ProCon

　クレジットカードは身近な決済手段として普及する一方で、偽造カードの利用、通販サイトなどへの不正アクセスといった不正利用も急増しています。そこで、クレジット取引等を対象に、事業者が守るべきルールを定めた「割賦販売法」が改正されます。

　本稿では、改正点の中でも、加盟店に求められる対応を中心に紹介します。法改正の詳細については、割賦販売法の条文およびクレジット取引セキュリティ対策協議会の公表資料「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画－2017－」（以下「実行計画」）、経済産業省の公表資料などをご確認ください。

　　
• クレジット取引セキュリティ対策協議会「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画－2017－」
  http://www.j-credit.or.jp/security/document/

１　加盟店におけるセキュリティ対策が「義務化」

法改正によって、加盟店には「クレジットカード番号等の不正利用の防止」などが義務付けられます。例えば、小売店・飲食店などの対面取引加盟店では、施行日までにICカードに対応した決済端末（以下「IC対応端末」）を導入しなければなりません。また、ネット通販などの非対面取引加盟店では、「実行計画」上、2018年3月末までにネット取引でのなりすまし対策などが求められます。

加盟店によっては、想定外の多額の費用が必要になる可能性もあるため、今のうちに自社がするべきことを確認しておくことが大切です。本稿では、改正割賦販売法対応に要する期間や費用の「目安」について、日本クレジット協会、POSレジメーカー、決済代行会社などへのヒアリングを基に、紹介していきます。なお、導入する機種やサービスといった個別の事情によって、所要期間や費用は大きく変動しますので、本稿で紹介する期間・費用は、あくまでも「目安」としてお読みください。

２　「非保持化」「PCI DSSへの準拠」とは何か

クレジットカード番号等の不正利用の防止の他に、加盟店は「クレジットカード番号等の適切な管理」すなわち「カード情報の漏えい対策」をしなければなりません。そこで、加盟店ではカード情報の非保持化、または、PCI DSS（Payment Card Industry Data Security Standard）への準拠が必要です。

1）非保持化とは

非保持化とは、「自社保有の機器・ネットワークにおいて、カード情報を保存・処理・通過しないこと」です。

これは、カード情報を電磁的なデータとして保存したり、やり取りしたりできないようにすることです。一時的であっても、電磁的なデータの保持は認められず、カード情報を保存する場合、それらの情報は紙のレポートやクレジット取引に係る紙伝票のみで保持することになります。

なお、次の手法を採用すれば、仮に自社外への情報漏えいが発生したとしても、窃取された情報が無価値なため、結果として悪用防止につながります。

• トークナイゼーション：自社システムの外で不可逆な番号等に置き換え、自社システム内ではクレジットカード番号を特定できないようにすること
• トランケーション：自社システムの外でクレジットカード番号を国際的な第三者機関に認められた桁数を切り落とし、自社内では特定できないようにすること

2）PCI DSSへの準拠とは

自社でカード情報を電磁的なデータとして保持する場合、PCI DSSへの準拠が必要です。PCI DSSとは、クレジットカード会員データを安全に取り扱うことを目的として、国際カードブランド5社が共同で策定したセキュリティ基準です。

ただしPCI DSSへの準拠には、準備に半年～数年程度、費用は数百万～数億円かかる場合もあります。PCI DSSへの準拠は負担が重いといえるため、非保持化を進める加盟店が多くなるでしょう。

３　加盟店に求められる対応一覧

加盟店の形態に分けて必要な対応を整理すると、次のようになります。なお、ここでは「クレジットカード番号等の適切な管理」をする方法として、非保持化への対応のみを紹介します。



IC対応端末への置き換え・切り替えは対面取引加盟店だけが必要であり、ネット取引でのなりすまし対策は非対面取引加盟店だけが必要です。一方、非保持化への対応は、対面取引加盟店・非対面取引加盟店の双方で必要です。

