公式通販の決済改ざんでカード情報流出か：シニアが今すぐできる自己防衛策

日用品やお米の定期購入、離れて暮らすご家族やお孫さんへの贈り物など、シニア世代の生活においてインターネット通販は欠かせない便利な道具として定着しています。しかし、その信頼を根底から揺るがす深刻なサイバー犯罪が明らかになりました。

ホビー大手の公式直販サイトが不正アクセスを受け、支払い画面が改ざんされた結果、最大2,800人分のカード番号全16桁や有効期限、セキュリティコードが外部へ流出した可能性があると公表されたのです。

偽のメールや偽サイトに誘導される従来の詐欺とは異なり、本物の公式サイトで買い物をした際に入力した情報がそのまま盗み取られる手口です。画面を見ただけで改ざんを見抜くことは不可能です。今回の事態の全容と、自分の資産を守るためにシニアが日々の暮らしで実践すべき自己防衛の手順を詳しく解説します。

数字で見る：公式通販サイトで何が起きたのか

今回の事案では、システムの弱点を突いて侵入した攻撃者によって、公式ショップの決済用ページに悪意のある不正なプログラムが仕掛けられていました。

公表された内容によると、影響を受けた恐れがある情報は二つの区分に分かれています。期間中に決済画面で直接カード情報を入力した顧客最大2,800人分については、カード名義、16桁の番号、有効期限に加え、通常であれば店舗側のサーバーに保存されることのない「セキュリティコード」まで流出した恐れがあります。さらに、過去にサイトへ登録されていたカード情報についても、40万2,466枚分の一部情報が閲覧された可能性があると発表されています。

この手口の恐ろしい点は、利用者がアクセスしているウェブサイトが間違いなく「正規の公式ショップ」である点にあります。偽のウェブサイト（フィッシングサイト）であれば、アドレスバーのURLを確認したり、不自然な日本語を見つけたりすることで注意を払う余地がありました。

しかし決済ページの改ざんでは、正規の画面上でカード情報を打ち込んだ瞬間に、裏で仕掛けられたプログラムがデータを攻撃者のサーバーへと転送します。消費者側が画面表示や操作時の違和感から見破ることは極めて困難です。

なぜセキュリティコードまで盗まれると危険なのか

クレジットカードの裏面などに記載されている3桁や4桁のセキュリティコードは、カード本体が手元にあることを確認するための重要な防壁です。多くのネットショッピングサイトでは、不正利用防止のためにカード番号だけでなくセキュリティコードの入力を必須としています。

通常、セキュリティコードは加盟店のデータベースに保存してはならないという厳格な規則が存在します。しかし、今回の改ざん手口では、利用者が画面に入力したその瞬間のデータそのものが横取りされたため、セキュリティコードまでもが攻撃者の手に渡ってしまったとみられています。

番号の全16桁、名義、有効期限、セキュリティコードという一連の情報が揃ってしまうと、多くの通販サイトでカードがそのまま不正利用されてしまう危険性が格段に高まります。

流出が懸念される区分	対象件数	主な対象情報	不正利用のリスクと特徴
決済時に入力した顧客	最大2,800人分	カード名義、全16桁番号、有効期限、セキュリティコード	決済に必要な情報が揃っており、他サイトでの悪用リスクが極めて高い
過去に登録済みの情報	40万2,466枚分	登録されていたカード情報の一部	一部情報の閲覧懸念だが、継続的な明細確認が推奨される

少額決済の罠：気づきにくい「数円から数百円」の引き落とし

盗まれたカード情報は、海外などの闇サイトで取引され、悪質な第三者の手に渡ることが少なくありません。

不正利用を行う手口としてシニアが特に警戒しなければならないのが、本格的な不正購入を行う前に行われる「有効性の確認」です。攻撃者は、手に入れたカード番号が現在も解約されずに使えるかどうかを確かめるために、まず数円から数百円といった極めて少額の決済を試みる傾向があります。

「数百円程度なら、何かの月額サービスだったかもしれない」「少額だから勘違いだろう」と見過ごしてしまうと、カードが有効であると確認された後で、高額な商品や換金性の高い金券などを一気に不正購入される被害につながります。

また、紙の利用明細書を翌月まで確認しない習慣のままでいると、被害の発生から気づくまでに1か月以上の空白が生まれてしまい、被害額が拡大する恐れがあります。

海外の先進的な取り組み：欧州の「二重認証」の義務化

海外では、こうした決済画面の改ざんや情報流出への対策として、法制度による抜本的な防衛策が整備されています。

欧州連合（EU）では、決済サービス指令（PSD2）に基づき、オンライン決済時における「強力な顧客認証（SCA）」が法的に義務付けられています。

この制度のもとでは、たとえ攻撃者がカード番号の全16桁やセキュリティコードを手に入れたとしても、決済を成立させることができません。決済を完了するためには、カード情報に加えて、本人のスマートフォンによる生体認証（指紋や顔認証）や、アプリ上に届くワンタイム承認といった別の要素が必須となります。

