ウェブスキミング｜巧妙な手口と9つの対策：クレジットカード情報漏洩から守る！

ウェブスキミングは、ECサイトの決済ページに不正なコードを埋め込み、クレジットカード情報を盗み取る手口です。

巧妙化する手口により、情報漏洩のリスクが高まっています。

この記事を読むことで、ウェブスキミングの対策を理解し、安全なオンラインショッピングを実現できます。

ウェブスキミングの実態と対策の必要性

ウェブスキミングは、ECサイトを悪用した巧妙な手口で、クレジットカード情報の不正利用を防ぐためには、日頃からの対策が非常に重要です。

この章では、ウェブスキミングがどのような手口で実行されるのか、そして対策を怠るとどうなるのかを解説します。

特に、公式サイトを悪用する手口の実態と、その巧妙化について詳しく見ていきましょう。

ウェブスキミングの脅威を理解し、適切な対策を講じることで、安全なオンラインショッピングを実現できます。

公式サイトを悪用する手口の実態

ウェブスキミングは、ECサイトの決済ページに不正なJavaScriptコードを埋め込み、入力されたクレジットカード情報を盗み取る手口です。

ウェブスキミングは、一見安全に見える公式サイトを悪用するため、従来のフィッシング詐欺とは異なり、ユーザーが手口を見抜くのが非常に困難です。

項目	内容
手口	ECサイトの決済ページに不正なJavaScriptコードを埋め込む
悪用される箇所	決済フォーム、入力フィールド
情報窃取の対象	クレジットカード番号、有効期限、セキュリティコード、氏名、住所
被害	クレジットカードの不正利用、個人情報の悪用、なりすまし
発見の難易度	高い。決済画面に不審な点がないため、ユーザーは見抜くのが困難
対策	EMV 3Dセキュアの導入、WAFの導入、Subresource Integrity (SRI) の設定、定期的な脆弱性診断、セキュリティソフトの導入、二段階認証の設定、カード利用通知の設定、定期的な利用明細確認

ウェブスキミングは、公式サイトの脆弱性を悪用して、ユーザーが気付かないうちにクレジットカード情報を盗み取るという非常に巧妙な手口です。

巧妙化するウェブスキミングの手口

近年、ウェブスキミングの手口は巧妙化の一途を辿っており、従来のセキュリティ対策では防ぎきれないケースが増加しています。

攻撃者は、JavaScriptコードを難読化したり、検知を回避する技術を用いるなど、その手口は日々進化しています。

項目	内容
JavaScriptコードの難読化	攻撃者はJavaScriptコードを難読化することで、セキュリティエンジニアによる解析を困難にします。
検出回避技術	攻撃者は、WAFやセキュリティソフトなどの検知システムを回避する技術を用いることで、攻撃を成功させようとします。
ゼロデイ攻撃	攻撃者は、セキュリティパッチが公開される前に、ソフトウェアの脆弱性を悪用するゼロデイ攻撃を用いることがあります。
サードパーティ製コードの悪用	攻撃者は、ECサイトが利用するサードパーティ製のJavaScriptライブラリや広告配信サービスなどを悪用して、不正なコードを埋め込むことがあります。
標的型攻撃	攻撃者は、特定のECサイトを標的として、入念な調査を行った上で、ウェブスキミング攻撃を仕掛けることがあります。
亜種・類似手口の多発	攻撃者は、ウェブスキミングの手口を少しずつ変化させながら、亜種や類似の手口を次々と生み出しています。

ウェブスキミングの手口は高度化しており、多層的な防御対策を講じる必要があります。

対策を怠るとどうなるのか

ウェブスキミング対策を怠ると、クレジットカード情報の漏洩による不正利用、企業の信頼失墜、損害賠償請求など、様々なリスクが発生します。

特に、中小規模のECサイトはセキュリティ対策が十分でない場合が多く、攻撃の標的になりやすい傾向があります。

ウェブスキミング対策を怠ると、顧客だけでなく、企業自身にも大きな損害をもたらす可能性があります。

ウェブスキミング対策を怠った場合のリスクは、以下のとおりです。

リスク	内容
クレジットカード不正利用	顧客のクレジットカード情報が盗まれ、不正に利用される。
企業の信頼失墜	情報漏洩により、企業の信頼が失墜し、顧客離れや売上減少につながる。
損害賠償請求	情報漏洩により、顧客から損害賠償請求を起こされる可能性がある。
業務停止命令	監督官庁から業務停止命令を受ける可能性がある。
刑事告訴	悪質なケースでは、経営者が刑事告訴される可能性がある。
サイト閉鎖	ウェブスキミング被害が拡大し、ECサイトの運営が困難になる場合がある。

