですが有り得ない事だと思います。
参考までに、これはさらに古い記事なので最新じゃないと言われればそれまでなのですが、以下の内容を参考にして下さい。
http://allabout.co.jp/gm/gc/55766/2/

ICカードに比べて磁気ストライプはずっと古い技術なので、それ程昔と変わりはないと思います。

お礼

ネット上に書かれている事が全て正しい訳ではない、
これも確かにそうですが、そうなると何を信じていいのでしょうか・・・（泣；）

再び回答ありがとうございます。

補足

警察庁からの回答ですが、
インターネット上では多くの情報が飛び交っています。
　警察としてはどの情報が正しい、間違っているという事をお伝えする所ではありません。
　相談者さんご自身が情報を収集し吟味して頂くようよろしくお願いします。

ということでした。 （ちょっとがっかりしました・・）
当方カナダ在住でして連邦警察（ＲＣＭＰ）のウェブにはクレジットカード被害について独立した公機関の紹介をしていました。 最初からこちらに問い合わせるべきした・・

回答No.7

natsuanko

No.４、５、６です。

もう一つこんな事例も参考までに記載しておきます。
http://www.bell24.co.jp/ja/whatsnew/info/2010/100708.html
４～５年前のことですが、カード会社のコールセンターの要員の犯行です。

この件からもカード番号の盗用は個人では防ぎようが無いと言うことです。
既に実行されていますし、No.４にも記載しましたが、利用明細の細かなチェックが個人でてきる最大の防御策になります。

お礼

これ、ほんとですね、、実は何度か疑った、というか厳密には彼らを100％信用してはいけない、と何度か思ったことがあります。 その知識が悪用されない、という保障はありませんものね。　カード会社と提携しているお店の店員よりかなりの知能犯が紛れ込んでいる可能性があるとも感じます。　
また、カードの盗難も「職場」というのが意外に多いというのも何かの記事で読んだことがあります。　アカの他人でありながら、いつの間にか気を許してしまうのが人情ですから。。
回答ありがとうございました！

回答No.6

natsuanko

No.４＆５です。
No.５の補足について回答します。

補足に書かれたURLのページの一番下に赤字で以下の事が書かれています。
「とても重要な事を書き忘れましたが、
携帯タイプの非接触式スキマーは、非接触式カードのみ有効となっています。ですから、クレジットカードやキャッシュカードなどの接触式カードに対しては使用する事は出来ません。」
と言う事ですのでクレジットカードで携帯タイプの心配は不要です。

また、他の回答者も書かれていますが、ネットで不正利用するのにスキミングする必要は有りません。
カード上にある番号、有効期限、名義、それに裏面のセキュリティコードを控えるだけで良いのです。
既に実施されているようですが、クレジットカードを目の前で処理させるのが重要です。

また、スキミングは偽造カード作成の為の古くからある手口です。
参考までに以下は、日本クレジット協会が発表しているクレジットカードの不正利用の状況です。
http://www.j-credit.or.jp/information/statistics/download/inv_05_141226.pdf
カードの偽造はＩＣカードの普及と共に減少しています。
変わって増加しているのが、番号盗用です。これは、ネット等でカードそのものでは無く番号を使われた不正利用ですが、前年まではその他不正と偽造カード以外を一括りにしていたものを、不正利用の中での割合が急増しているので、今年度から独立したカテゴリとしています。

お礼

更にお詳しい情報、大変参考になります。　ありがとうございます。
補足で掲載したリンクは、後になって「重要なことを書き忘れた～」っていうのは可笑しいですね、、この点はすごく大切ですから。
しかし、実はもう一つのリンクでも確認しておりまして、こちらです。https://moneyforward.com/ranking/creditcard/security/3
そこには、
「非接触方式のスキマーをクレジットカードに近づけると、接触せずにクレジットカードの磁気記録情報を読み取られてしまいます。クレジットカードは財布の中にしまった状態であるにも関わらず、気づかぬうちに情報だけ読み取られているので、なかなか被害にも気づかず、その事実が発覚した頃には既に手遅れというパターンが多いです。」
とあるのですが、、、 この記事が書かれた日付がわからないのでひょっとしたら前のリンクの情報よりも新しい可能性があるとはお思いになりませんか？　
それとも私が何か勘違いしているのでしょうか？

補足

リンクの下に
Copyright (c) 2015 Money Forward, Inc. All Rights Reserved.
とあるので、やはりサイトの著作権を取ったのが2015年、つまり最新情報と理解しますが。。

回答No.5

natsuanko

No.４です。
スキミングに関する補足ですが、カード番号等の情報は、磁気とＩＣカードに記録されています。
クレジットカードに使われているＩＣカードは、suica等の非接触式では無く接触式のＩＣカードです。

磁気にしろ接触式ＩＣカードにしろ接触せずに情報を抜き取る事は不可能です。
カバンの上からカード番号を抜き取る事はできません。ネット上でもこういう嘘を言って防止装置を売りつけようとするインチキ業者がいるので注意して下さい。
なお、suicaのような非接触式のＩＣカードは触れずに抜き取る事は可能です。
スキミングされる事が多いのは、カードを見えない所に持って行かれた場合で特に海外では注意が必要です。