日本国内でも「本人認証サービス（3Dセキュア2.0）」の導入が急速に進められていますが、利用者がカード会社側で事前に設定を有効にしていない場合や、まだ導入していないショッピングサイトでは、カード番号とセキュリティコードだけで買い物が完了してしまうケースが残っています。仕組みの普及を待つだけでなく、一人ひとりが自主的に防護策を整えることが大切です。

シニア世代が今すぐ取り組めるカード自己防衛法

画面の改ざんを事前に見抜くことができない以上、私たち利用者にできる最も効果的な防衛策は、「使われたらすぐ把握する仕組みを作ること」と「身に覚えのない請求を早期に見つけること」です。以下の手順を参考に、カードの管理設定を見直してみてください。

1. 「利用通知サービス」を必ず設定する

多くのクレジットカード会社では、カードで支払いが行われた瞬間に、登録したメールアドレスやスマートフォンの公式アプリへ「◯◯円のご利用がありました」と即座に知らせてくれる通知サービスを提供しています。

この設定をしておけば、万が一カード番号が不正に使われた際にも、数分以内に異常を察知できます。自分で買い物をしていないタイミングで通知が届いた場合は、被害が少額のうちに食い止めることが可能です。

2. 「本人認証サービス（3Dセキュア2.0）」を登録する

カード会社の会員専用ページ（マイページ）にログインし、本人認証サービス（3Dセキュア2.0）の設定が完了しているか確認してください。ワンタイムパスワードやアプリ承認を組み合わせることで、盗まれたカード情報だけで不正決済されるリスクを大幅に減らすことができます。

3. 週に一度、ウェブやアプリで利用明細を確認する

月に1回届く紙の明細を待つのではなく、週に1度はカード会社の公式アプリや会員サイトを開き、直近の利用明細を点検する習慣をつけましょう。

点検の際は、数万円といった大きな金額だけでなく、身に覚えのない「数十円」「数百円」の引き落としがないかを必ず確認してください。特に海外加盟店名や、アルファベットの羅列のような不審な請求先名がないかを注意深く見ることがポイントです。

4. 疑わしい請求を見つけたら直ちにカード裏面へ連絡する

利用明細の中に少しでも不審な決済を見つけた場合は、決して放置せず、クレジットカードの裏面に印字されている電話窓口（カスタマーデスク）へ速やかに連絡してください。

カード会社に事情を説明し、カードの利用停止手続きと、新しい番号でのカード再発行を依頼します。不正利用と認められた場合は、カード会社の規約に基づき補償が適用されるのが一般的です。

家族と確認したいカード安全点検チェックリスト

ご自身のカードはもちろん、離れて暮らす親御さんやご家族と一緒に、以下の項目を点検してみてください。

• ☐ 利用しているすべてのクレジットカードで「利用通知サービス」を設定したか
• ☐ 「本人認証サービス（3Dセキュア2.0）」の登録が完了しているか
• ☐ 月に1回だけでなく、週に1度はウェブやアプリで明細を確認しているか
• ☐ 利用明細の中に、数円〜数百円の身に覚えのない少額請求がないか
• ☐ カード裏面の電話番号を控え、万が一のときにすぐ連絡できる状態にあるか
• ☐ 過去に利用した通販サイトで、使わなくなったアカウントにカード情報が登録されたままになっていないか

インターネット通販は、重い荷物を運ぶ負担を減らし、日々の生活を豊かにしてくれる便利な存在です。定期的な明細の確認と適切なセキュリティ設定を日々の習慣にして、安心してネットショッピングを活用していきましょう。

この記事の事実は、2026年10月29日に公表された公式ショップの不正アクセスに関する報道および情報処理推進機構（IPA）、警察庁の公式資料に基づいています。具体的な補償内容や再発行手続きの詳細は、ご契約中のクレジットカード会社にお問い合わせください。

参考資料

• ITmedia NEWS「グッスマ、顧客の2800人のカード番号全16桁＋セキュリティコードなど流出か 下4桁は40万枚分」 https://www.itmedia.co.jp/news/
• 独立行政法人情報処理推進機構（IPA）「ECサイト改ざんによるクレジットカード情報漏えいに関する注意喚起」 https://www.ipa.go.jp/
• 警察庁「サイバー犯罪対策プロジェクト」 https://www.npa.go.jp/cyber/