ウェブスキミング対策は、顧客と企業自身を守るために不可欠です。

ウェブスキミングの主な手口と対策

ウェブスキミングは、ECサイトを悪用した巧妙な手口であり、クレジットカード情報の不正利用を防ぐには、日頃からの対策が不可欠です。

特に、ECサイトのシステムや、ECサイトが利用する外部サービスが攻撃対象となる点に注意が必要です。

以下に、具体的な手口と対策を解説します。

各手口に対する理解を深め、適切な対策を講じることで、被害を未然に防ぐことが可能です。

JavaScript改ざんによる情報窃取の手口と対策

JavaScript改ざんは、ECサイトの決済フォームに埋め込まれたJavaScriptコードを改ざんし、入力されたクレジットカード情報を窃取する手口です。

サイトの脆弱性を悪用して不正なコードを埋め込み、ユーザーが気付かないうちに情報を盗み取ります。

対策	説明
WAF（Web Application Firewall）導入	ウェブアプリケーションの脆弱性を悪用した攻撃からウェブサイトを保護します
Subresource Integrity (SRI) 設定	外部CDNからJavaScriptファイルを読み込む際に、ファイルが改ざんされていないかを検証する仕組み。悪意のあるコードが埋め込まれたファイルを誤って読み込むリスクを軽減します
定期的な脆弱性診断	専門業者に依頼し、ウェブサイトの脆弱性を定期的に診断してもらうことで、潜在的なリスクを早期に発見し、対策を講じることができます
セキュリティソフト導入	ESETやカスペルスキーなどのセキュリティソフトを導入し、ウェブサイトのアクセスを監視することで、ウェブスキミングの兆候を早期に検知できます

JavaScript改ざんによる情報窃取を防ぐためには、WAFの導入やSubresource Integrity (SRI) の設定など、多層的なセキュリティ対策を講じることが重要です。

定期的な脆弱性診断を実施し、ウェブサイトのセキュリティホールを塞ぐことも重要になります。

フォームジャッキングによる情報窃取の手口と対策

フォームジャッキングは、ECサイトの決済フォームに悪意のあるコードを注入し、入力された情報を盗み取る手口です。

ユーザーが入力した情報をリアルタイムで窃取するため、従来のセキュリティ対策では検知が難しい場合があります。

攻撃者は、キーロガーやクリップボード監視などの技術を用いて、ユーザーの入力内容を傍受します。

対策	説明
EMV 3Dセキュア導入	クレジットカード会社が提供する本人認証サービスを導入することで、第三者による不正利用を防止できます
二段階認証設定	ECサイトのアカウントに二段階認証を設定することで、不正ログインのリスクを軽減できます
カード利用通知設定	クレジットカード会社が提供するカード利用通知サービスを利用することで、身に覚えのない決済があった場合にすぐに気付くことができます
定期的な利用明細確認	クレジットカードの利用明細を定期的に確認し、不審な取引がないかチェックすることが重要です