以降では、より具体的な対応について紹介しますが、詳細はカード会社、POSレジメーカー、決済代行会社などにご確認ください。



４　対面取引加盟店に求められる対応

対応が必要なのは、「IC対応端末を導入していない」「カード情報を非保持化していない（またはPCI DSS準拠していない）」加盟店です。対応の期日は法改正の施行日（「実行計画」上の最終目標は2020年3月末）までですが、後述する補助金を利用する場合、さらに早い対応が必要です。

1）IC対応端末への置き換え・切り替え

決済専用端末（CCT）を単独で設置している場合、IC対応端末への置き換え・切り替えが必要です。カード会社などに連絡をして、IC対応端末に置き換えてもらいましょう。なお、自ら購入する場合の費用は、1台当たり4万～8万円となります。POSシステムと決済端末を連動させている場合や、カード処理機能を持ったPOSレジを設置している場合も、IC対応端末への置き換え・切り替えが必要です。

読者の中には、この機会に、カード処理機能を持ったPOSレジ（POSレジ本体にICチップの読み取り機能が備わっているタイプ。付属機器として暗証番号入力用パッドが付いているもの）への置き換えや切り替えを検討する方もいるかもしれません。ちなみにカード処理機能を持ったPOSレジを購入する場合の費用は、1台当たり10万～40万円となります。

なお、消費税軽減税率制度に対応するためレジを導入し、併せてIC対応端末を導入する場合、軽減税率対策補助金を利用できることがあります。補助金を利用する場合、代金支払いを済ませた上で、事務局宛の補助金の交付申請（2018年1月31日消印有効）が必要です。申請期間や補助対象の詳細は下記のサイトで確認するようにしてください。

• 軽減税率対策補助金事務局「軽減税率対策補助金」
  https://kzt-hojo.jp/

また、各種クレジットカード、銀聯カード、各種電子マネー、J-Debitを共通の端末（本体端末＋リーダライタ＋暗証番号入力用パッド）で取り扱い可能なサービスも提供されていますので、この機会に検討してみるのもよいかもしれません。

2）非保持化への対応

決済専用端末（CCT）を単独で設置し、端末からカード会社や決済代行会社などの外部のサーバーに直接カード情報を送っている場合は、非保持化対応は完了しています。

POSシステムと決済端末を連動させている場合も、IC対応端末から外部のサーバーに直接カード情報を送る仕組み（例：決済専用端末連動型）を採用することで、非保持化対応は完了します。

ただし、非保持化の仕組みを導入するために、自社のPOSシステムの改修が必要な場合があるので注意しましょう。改修にかかる期間は2～4カ月程度、費用は数十万～数百万円となります。POSメーカーなどに相談し、カード処理機能を持ったPOSレジの置き換え・切り替えや、システムの改修の有無などを早めに確認しておきましょう。

５　非対面取引加盟店に求められる対応

対応が必要になるのは、「カード情報を非保持化していない」「なりすまし対策をしていない」加盟店です。なお、非対面取引加盟店の対応は「実行計画」上、2018年3月末が目標です。対面取引加盟店よりも、早めの対応が求められます。

（注）本稿では、決済代行会社（PSP）傘下のインターネット加盟店につきご説明します。

1）非保持化への対応

PCI DSSに準拠している決済代行会社などが提供するサービスを導入することで対応します。非保持化への対応で注意すべき点は、カード情報を自社保有の機器・ネットワークで「保存」していなくても「通過」している可能性があることです。その場合、不正アクセスやマルウェアによりカード情報を窃取されるリスクが高くなります。

例えば、顧客の商品購入時、決済代行会社のサイトに遷移させてカード情報を入力してもらっているのであれば、非保持化対応は完了です（この方式を非通過型（リンク型）といいます）。

一方、自社のサイト（ドメイン）内でカード情報を入力してもらい、それを決済代行会社に送信しているのであれば、情報が自社内を通過している状態なので非保持化対応が必要です。

