EC用語集・運営・物流・法令・AI
クレジットマスター攻撃とは？
- 意味
- カード番号の採番の規則性を悪用して機械的に大量のカード番号を作り、ECサイトの決済機能を使って有効な番号かを確かめる不正の手口。
- 例
- 海外のIPアドレスから、カード登録や少額の決済が短時間に大量に試され、その多くがオーソリ（与信）で拒否されている場合は、この手口による悪用が疑われることがあります。
クレジットマスター攻撃とは
クレジットカード・セキュリティガイドラインでは、カード番号の採番の規則性を悪用し、機械的にカード番号を生成することを「クレジットマスター」と呼んでいます。
あわせて、クレジットマスターで作った番号やフィッシングなどで盗んだ番号を、EC加盟店での利用を通じて実際に使える番号かどうか確認する手口は「悪質な有効性確認」と呼ばれています。ECの現場では、この二つをまとめてクレジットマスター攻撃と呼ぶことがあります。
クレジットマスター攻撃が問題になる背景
ガイドラインでは、EC加盟店でのカード不正利用の被害が高い水準で続いている背景として、加盟店からの情報漏えいやフィッシングとならび、クレジットマスターで大量に作ったカード番号が使えるかを加盟店で確かめる手口が年々巧妙になり、増えていることが挙げられています。2025年のカード不正利用被害額は約510.5億円で、その約9割がEC加盟店での「なりすまし」によるものとされています。
ECサイトが狙われる理由
導入ガイド【附属文書20】では、会員のカード登録・変更の機能や、ゲスト購入時の決済機能が悪用されると、有効なカード会員データを盗まれるおそれがあると説明されています。また、攻撃は国内よりも海外のIPアドレスから行われることが多いとされています。
ガイドラインでは、こうした確認は本物のカード会員が入力する場合と比べて、速度や連続性が明らかに異なるため、店舗側でも不正な取引を早く見つけて遮断することが必要とされています。
主な対策
ガイドラインでは、EC加盟店の脆弱性対策の一つとして、悪質な有効性確認とクレジットマスターへの対策を1つ以上実施することが求められています。附属文書20では、次のような対策が挙げられています。
- 不審なIPアドレスからのアクセス制限（海外からのアクセスが不要なら遮断）
- 同じIPアドレスからの短時間の大量リクエストを制限する（スロットリング）
- CAPTCHA認証などのBot対策
- オーソリが拒否されたときに、エラーの理由が分からない表示にする
- 同じアカウントでのカード登録・変更の回数や、登録できるカード枚数の制限
- EMV 3-DセキュアやSMS認証などの本人認証
- 有効性確認の回数制限、属性・行動分析、ベロシティチェック
店舗が日頃から決めておきたいこと
附属文書20では、インターネット経由の対策まで手が回っていないことが多い小規模なEC加盟店でも多くの情報漏えい事案が起きているとして、不審なIPアドレスからの接続制限の重要性が強調されています。
- 決済代行会社の管理画面で、オーソリ拒否の件数が急に増えていないか定期的に確認する
- 不審なIPアドレスの制限は、接続している決済代行会社に相談すると導入できることが多いとされています
- カード会社や決済代行会社から、短期間に不正利用が急増しているという連絡を受けた場合は、速やかに対策を追加することとされています。社内の対応担当と手順を決めておく
クレジットマスター攻撃のよくある質問
実際の売上被害が出ていなくても、対策が必要ですか？
ガイドラインでは、悪質な有効性確認とクレジットマスターへの対策が、EC加盟店の脆弱性対策の一つとして求められています。自社のサイトで有効な番号が確認されると、その番号がほかの場所での不正利用につながるおそれがあるため、被害が見えないうちから備えておくことが大切です。
海外からのアクセスを遮断しても大丈夫ですか？
導入ガイド【附属文書20】では、海外の消費者を対象としていないEC加盟店は、海外IPアドレスを遮断することが望ましいとされています。海外向けに販売している場合は、エラー表示の制限や回数制限などの対策を組み合わせることで抑止につながるとされています。
クレジットマスター攻撃について詳しく読む
関連する用語
出典
2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。