2024年3月12日
私の同僚が銀行アプリにログインしたところ、いくつか不審な取引に気づいた。他の州の様々な企業に数セントずつ支払われており、その中には彼女が一度も行ったことのないミネソタ州のレストランへの1セントの請求も含まれていた。
彼女は決済業界での経歴があったため、その請求が何であるかをすぐに理解した。それはカードテスト組織による犯行だった。
長年にわたり、データ漏洩は数億枚もの決済カードに影響を与えており、ハッカーたちは公開されているインターネット上だけでなく、ダークウェブ上の犯罪市場でカード情報を販売している。顧客である詐欺師たちは、これらのカードが使えることを期待しているため、ハッカーたちはカードテストサービスを利用して、カードがまだ有効でアクティブであることを確認する。（たとえ犯罪者であっても、優れた顧客サービスは重要だ。）
カードテスト取引が成功した場合、購入に関する紛争が発生する可能性があり、カード所有者、加盟店、そしてそれぞれの銀行にとって厄介な問題となる。カード決済が拒否された場合など、決済が失敗した場合でも、加盟店にとっては依然として問題となる。なぜなら、拒否率が高いと、これらの事業者は取引銀行にとってリスクの高い事業者とみなされる可能性があるからだ。そうなると、銀行は購入を拒否する可能性が高くなり、結果として商人は売上を失うことになる。そして、最も厄介なのは、カードテストが実際の詐欺行為の前段階、つまり犯罪者にとっての予行演習であるということだ。
テクノロジー業界では、「サービスとしての提供」というビジネスモデルが急速に成長しており、犯罪組織もそれに追随し、ランサムウェアやマルウェアをサービスとして提供するようになっている。カードテスト企業も例外ではない。彼らは、ダークウェブで盗まれたクレジットカード番号を購入するサイバー犯罪者を顧客とし、不正利用されたカードのうちどれが有効で残高があるかをテストする自動化ソフトウェアへのAccessを販売している。
米国司法省が最近明らかにした事例の一つでは、違法なクレジットカード認証プラットフォームの「ゴールドスタンダード」と称されるカードテストサービス「Try2Check」が、様々なテスト取引のメニューを提供していた。その後、このサービスは盗まれたカードに対して何百万回もの事前承認試行を実行する。これにより、不正利用に関する規則に抵触したり、正規のカード所有者に気づかれたりする可能性が低くなる。承認は、そのカードが有効であることを確認するものです。不正に入手されたカード情報が売却されると、その新たな「所有者」は、そのカード情報を使って不正な購入を行うことができる。
5月、司法省はTry2Checkの首謀者とされる人物を特定し、Access機器詐欺、コンピュータ侵入、資金洗浄の罪で起訴した。このプラットフォームは毎年数千万件のチェックを行い、逃亡中の被告に少なくとも1800万ドル相当のビットコインを稼がせた。
Try2Checkのような大手テストサービスが起訴され、閉鎖されたとしても、テスト活動は決済カードのサイバー詐欺のライフサイクルにおいて、依然として不可欠かつ重要な柱であり続ける。毎年何百万ものテスト取引が実行されており、決済エコシステムの進化に伴い、犯罪者たちは手口を絶えず適応させている。
カードテストの悪循環を断ち切るには、パターンを理解し、迅速に検出することが鍵となる。
Mastercardでは、サイバー＆インテリジェンスチームが脆弱性や脅威を監視しており、短時間に少額の承認リクエストが大量に流入するといったテスト活動をリアルタイムで検知することができます。同チームは、カードがテストスキームに関与していると思われる場合、発行銀行に警告を発し、グローバルネットワークレベルで取引を監視するMastercard Safety Netは、大規模なテスト攻撃を即座に検知して取引を拒否することができる。
チームはまた、加盟店の銀行にも連絡を取り、銀行は顧客に自社の事業がテストに使用されていることを通知することができる。テクノロジーが進歩し、犯罪者の手口が進化するにつれ、Mastercardのチームは新たな発想を推進し、不正行為の検知と防止のための能力を絶えず拡大しています。
カード会員にとって、警戒心を持つことが鍵となる。すでに毎月の明細書を確認されている方もいらっしゃるかもしれませんが、モバイルバンキングをご利用のお客様は、ボタン一つで口座情報を確認できます。身に覚えのない請求があった場合は、金額の大小に関わらず、銀行に連絡してください。特に、少額の場合はなおさらです。