ただし、自社のサイト（ドメイン）内でカード情報を入力してもらう場合であっても、決済代行会社が提供する「トークン方式（JavaScript使用の非通過型決済）」を導入していれば、非保持化対応は完了です。

サイトのシステム要件などによっても異なるものの、非保持化のサービスを導入する場合、期間は2週間～1カ月程度、費用は10万円程度となります。なお、決済サービス自体を利用するのに、月額利用料・決済手数料・トランザクション料などが必要になります。

2）ネット取引でのなりすまし対策

ネット取引でのなりすましを防止するために、3Dセキュア（本人認証サービス）、セキュリティコードによる本人確認などの各種セキュリティ対策を導入する必要があります。具体的な対策を検討する際には、加盟店の業種・商品などに応じた対策とする必要がありますので、契約している決済代行会社やクレジットカード会社に、ぜひ相談してみましょう。

６　セキュリティ対策が不十分な加盟店は、加盟店契約が解除されてしまう恐れも

加盟店に課せられる義務「クレジットカード番号等の不正利用の防止」と「クレジットカード番号等の適切な管理」に違反した場合であっても、法令上の罰則は設けられていません。ただし、加盟店が義務を果たさない場合は、カード会社から義務を果たすよう要請があり、加盟店がこの要請に応じない場合は、将来的にクレジットカードの取り扱いができなくなる可能性があります。

また、義務を果たしていない加盟店の情報は、日本クレジット協会加盟店情報交換センターに報告することが義務付けられているので、現在契約のない他のカード会社などにも情報が共有されます（注）。

（注）日本クレジット協会加盟店情報交換センターは、悪質加盟店を排除し、クレジット取引の健全な発展と消費者保護に資することを目的として、加盟店情報の共同利用を行っています。また、改正割賦販売法第35条の17の8第4項では、必要に応じてカード会社（アクワイアラー）などが取るべき措置の例示として、加盟店契約の解除を規定していることにも留意しなければなりません。

さらに、加盟店契約を締結または改定する際の参考とすべき一般的なモデル契約条項と、既存契約に関する解釈指針を示すため、経済産業省では2017年7月に「クレジットカード加盟店契約に関するガイドライン」を公表しました。

このガイドラインでは、セキュリティ対策が不十分な加盟店に関して不正利用による被害が発生した場合、加盟店が損失を負担する規定が設けられています。これを受け、カード会社などが、既存の加盟店契約の見直し作業を進展させ、ガイドラインで示されたモデル契約条項の内容を契約に反映させる動きが今後予想されますので、加盟店としては、より一層偽造カード対策やネット上でのなりすまし対策などの不正利用対策に注力していく必要があるものといえるでしょう。

以上

※上記内容は、本文中に特別な断りがない限り、2017年12月8日時点のものであり、将来変更される可能性があります。

※上記内容は、株式会社日本情報マートまたは執筆者が作成したものであり、りそな銀行の見解を示しているものではございません。上記内容に関するお問い合わせなどは、お手数ですが下記の電子メールアドレスあてにご連絡をお願いいたします。

【電子メールでのお問い合わせ先】
inquiry01@jim.jp

（株式会社日本情報マートが、皆様からのお問い合わせを承ります。なお、株式会社日本情報マートの会社概要は、ウェブサイト https://www.jim.jp/company/をご覧ください）

ご回答は平日午前10：00～18：00とさせていただいておりますので、ご了承ください。

• OSやソフトウェアのバージョン、セキュリティ対策ソフトの定義ファイル（パターンファイル）は常に最新版を利用している
• 不審なメールの添付ファイルは開かず、URLリンクをクリックしないように社内で徹底している
• マルウェア（不正プログラム）感染を前提とした内部対策を実施している
• サイバー攻撃発生時の報告・相談窓口や対応フローが明確になっている

これらができていない中小企業は、いわゆる「標的型メール」の被害を受けてしまう恐れがあります。この記事では、実際に中小企業で起きた情報セキュリティ問題を取り上げ、対策のポイントを紹介します。

