スキミングとは？カード情報を盗む手口とIC・タッチ決済の対策

スキミングの仕組み｜カードが残っていても気づきにくい

磁気ストライプは、カード裏面などにある帯状の部分です。ここに記録されたカード情報が、不正な読取装置を通してコピーされます。ATMや店の決済端末に装置を仕掛けるほか、預かったカードを別の装置に通す手口もあります。

1. 1．カード情報を盗まれる不正な装置などで情報が読み取られる。カード本体は返ってくることもある。
2. 2．偽造カードや番号盗用に悪用される情報を使った第三者の決済などにつながる。
3. 3．通知や明細で異常に気づく手元のカードの有無だけでなく、実際の利用内容を確かめる。

カード情報の読取りと、暗証番号の盗取りは分けて考えます。ATMでは入力を撮影するカメラや、押したキーを記録する偽のキーパッドが使われる例があります。暗証番号を手で隠すことに加え、機器に違和感があれば使わない判断が必要です。

「カードをなくしていないから大丈夫」とは言い切れません。日本クレジット協会も、カードが偽造されたおそれがあるときは、すぐにカード会社へ連絡するよう案内しています。

ICカードでもスキミングされる？使う方式で違います

IC付きカードでも磁気ストライプを備えていれば、その磁気情報がコピーされるおそれは残ります。一方、ICを使った取引には、単純なコピーを繰り返し使わせない仕組みがあります。カードの見た目だけでなく、支払いにどの部分を使うかが大切です。

表が画面に収まらない場合は、表の中を横に動かせます。

「近づけて情報を読む」と「同じ決済を複製する」は別の話

非接触のスキミングが気になって、タッチ決済を避けている方もいるかもしれません。EMVのタッチ決済は、無線で情報をやり取りするだけの仕組みではなく、取引ごとに使うコードで不正な再利用を防ぐ設計です。情報の一部を読めることから、カードを丸ごと複製して同じように決済できるとは判断できません。

ただし、これであらゆる不正利用がなくなるわけではありません。カードを落とした場合や、偽サイトへカード情報を入力した場合は、別の対応が必要です。対応カードや店頭での使い分けは、タッチ決済の対応カード・使い方で確認できます。

スキミングを防ぐには？ATM・店頭・保管中で分ける

どの場面でも同じ対策が効くわけではありません。カードを使う直前、手渡すとき、使った後に分けると、確認することを絞れます。国内・海外とも、機器や扱いに違和感があれば利用をやめることが基本です。

ATMからカードが戻らない場合も、放置せず発行会社やATM管理者へ連絡してください。キャッシュカードによる預金の被害は窓口・補償制度が異なります。銀行口座の不正利用への対応も確認できます。

スキミング防止ケースは必要？守れるのは限られた場面

電波を遮るタイプの防止ケースは、収納中のカードとの非接触通信を遮る目的のものです。購入を考えるなら、対象の通信方式、カードを入れる位置、閉じ方など、製品の仕様を確認してください。この記事では個別製品の遮断性能は測定していません。

ケースから出したカードを不正な読取装置へ通すこと、暗証番号の盗撮、偽サイトへの入力、すでに漏れた番号の悪用までは防げません。「スキミング防止」と書かれていても、使う場面を分けて考える必要があります。

スキミングされたか確認するには｜不審な利用は発行会社へ

カードの見た目や利用明細だけで、スキミングされたかを断定することはできません。身に覚えのない利用には、別の経路での情報流出も考えられます。実際の店名と明細の表示名の違い、継続課金、家族カードの利用などを確認し、それでも覚えがなければ速やかに連絡します。

1. 停止・再発行を相談する。発行会社の公式アプリや、カード裏面で確認した窓口を使います。不審なメール・SMSに書かれたリンクや電話番号から手続きを始めないでください。
2. 分かる範囲を伝える。不審な利用の日付・金額・明細の表示名、カードが手元にあるか、気づいた状況を伝えます。資料をすべてそろえるために連絡を遅らせる必要はありません。
3. 調査と必要書類の案内を受ける。明細やレシートなどを保存し、発行会社の指示に従います。紛失・盗難や被害の状況に応じ、警察への届出についても確認してください。

連絡の例：「カードは手元にありますが、○月○日の○円、明細名○○に覚えがありません。利用停止が必要か、調査を依頼するにはどうすればよいか確認したいです」

補償の期限は「何日か」だけでなく「いつから数えるか」も確認

補償の可否は発行会社の調査と会員規約によります。たとえば三井住友カードの会員保障制度は申告日から60日前までの利用を補償対象として案内しています。一方、JCBの不正利用補償案内では、対象カード（番号が354・355で始まるカード）は該当する明細の通知後60日以内の届け出が基準です。JCBの分割・リボ払いなどは、初めて掲載された明細の通知が起点です。紛失・盗難は別条件で、どちらも適用除外があります。

同じ「60日」でも起点は同じではありません。期限が過ぎたかもしれない場合も、自分だけで結論を出さず発行会社に相談してください。詳しい確認・停止・申告の流れはクレジットカードの不正利用対策と補償条件にまとめています。

自分で買った商品の未着や、約束された返金が反映されない問題なら、相談時にその経緯を伝えます。こちらはチャージバックの仕組みと相談準備で扱っています。

Webスキミング・フィッシングとの違い

「スキミング」は、ネット上で入力した情報を盗む手口にも使われます。Webスキミングは、通販サイトの決済ページなどが改ざんされ、入力したカード情報を盗まれるものです。カード本体をATMなどへ通す必要がなく、防止ケースでは対策できません。

フィッシングは、メールやSMSなどで偽サイトへ誘導し、情報を入力させる手口です。正規サイトを自分で開く習慣はフィッシング対策になりますが、正規サイトの改ざんまで見分けられるとは限りません。店頭の対策に加え、明細確認を続ける理由はここにもあります。

ネット購入時の本人認証は、3Dセキュアの登録・設定と認証エラーの対処で確認できます。本人認証は追加の防御であり、カード情報の流出をすべて防ぐ仕組みではありません。