フォームジャッキング対策としては、EMV 3Dセキュアの導入や二段階認証の設定、カード利用通知の設定などが有効です。

これらの対策を組み合わせることで、万が一、情報が窃取された場合でも、被害を最小限に抑えることができます。

MITB攻撃による情報窃取の手口と対策

MITB（Man-in-the-Browser）攻撃は、ユーザーのブラウザにマルウェアを感染させ、通信内容を傍受・改ざんする手口です。

正規のECサイトにアクセスしているにも関わらず、マルウェアによって決済情報が盗み取られるため、ユーザーは攻撃に気付きにくいのが特徴です。

中間者攻撃の一種で、ウェブスキミングの手口としても悪用されます。

対策	説明
セキュリティソフト導入	ESETやカスペルスキーなどのセキュリティソフトを導入し、マルウェア感染を防ぐ
定期的なOS・ブラウザのアップデート	OSやブラウザの脆弱性を修正し、マルウェア感染のリスクを軽減
不審なメール・添付ファイルに注意	フィッシング詐欺に注意し、不審なメールや添付ファイルを開かない
ウェブサイトの安全性を確認する	HTTPS通信を行っているか、SSL証明書が有効かなどを確認する

MITB攻撃を防ぐためには、セキュリティソフトの導入やOS・ブラウザのアップデート、不審なメール・添付ファイルへの注意などが重要です。

ウェブサイトの安全性を確認し、HTTPS通信を行っているか、SSL証明書が有効かなどを確認することも有効になります。

ウェブスキミング対策の具体的な方法

ウェブスキミング対策は多岐に渡りますが、それぞれの手法を理解し、自社の状況に合わせて適切に組み合わせることが重要です。

各対策を導入することで、ウェブスキミングによるクレジットカード情報の漏洩リスクを大幅に低減できます。

ここでは、具体的な対策として、EMV 3Dセキュア導入、WAF導入、Subresource Integrity (SRI)設定、定期的な脆弱性診断、セキュリティソフト導入、二段階認証設定、カード利用通知設定、定期的な利用明細確認、ウェブスキミング保険加入について解説します。

各対策のポイントを強調することで、より効果的な対策を講じることが可能です。

EMV 3Dセキュア導入による対策

EMV 3Dセキュアとは、オンライン決済時の不正利用を防止するための本人認証の仕組みです。

クレジットカード会社が提供する本人認証サービスであり、決済時に追加の認証ステップを設けることで、第三者による不正利用を防ぎます。

EMV 3Dセキュアを導入することで、消費者は安心してオンラインショッピングを楽しめます。

ECサイト運営者は、不正利用によるチャージバックのリスクを軽減できるでしょう。

WAF導入によるウェブサイト保護対策

WAF（Web Application Firewall）とは、ウェブアプリケーションの脆弱性を悪用した攻撃からウェブサイトを保護するセキュリティ対策です。

ウェブサイトへのアクセスを監視し、不正なアクセスを検知・遮断することで、ウェブスキミングなどの攻撃を防ぎます。

項目	説明
シグネチャベース	既知の攻撃パターンを登録したシグネチャと照合し、一致するものを遮断する。
行動分析	通常のアクセスパターンを学習し、異常なアクセスを検知する。
導入形態	ソフトウェア型、アプライアンス型、クラウド型などがある。
検知・防御	SQLインジェクション、クロスサイトスクリプティング(XSS)、DDoS攻撃など。
メリット	ウェブアプリケーションの脆弱性を悪用した攻撃を防御できる。リアルタイムでウェブサイトを保護できる。導入や運用が比較的容易である。
デメリット	既知の攻撃パターンにしか対応できない場合がある。誤検知が発生する可能性がある。設定や運用に専門知識が必要となる場合がある。

WAF導入はウェブサイト全体のセキュリティを向上させるために有効な手段です。

ウェブサイトのセキュリティ対策を検討する際には、WAF導入を視野に入れることが重要です。

Subresource Integrity (SRI)設定による対策

Subresource Integrity (SRI)とは、外部のCDN（コンテンツ配信ネットワーク）から読み込むファイルが改ざんされていないかを検証する仕組みです。

JavaScriptやCSSなどのファイルを読み込む際に、ファイルのハッシュ値を比較し、改ざんを検知します。

項目	説明
仕組み	外部ファイルのハッシュ値をHTMLに記述し、読み込み時にブラウザがハッシュ値を比較する。
メリット	外部ファイルが改ざんされた場合に、自動的に検知し、読み込みを停止する。ウェブサイトのセキュリティを向上させることができる。
デメリット	ハッシュ値の生成やHTMLへの記述に手間がかかる。CDNのファイルが更新された場合、ハッシュ値を更新する必要がある。
設定方法	HTMLのタグやタグにintegrity属性を追加し、ハッシュ値を記述する。
注意点	ハッシュ値は正確に記述する必要がある。CDNのファイルが更新された場合は、速やかにハッシュ値を更新する。
ユースケース	ウェブサイトで利用するJavaScriptファイル、CSSファイル、画像ファイルなど。
影響	SRI設定を行うことで、悪意のあるコードが埋め込まれたファイルを誤って読み込むリスクを軽減できる。

