サイト運営者必見：クレジットマスター攻撃の手口と対策

ネットショップのクレジットカード決済に、見覚えのない少額の決済や「承認されませんでした」という結果が短い時間にまとまって並ぶことがあります。その原因の一つに、クレジットマスター攻撃（クレジットマスターアタック、大量アタックとも呼ばれます）があります。

クレジットマスター攻撃は、カード番号を機械的に作り、ネットショップの決済画面を使って「本当に使える番号か」を確かめる手口です。狙われたショップは、カード情報を盗まれていなくても、決済の停止や手数料の負担、カード会社との契約の見直しといった被害を受けることがあります。

この記事では、クレジットマスター攻撃の仕組みと手口、ショップに出る被害と兆候、業界のガイドラインが求めている対策、攻撃を受けたときの初動、利用者としてできることまでを順にご説明します。

クレジットマスター攻撃とは

クレジットマスター攻撃とは、クレジットカード番号の決まり（採番の規則性）を悪用して、実在しうるカード番号をプログラムで大量に作り出す手口です。カード会社などでつくる「クレジット取引セキュリティ対策協議会」のガイドラインでは、次のように説明されています。

クレジットマスターとは、カード番号等の採番の規則性を悪用し、機械的にクレジットカード番号を生成する手口である。また、悪質な有効性確認とは、クレジットマスターで生成したカード情報やフィッシング等で窃取したカード情報をEC 加盟店での利用等を通じて実際に利用できるカード番号かを確認する手口をいう。

（出典：クレジット取引セキュリティ対策協議会「セキュリティ対策導入ガイド【附属文書20】」）

つまり、攻撃は2つの段階に分かれます。番号を作る段階と、作った番号をネットショップの決済で試して「使える番号」を見つけ出す段階です。ショップが巻き込まれるのは、2つ目の「試す」段階です。

なぜカード番号を作り出せるのか

クレジットカードの番号は、でたらめな数字の並びではありません。先頭の数桁は発行したカード会社やカードの種類を表し（BIN、またはIINと呼ばれます）、最後の1桁は打ち間違いを見つけるための検査用の数字になっています。そのため、実在しうる番号の候補は、すべての数字の組み合わせよりずっと少なくなります。

ただし、番号が作れても、それだけでは使えるカードかどうかは分かりません。決済画面によっては有効期限やセキュリティコードの入力も求められ、実際に使えるかは、ネットショップの決済を通してカード会社に照会しなければ確かめられません。攻撃者がネットショップの決済画面を使うのは、このためです。

攻撃の流れ

1. 攻撃者が、カード番号の候補をプログラムで大量に作る
2. ネットショップの決済画面やカード登録画面に、番号・有効期限・セキュリティコードの組み合わせを自動で次々に入力する
3. 決済代行会社を通じてカード会社に照会（オーソリ）が行われ、「承認」か「拒否」かが返ってくる
4. 承認された番号を「使えるカード」として控え、別の場所で不正に使う、あるいは売買する

ショップの決済の仕組みが、攻撃者に「カード情報を試す窓口」として使われていることになります。カードの持ち主にとっても、自分のカード情報がどこからも漏れていないのに、ある日身に覚えのない請求が届く、という形で被害が表に出ます。

近年の手口の特徴

• 自動化と規模：はじめは1日数十件から数百件でも、対策がないと増え続け、数十万件まで膨らんで決済を止めなければならなくなる例があると、決済代行会社が注意を呼びかけています
• 少額の決済：数百円程度の商品の購入や寄付など、少額の決済が、カード情報が使えるかを試すのに使われることがあります
• 目立たないように分散する：1つのショップに短時間で集中させず、間隔を空けたり、複数のショップやIPアドレスに分けたりして、遮断の仕組みをすり抜けようとします
• 決済画面以外の入口：購入画面だけでなく、会員のマイページにある「カード情報の登録・変更」の画面が使われることもあります

クレジットカードの不正利用被害の規模

日本クレジット協会の集計では、2025年のクレジットカード不正利用被害額は510.5億円でした。過去最高だった2024年の555.0億円より8.0%減ったものの、そのうち93.1%にあたる475.4億円は「番号盗用」による被害です（2026年3月公表の資料による）。

番号盗用には、フィッシングや情報漏えいで盗まれた番号のほか、クレジットマスターで作られた番号の不正利用も含まれます。クレジットマスター攻撃だけの被害額は、公表されている統計には分けて載っていません。

