2026年3月2日
決済を標的とした詐欺は、ますます複雑化・巧妙化している。AIの犯罪利用、そしてマルウェアをはじめとする様々な技術の標準化と複製が進むこと：これらは、昔ながらの窃盗道具のデジタル版のような働きをする。
これは、 脅威インテリジェンスの専門家 である Recorded Future が 本日発表した最新レポート によるもので、悪意のある行為者と、それを阻止しようとする銀行、決済ネットワーク、政府、加盟店との間のいたちごっこを描いている。
一方、Recorded Futureの調査によると、決済詐欺師が詐欺に利用する重要な情報の漏洩件数は昨年横ばいだった。例えば、盗難されたクレジットカード記録のうち、販売可能なものは、2025年には前年比で約20％減少した。しかし、攻撃の手口が高度化し規模が拡大するにつれ、悪意のあるプレイヤーはAccessできる情報をより効果的に利用できるようになる。
「2026年には、顧客を守ることに成功する組織は、リーダーシップを連携させ、サイバーセキュリティと不正対策に関するインテリジェンスを融合させ、断片化されたデータソース全体にわたるシグナル検出と相関関係を最大化する組織となるでしょう」と、同社の決済不正対策インテリジェンス担当ディレクター、イリヤ・ヴォロヴィク氏は述べています。「そうすることで、金銭的な損失が発生する前に攻撃を阻止できるのです。」
Recorded Futureが指摘した憂慮すべき傾向の一つは、詐欺師がその効果を最大限に高めることを可能にする、サポートサービスとテクノロジーの産業化の進展である。そのような人気のあるツールの1つは、詐欺師がオンライン小売業者の決済ページのコードを書き換え、取引が行われる際に決済情報を盗む、つまり「スキミング」することを可能にするもので、 Magecartと呼ばれる攻撃で使用されます。報告書によると、2025年には10,500件のハッキングが発生し、2,300万件以上のオンライン取引が侵害されたと指摘されている。
また、銀行や小売店が本人確認のために使用するワンタイムパスワードを盗むのに役立つツールもますます増えており、これらのパスワードは通常、不正行為を阻止できるより強力な認証方法を回避できる。詐欺師たちは、偽の小売店を開設するプロセスを自動化する方法さえ編み出しており、それによって消費者を騙して正規の商品だと思わせ、購入をさせて決済情報をだまし取ろうとしている。
昔ながらの紙の小切手でさえも例外ではありません。泥棒は小切手を盗み、その画像をオンラインに投稿して銀行口座情報や署名を暴露します。盗まれた小切手の画像の総数は2024年と比較して42%減少しましたが、固有の画像の数は初めて増加し、233,000に達しました。
報告書によると、AIは決済詐欺の規模と範囲においてますます重要な役割を担うようになっている。ある詐欺事例では、詐欺師たちはAIを活用したマーケティングプラットフォームを利用して、正当な企業が顧客セグメンテーションを確立しようとするのと同様の方法で、被害者をより的確にターゲティングしていた。
同時に、一般の人々はAIを、詐欺師にとっての機会を拡大するような方法で使い始めている。AIエージェントが人間のユーザーに代わって買い物をする代理商取引は、多くの銀行や小売業者にとってまだ試験段階にあるものの、新たな脆弱性を生み出し、調査を複雑化させ、法的責任問題を引き起こす可能性があると報告書は述べている。何が危機に瀕しているかを認識している業界は、信頼性が高く、透明性があり、安全なエージェント間取引を確保するための基準、プロトコル、ツールを既に開発している。
しかし、悪いニュースばかりではなく、Recorded Futureは決済業界の防御策が今年改善すると考えている。詐欺師がAIを様々な方法で利用するようになるにつれ、事後対応型の防御よりも予測型の防御が優先されるようになるだろう。詐欺ツールの標準化が進むことは、詐欺師を利する一方で、皮肉なことに、善良な人々にとってもチャンスとなる。小売業者のウェブサイトに侵入することを可能にする、決済情報の「スキミング」キットは現在非常に広く普及しており、詐欺の兆候が他の同様の事例を明らかにするようになり、近い将来、検出が容易になる可能性がある。
金融機関や決済機関は、不正行為に対抗するための多くの手段を持っているが、おそらく最も効果的なのは、脅威が大規模な攻撃に発展する前に未然に防ぐことを重視する姿勢を取ることだろう。情報収集と不正検出の連携、対応時間の短縮のためのテクノロジーの活用、そして組織のリーダーの関与は、より迅速かつ的確な意思決定につながり、不正行為が金銭的損失につながる前に阻止する能力を高めるだろう。