SRI設定はウェブサイトのセキュリティを向上させるための有効な手段です。

特に、外部のCDNを利用している場合は、SRI設定を検討することを推奨します。

定期的な脆弱性診断実施による対策

脆弱性診断とは、ウェブサイトやシステムに潜むセキュリティ上の弱点（脆弱性）を専門家がチェックするサービスです。

定期的に実施することで、ウェブスキミングにつながる脆弱性を早期に発見し、対策を講じることができます。

脆弱性診断は、手動診断と自動診断の2種類があります。

専門業者に依頼することで、より詳細な診断と対策のアドバイスを受けることが可能です。

セキュリティソフト導入による対策

セキュリティソフトとは、パソコンやスマートフォンなどのデバイスをマルウェアやウイルスから保護するソフトウェアです。

ウェブスキミング対策としては、ウェブサイトへのアクセスを監視し、不正なスクリプトの実行を阻止する機能を持つセキュリティソフトが有効です。

項目	説明
種類	ウイルス対策ソフト、ファイアウォール、スパイウェア対策ソフトなどがある。
機能	ウイルスやマルウェアの検出・駆除、ウェブサイトの安全性評価、不正アクセスの遮断などがある。
選び方	保護対象、必要な機能、価格などを考慮して選ぶ。
注意点	セキュリティソフトを導入しても、100%安全とは限らない。常に最新の状態にアップデートし、怪しいウェブサイトにはアクセスしないように心がけることが重要である。
有料/無料	無料のセキュリティソフトもあるが、有料版の方が機能が充実していることが多い。
製品例	ESET、カスペルスキー、ノートン、ウイルスバスターなど。

セキュリティソフトを導入するだけでなく、常に最新の状態に保ち、怪しいウェブサイトにはアクセスしないように心がけることが重要です。

二段階認証設定による不正ログイン対策

二段階認証とは、IDとパスワードに加えて、別の認証要素（例：スマートフォンに送信される認証コード）を入力することで、不正ログインを防止する仕組みです。

ECサイトのアカウントに二段階認証を設定することで、ウェブスキミング犯がIDとパスワードを盗み取ったとしても、不正ログインを防ぐことができます。

二段階認証を設定することで、アカウントのセキュリティを大幅に向上させることが可能です。

ECサイト運営者は、顧客に対して二段階認証の設定を推奨することが重要です。

カード利用通知設定による不正利用の早期発見対策

カード利用通知とは、クレジットカードが利用された際に、メールやSMSで通知を受け取ることができるサービスです。

身に覚えのない決済があった場合にすぐに気付くことができ、不正利用の早期発見につながります。

項目	説明
通知方法	メール、SMS、アプリ通知などがある。
通知タイミング	カード利用時、一定金額以上の利用時、海外での利用時など、細かく設定できる場合がある。
設定方法	クレジットカード会社のウェブサイトやアプリで設定する。
注意点	通知設定をしても、必ずしもすべての不正利用を検知できるとは限らない。利用明細の定期的な確認も重要である。
利用料金	無料のことが多いが、一部有料のサービスもある。
その他の活用方法	家族カードの利用状況を把握する、家計管理に役立てるなど。