１　標的型攻撃とは

標的型攻撃とは、特定の組織をターゲット（標的）として重要情報の搾取を行うサイバー攻撃です。攻撃者は、取引先や関連組織、公的機関等をかたってウイルスを添付した攻撃メールやウイルス感染の仕掛けを施したウェブサイトのURLを記載した攻撃メールを標的組織に送りつけて、パソコンをウイルスに感染させます。その後、パソコンを遠隔操作することで、標的組織内部のシステムやネットワークへの侵入拡大を図り、最終的には目的とする重要情報の搾取を行います。

２　恐ろしい「標的型攻撃」

旅行会社「XYZトラベル」（仮名）。数年前から自社のインターネット予約システムを某有名価格比較サイトに連動したことで売り上げが急成長しています。

ある日、顧客A氏より予約確認メールが届きました。受付オペレーターはメールに添付されたWordファイルを開いて予約内容を確認しましたが、実在しない予約番号でした。予約番号の入力間違いだと思い、メールで予約番号の確認を行いましたが返信が来ません。その後もA氏とは連絡が取れませんでした……。

1カ月後、顧客B氏より「XYZトラベルとのやり取りで使用したメールアドレス宛に迷惑メールが大量に送られてきている。御社で情報漏えいが起きたのではないか？」とのクレームが寄せられました。B氏は用途に応じてメールアドレスを使い分けているので、勘違いではないとのことです。そこで、XYZトラベルのシステム管理者が調査を行いました。その結果、複数の業務端末で不審なファイルが発見され、また外部への不正な通信ログも確認できたため、サイバーセキュリティの専門家であるC氏に正式な調査を依頼することになりました。

C氏は、サーバやネットワーク機器、業務端末のログ等を解析し、その結果をXYZトラベルの経営陣に報告しました。

「今回の調査結果から、御社は『標的型攻撃』の被害にあったと考えられます。標的型攻撃とは、特定の組織が保有する情報を狙って行われるサイバー攻撃のことです。今回はメールの添付ファイルにマルウェアが仕込まれており、マルウェア感染によって外部から業務端末が遠隔操作されていたと思われます。具体的には、顧客情報を格納したサーバから情報が抜き取られて外部に送信されていました。問題のマルウェアは全て駆除できましたが、このまま放置していたら社内の他の機密情報の流出やシステムの破壊の可能性もあったかもしれません。再発防止に向けて、速やかにセキュリティ対策を見直しましょう」

３　マルウェア感染等を予防する入口対策の実施

まずは、マルウェア感染等を予防する基本的なセキュリティ対策である「入口対策」を徹底しましょう。

OSやソフトウェアの既知の脆弱性（セキュリティホール）を狙ったサイバー攻撃が多く存在します。管理者がソフトウェアバージョンを集中管理して、全社のサーバや業務端末が常に最新版のOS・ソフトウェアを利用している状態にしましょう。また、セキュリティ対策ソフトも管理者が集中管理し、常に最新の定義ファイル（パターンファイル）を適用することで、新しいマルウェアの感染を防ぐようにします。

最近は、メールにマルウェアを添付したり、マルウェアを仕掛けたWebサイトへ誘導したりする手口で、マルウェア感染を狙った巧妙な攻撃メールを送ってくることが増えています。こうした問題への対策として、「差出人アドレス」「メール本文」「URLリンク」「添付ファイル」の4つの観点に注目することで、攻撃メールの多くを見分けることができます。

「差出人アドレス」が、企業にもかかわらずフリーメールアドレスを使用していたり、実在する組織名に似せたドメインを使用していたり、正規差出人を詐称するために差出人の表示名に実在する人物名を使用していたりする傾向があります。

「メール本文」が、あたかも本物の業務メールであるかのように内容を偽装していたり、受信者の興味を引くような内容を書いてきたりする傾向があります。このとき、英文や自動翻訳をかけたような不自然な日本語の場合があります。

