その取引のなかで、カード番号はたいてい最も露出していないものです。今日の決済の流れは、加盟店が番号を一度も見ないようにわざわざ設計されており、その形に従っているサイトなら、サイトが完全に破られてもそのまま使えるカードのデータベースは手に入りません。

加盟店が持っているのは、それ以外のすべてです。登録に使ったメールアドレス、カードに紐づいた氏名と郵便番号、接続元のIPアドレス、そして何を観たか何を買ったかの明細です。この文章を読んでいる大半の人にとって、本当のリスクは後者であり、そしてそれが最も語られていません。

実際にカード番号に触れるのは誰か？

3者から5者で、そのうちあなたが見ているサイトは1つだけです。

関係者 役割 番号の全桁が見えるか
加盟店（サイト本体） 契約を売り、価格を決める 流れが正しく組まれていれば見えない
決済代行会社 カード入力フォームを表示し、番号をトークン化する 見える——それが役割
アクワイアラ 加盟店の口座を持ち、取引を中継する 通過時に扱う
国際ブランド アクワイアラと発行会社の間で承認を中継する 通過時に扱う
カード発行会社 あなたの銀行。承認するか拒否する 見える——自社が発行したカード

この仕組み全体の設計目標は、加盟店をこのリストから外すことです。決済代行会社がホストするフォームは、加盟店にトークンを返します。再び請求はできるが他の誰にとっても無価値な参照値であり、その加盟店とその決済代行会社の組み合わせでしか通らないからです。

そうなっていると外から分かる印は2つあります。カード入力欄がページとは別のドメインから配信されるiframeのなかにあるか、「登録する」を押すと決済専用のドメインへ完全に移動するかです。どちらも良い運用の証明にはなりませんが、その不在——サイト自身のドメインへ直接送信するカードフォーム——は意味のある否定的な信号です。

外から実際に確認できることは何か？

望むほど多くはありません。チェックリストで片づくかのように匂わせるより、はっきり言っておく価値があります。

サイトの保管方法、保持期間、内部のアクセス制御を外から監査することはできません。観察できるのは次のことです。

  • カードフォームがどこから配信されているか。 ページのソースを表示するか開発者ツールを使い、入力欄が第三者のフレームに属しているかを確認します。
  • 追加の本人確認が出るかどうか。 銀行自身の認証画面へ遷移するなら、その取引は3-Dセキュアを通っており、不正利用の責任が移るとともに、加盟店が主流の決済経路に乗っていることを示します。
  • 実在する法人名が明記されているかどうか。 会社名、準拠法域、住所を記載した規約と課金ページは弱い加点です。誰の名前も出さない課金ページは強い減点です。
  • プライバシーポリシーが保持期間を明記しているかどうか。 曖昧なポリシーはよくありますが、何ひとつ定めていないポリシーは、そのデータがどう扱われているかについての信号です。
  • 解約が自分で完結するかどうか。 解約にメールを要求するサイトは、たいてい課金まわり全般の運用も雑です。

リスクの分類は実際にはどうなっているのか？

分けて考えることが重要です。防ぎ方が違ううえに、最悪のリスクは分かりやすいほうではないからです。

リスク どういう形で現れるか 何が減らすか
カード番号の盗難 カードへの不正な請求 決済代行会社がホストするフォーム。継続課金専用のカード番号
加盟店からの情報漏洩 メールアドレス、氏名、購入履歴の露出 専用のメールエイリアス。プロフィール情報を最小限に
ディスクリプタによる露出 共有している明細に見慣れない1行が出る 契約前にディスクリプタを知っておくこと。別の口座を使うこと
望まない継続課金 解約したつもりの後も請求が続く 利用上限の設定。解約完了の記録を残すこと
集金代行業者による再請求 見覚えのない名前からの請求 規約がどの事業者を請求者としているかを確認すること
登録後のフィッシング サイトの課金案内を装ったメール メールのリンクからカード情報を再入力しないこと

見落とされがちな相関があります。決済まわりの運用が最も雑なサイトは、たいていデータの扱いも最も雑です。どちらも同じこと——運営者が主流の決済代行会社に受け入れられたのか、それを迂回して組まざるをえなかったのか——を映しているからです。

継続課金がいちばん壊れやすいのはなぜか？

契約とカードが別々のものであり、片方を止めてももう片方は止まらないからです。

保存されたトークンは、加盟店が請求をやめるまで請求され続けます。アカウントのページを閉じて解約したつもりでも契約のレコードが生き残っていれば、課金は続きます。逆にカードのほうを止めて契約を有効なまま残せば、請求は失敗しますが契約上の義務は残る可能性があり、未払い残高を債権回収に回す加盟店もあります。

確実な手順は、アカウント内で解約し、完了画面かメールを保存し、そのうえで初めてカード番号の停止を検討することです。大丈夫だと決めつけず、次回の課金日に確認してください。

情報漏洩が発表されたら何をすべきか？

カードの露出とデータの露出では対応が違い、たいてい注意を要するのは後者です。

カードについては、発行会社に連絡して番号の再発行を依頼します。身に覚えのない請求は基本的に争えますが、期限や具体的なルールは発行会社、国際ブランド、あなたの国によって異なります。決めつけずに問い合わせてください。

データについては、アカウントのパスワードと、それを使い回した先すべてを変更します。サイト名を名指ししたフィッシングが来ると想定し、その後に届く「セキュリティに関するお知らせ」メールは普段以上に疑ってください。漏洩の発表の後には、それを装ったメールが続くからです。使ったメールアドレスが他所であなたの実名と結びついているなら、その結びつきは今や自分の手の届かないデータセットのなかに存在し、どんな行動でも取り消せません。これこそ、必要になる前に専用のエイリアスを使っておくべき理由です。

関連する疑問