カード利用通知は、不正利用の早期発見に非常に有効な手段です。

クレジットカードを持っている方は、必ず設定しておくことを推奨します。

定期的な利用明細確認による不正利用チェック

クレジットカードの利用明細を定期的に確認することは、不正利用を早期に発見するための基本的な対策です。

カード会社からの明細書だけでなく、ウェブサイトやアプリでいつでも利用明細を確認できるサービスを利用すると、より迅速なチェックが可能です。

定期的な利用明細の確認は、ウェブスキミングに限らず、クレジットカードの不正利用全般に対する有効な対策と言えるでしょう。

ウェブスキミング保険加入による対策

ウェブスキミング保険とは、ウェブスキミング被害に遭った際に、損害を補償する保険です。

保険会社によって補償内容や保険料は異なりますが、ウェブスキミングによる損害に備えるための選択肢の一つとなります。

ウェブスキミング保険は、万が一の事態に備えるための最終的な手段と言えるでしょう。

ウェブスキミング対策後の行動

ウェブスキミングの被害に遭ってしまった場合、迅速かつ適切な対応が重要です。

初期対応を誤ると、被害が拡大する可能性があります。

ウェブスキミング対策後の行動について、カード会社や銀行への相談、警察への届け出という2つのH3見出しに沿って、具体的な対応策を解説します。

カード会社や銀行への相談

クレジットカード情報が盗まれた疑いがある場合、カード会社や銀行への相談は不可欠です。

不正利用の停止や補償の手続きを進める上で重要なステップとなります。

カード会社や銀行への相談について、以下の情報をまとめました。

相談先	連絡先	受付時間	備考
クレジットカード会社	カード裏面に記載されている連絡先または公式サイトのお問い合わせフォーム	24時間365日対応（一部時間帯を除く）	不正利用の停止、カード再発行、被害状況の報告
銀行	口座開設支店または公式サイトのお問い合わせフォーム	平日9:00～17:00（一部銀行は時間外受付あり）	不正引き落としの停止、口座凍結、被害状況の報告

警察への届け出

ウェブスキミングの被害に遭った場合、警察への届け出も検討しましょう。

犯罪捜査の端緒となるだけでなく、被害届を提出することで、保険金請求などの手続きがスムーズに進むことがあります。

警察への届け出について、以下の情報をまとめました。

届け出先	連絡先	受付時間	備考
警察署	最寄りの警察署	24時間365日対応	被害状況の説明、被害届の提出、捜査協力
サイバー犯罪相談窓口	各都道府県警察本部のサイバー犯罪相談窓口	平日9:00～17:00（一部地域を除く）	ウェブスキミングに関する相談、情報提供

よくある質問（FAQ）

ウェブスキミングとはどのような手口ですか？

ウェブスキミングは、ECサイトの決済ページに不正なJavaScriptコードを埋め込み、入力されたクレジットカード情報を盗み取る手口です。公式サイトを悪用するため、ユーザーが見抜くのは困難です。

ウェブスキミングの対策を怠るとどうなりますか？

クレジットカード情報の漏洩による不正利用、企業の信頼失墜、損害賠償請求など、様々なリスクが発生します。中小規模のECサイトは特に攻撃の標的になりやすい傾向があります。

JavaScript改ざんによる情報窃取にはどのような対策がありますか？

WAF（Web Application Firewall）の導入やSubresource Integrity (SRI) の設定、定期的な脆弱性診断などが有効です。これにより、ウェブサイトのセキュリティを多層的に保護できます。

フォームジャッキングによる情報窃取を防ぐにはどうすれば良いですか？

EMV 3Dセキュアの導入、二段階認証の設定、カード利用通知の設定などが有効です。これらの対策を組み合わせることで、万が一情報が窃取された場合でも、被害を最小限に抑えることができます。

MITB攻撃による情報窃取にはどのような対策が有効ですか？

セキュリティソフトの導入、OS・ブラウザのアップデート、不審なメールや添付ファイルへの注意などが重要です。また、ウェブサイトの安全性を確認することも有効です。

ウェブスキミングの被害に遭ってしまった場合、まず何をすべきですか？

まず、クレジットカード会社や銀行に連絡し、不正利用の停止や補償の手続きを進めてください。その後、警察に届け出ることも検討しましょう。

まとめ

ウェブスキミングは、ECサイトの決済ページに不正なコードを埋め込み、クレジットカード情報を盗み取る手口であり、巧妙化する手口から情報を守るには日頃の対策が重要です。

ウェブスキミング対策を参考に、安全なオンラインショッピングを実現しましょう。