お礼

磁気にしろ接触式ＩＣカードにしろ接触せずに情報を抜き取る事は不可能です。
カバンの上からカード番号を抜き取る事はできない、
とのこと。　前の回答とは反しますね。。

海外に住んでいますが、レストランで精算するときはテーブルで行うようにしています。
回答どうもありがとうございました。

補足

スキミングの手口について、自分でも調べてみました。
下のページによりますと（このページが作られた2014年1月14日時点で）『設置タイプ』と『携帯タイプ』の2つがあるそうで、携帯タイプの手口は
「財布が入っていそうなカバンなどにかざすだけで、情報を抜き取られてしまいます。サイズもタバコサイズとかなり小型になっていますので、その場で被害に気付くのはなかなか困難といえます。　ただし通信範囲はそれほど広くなく対象者に近付く必要があるため、満員電車やエレベーターなど、人が込み合うような場所での被害が中心となります。」
ということですが、いかがでしょうか？
http://card-michishirube.seesaa.net/article/384936573.html

回答No.4

natsuanko

カード番号が盗まれなくても、ネット上での不正な利用は発生します。

クレジットカード番号はある規則性を持っていますので、その規則性を
利用してクレジットカード番号を作り出すソフトウェアが有ります。
もちろん、必ず有効な番号ができるわけではないのですが、出来れば儲け物と言うわけです。
詳しくは、以下の記事を参照して下さい。
http://www.itmedia.co.jp/enterprise/articles/0908/30/news001.html

これを防ぐために、3Dセキュア（本人認証サービス）と言うものが有ります。
これは、ネットの取引を行う時にカード番号やセキュリティコード以外にカード上にはない、カード会社に登録したパスワードを必要とするものです。
詳しくは以下を参照。
http://www.cardservice.co.jp/service/creditcard/3d.html
これは、利用者が登録し、加盟店もこれを利用するようにしないと実際に有効になりません。
日本ではまだまだ対応したいない加盟店が多くあるのですが、少なくとも利用者側はこの３Dセキュア（本人認証サービス）の登録をしておくべきです。

３Dセキュアに対応していない加盟店が沢山ある現状では、ネット上の不正利用は完全には防げません。
最大の防衛策は、利用明細をこまめにチェックする事です。質問者様は既に実行されているので、今後も継続していくのが良いと思います。

お礼

クレジットマスターの手口は90年代から既に存在しているんだそうですね。
クレジットカード番号というのはＩＳＯで定められているそうですが、それほど苦もなく有効なクレジットカード番号が生成できてしまうねんて、そのこと自体オソロシイですね！

３Ｄセキュアという呼び方は知りませんでしたが、リンクをみると MasterCard SecureCode が含まれるので、これは1ヶ月前に設定しました。（海外在住です）

確かにマメに明細をチェックしていたのが良かったと思います。

参考になる回答をどうもありがとうございました。

回答No.3

305palmtree305

少額のネット決済で使われていたものであれば、以前に「無料登録」でカード番号を入力した物の課金が始まったという事や、サイトの観覧料だが決済元の名前に憶えがない。という事が多いです。
そういう場合は調査するまでもないのでカード会社は不正使用という事で納得してもらいカード番号を変えて終了にする事が多いようです。
日本国内の実店舗で買い物をされている場合は、調べてみると家族、知人利用だったという事がよくあるようです。
請求元の加盟店名をネット検索してみると何に決済されたのかわかるかもしれませんよ。

お礼

回答ありがとうございます。
カードは本人の私しか利用できませんし、請求元は行ったことのないホテル（海外在住ですが隣の州）旅行代理店（ネット）、フランチャイズの映画供給会社（ネット）でした。

回答No.2

t_ohta

ネットだけが危険な訳ではありません。

店舗でカードを使用した際に店員がこっそりカード番号や名義を控えていたら悪用できます。
悪い奴が夜中にお店に忍び込み、レジにあるカード読み取り機に細工をして客のカード情報をコピーして無線で送るようにしていたなんて事件もありました。
気付かないうちにカード情報を盗まれる危険はどこにでも潜んでいます。

お礼

そうですね、新年に入ってから被害に遭ったのですが、
その直前からインフルエンザにかかりほとんど家にいたので
そのときに利用したネットショッピングなどを疑っていました。
しかし、確かにカード情報を盗まれてから”潜伏期間”があれば
そのＸデーは限定できませんね。。
店員も100％信用できない、というのはほんとうですね。
回答ありがとうございました。

回答No.1

tzd78886

クレジットで販売している業者に悪い人がいてあなたがクレジットで買ったときにスキミングされたのかもしれません。接触しないでもスキミングできる機械もあって、満員電車内などでバッグにこっそり当てて情報を盗まれることもあるそうです。

お礼

回答ありがとうございます。
限定はできませんが、確かに年末スカーフを買いに初めて入ったお店があります。
「（カードに直接）接触しないでスキミングできる機械」もあるとはオソロシイですね。