メール本文中の「URLリンク」が、実在するドメインに似たURLリンクであったり、HTML形式メールで表示URLリンクを偽装したりして、マルウェアを仕掛けたサイトへ誘導したり、正規サイトの一部を乗っ取って悪用したりする傾向があります。

「添付ファイル」のアイコンをPDFやWordなどに偽装したり、“お知らせ.pdf.exe”というように二重拡張子で偽装したり、圧縮ファイルにマルウェアを混入したりしてくる傾向があります。

これらの傾向に複数合致するような不審なメールの添付ファイルは開封しない、URLをクリックしないように社内で徹底しましょう。可能であれば、不審なメールが届かないようにメールフィルタリングを行う、ウイルス感染の恐れがあるWebサイトを閲覧しないようにWebフィルタリングを行うなど、システム的な対策がとれるとさらによいでしょう。

厄介なのは、標的型攻撃では、“商品お問い合わせ”や“採用応募について”など、添付ファイルを開かざるを得ないような巧妙なメール文面で攻撃してくるケースが増えていることです。また、特定の組織を攻撃するためだけに作成した新種のマルウェアで攻撃してくる可能性もあるため、標的型攻撃を入口対策だけで完全に防ぎきることは困難といえます。そこで、マルウェア感染を前提に、標的型攻撃に早期に気付き、その後、重要情報にたどり着かせなくする「内部対策」を実施することが重要です。

４　マルウェア感染を前提とした内部対策の実施

標的型攻撃では、マルウェア感染に成功するとバックドア（再侵入するためのネットワーク上の裏口）を仕掛けて、遠隔操作が可能なマルウェアを送り込み、C&C（Command and Control）サーバと呼ばれる外部サーバからの指令によって、侵害を拡大してきます。そこで、業務端末から外部サーバへの直接通信を遮断してプロキシサーバ経由になるようにネットワークを制御した上で、プロキシサーバから外部サーバへの通信を監視するようにしましょう。また、DNSサーバ、メールサーバ、Firewall、Active Directoryなどのサーバや通信機器のログを確認することにより、サイバー攻撃に早期に気付く仕組みを作ることが重要です。

図表２のように、重要情報を格納したDBサーバやその管理端末は、業務端末とはネットワークの分離を実施し、マルウェア感染後の侵害拡大を防止しましょう。業務端末に重要情報を保管しなければならない場合は、暗号をかけておくことで、もしマルウェア感染による情報漏えいを起こした場合であっても、重要情報が簡単には解読できないような対策がとれます。

C氏は、一通りの対策を説明した後、まとめの言葉で締めくくりました。

「標的型攻撃に対しては、入口対策や内部対策など防御の層を重ねて作り、一つの層が破られても別の層で守られるという『多層防御』の考え方で防御することが重要です。また今後、同様のサイバー攻撃が発生した際に、報告や相談ができる窓口を設置し、対応フローを決めておきましょう」

その後、XYZトラベルではマルウェアなどによるサイバー攻撃の兆候がアラートとして上がってきますが、同様の被害は発生していません。

次回は、世界的に猛威を振るうランサムウェアの脅威と対策について解説します。

以上

（監修　エドコンサルティング株式会社　代表取締役　江島将和）

※上記内容は、本文中に特別な断りがない限り、2017年9月4日時点のものであり、将来変更される可能性があります。

※上記内容は、株式会社日本情報マートまたは執筆者が作成したものであり、りそな銀行の見解を示しているものではございません。上記内容に関するお問い合わせなどは、お手数ですが下記の電子メールアドレスあてにご連絡をお願いいたします。

【電子メールでのお問い合わせ先】
inquiry01@jim.jp

（株式会社日本情報マートが、皆様からのお問い合わせを承ります。なお、株式会社日本情報マートの会社概要は、ウェブサイト https://www.jim.jp/company/をご覧ください）

ご回答は平日午前10：00～18：00とさせていただいておりますので、ご了承ください。