同じガイドラインは、こうした被害の約9割がネットショップでの「なりすまし」によるものだとして、ネットショップ（EC加盟店）に対策を求めています。

クレジットマスター攻撃でショップに出る被害

クレジットマスター攻撃の怖いところは、カード情報を盗まれていないショップでも、損をするのはショップだという点です。

• 決済の停止：大量の照会を見つけた決済代行会社やカード会社の判断で、カード決済が一時的に止められることがあります。止まっている間は、普通のお客さまもカードで買えません
• 承認率の低下：拒否される照会が大量に続くと、ショップの承認率が下がります。攻撃が収まってもすぐには戻らないことがあり、普通のお客さまの決済まで通りにくくなるおそれがあります
• 手数料の負担：契約によっては、承認されなかった照会にも1件ごとの手数料がかかります。大量に試されると、売上の無い照会の手数料だけが積み上がります
• チャージバック：試しの決済が承認され、商品の発送やサービスの提供まで進んでしまうと、あとからカードの持ち主の申し出で売上が取り消され（チャージバック）、商品も代金も失うことがあります
• 契約の見直し：不正利用の額が大きい状態が続くと、カード会社から対策の追加を求められ、改善しなければ加盟店契約の見直しにつながることがあります。ガイドラインでは、カード会社が把握する不正利用の額が「3ヵ月連続50万円超」のショップを「不正顕在化加盟店」とし、追加の対策を求めています
• サーバーへの負荷：短時間に大量のアクセスが来ると、サイトが重くなったり、表示されにくくなったりすることがあります

攻撃を受けているかもしれない兆候

クレジットマスター攻撃は、ショップの売上には表れにくいため、気づくのが遅れがちです。決済代行会社の管理画面や、サイトのアクセスの記録で、次のような動きがないかを見てください。

決済代行会社によっては、こうした動きを見つけると、ショップに登録されたメールアドレスへ注意の連絡を送る仕組みを用意しています。決済代行会社からのメールは、売上の連絡だけでなく、注意や警告の連絡がないかも確かめるようにしてください。

ガイドラインが求めている対策

ネットショップのカード決済の安全対策は、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」に定められています。このガイドラインは法律そのものではありませんが、割賦販売法が求める「必要かつ適切な措置」の実務上の指針と位置づけられており、カード会社や決済代行会社はこれに沿ってショップに対策を求めます。2026年3月に公表された6.1版が最新です。

EMV 3-Dセキュア（本人認証）

EMV 3-Dセキュアは、決済のときにカード会社が本人かどうかを確かめる仕組みです。取引の内容などに応じて、ワンタイムパスワードや生体認証などの追加の確認が求められることがあります。

ガイドラインでは、2025年3月末までに、原則としてすべてのネットショップ（EC加盟店）にEMV 3-Dセキュアの導入を求めることとし、現在の6.1版でも、ネットショップが講じる対策の一つとして導入が定められています。

イシュアーによる本人確認が適切に行われるための措置として、EC 加盟店はEMV 3-D セキュアを導入する。

（出典：クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」）

電話やFAXで注文を受ける取引など、導入しなくてよい取引も別に定められています。ただし、カード会社が把握する不正利用の額が「3ヵ月連続50万円超」になった不正顕在化加盟店では、こうした取引でも導入が必要とされています。導入の方法は、カートシステムと決済の連携のしかたによって変わります。決済代行会社への申し込みや設定の変更で済む場合もあれば、決済のプラグインの更新やサイト側の改修が要る場合もあります。まだ導入していない場合は、まず決済代行会社に、何が必要かを確認してください。

クレジットマスター対策として挙げられているもの

ガイドラインは、クレジットマスターと悪質な有効性確認への対策を、ネットショップの「脆弱性対策」の一つに入れています。ガイドラインの別紙に挙がっている対策から、1つ以上を実施することが求められています。

（出典：クレジット取引セキュリティ対策協議会「セキュリティ対策導入ガイド 別紙a」をもとに整理）

このほか、ガイドラインは、会員登録・ログイン・登録情報の変更といった「決済の前」の場面でも、不正ログインへの対策を1つ以上入れることを求めています。ログインの試行回数の制限や、2段階認証、ログインや登録情報の変更があったときのメール・SMSでのお知らせなどです。

1つの対策だけでは防ぎきれない理由

どの対策にも、すり抜けられる道があります。

• reCAPTCHAなどのBot対策：人の手で入力されると通ってしまいます。決済代行会社も、Bot対策だけで完全には防げないと注意を促しています
• IPアドレスでの遮断：攻撃者がIPアドレスを次々に変えると、遮断の対象から外れてしまいます
• EMV 3-Dセキュア：カード会社が「いつもどおりの使い方」と判断した決済では、追加の確認が求められないことがあります。また、決済のときだけに使っている場合は、会員登録やカード登録の画面には別の対策が要ります（カード登録のときに認証する運用もあります）

入口が1か所でも残っていると、そこから試されます。たとえば、決済画面にBot対策や本人認証を入れていても、購入履歴のない会員でも開けるマイページの「カード情報の登録・変更」の画面に対策が無ければ、そこが試しの入口になります。

ガイドラインも、「決済の前」「決済のとき」「決済の後」のそれぞれで対策を重ねる考え方をとっています。会員登録なしで買える（ゲスト購入の）ショップは決済のときの対策、会員登録が必要なショップは決済の前の対策が、特に大事になります。

ショップの形ごとに見直したいところ

• ShopifyやBASEなどのサービス：いま使っている決済サービスと、管理画面で使える不正対策の設定を確かめ、注文の一覧に不審な動きがないかを見ます
• EC-CUBEなど自分で設置したカートシステム：カート本体と決済のプラグインを最新の版に保つことが前提です。決済画面だけでなく、会員登録・ログイン・マイページのカード登録画面にもBot対策と回数の制限が入っているかを確かめます。古い版のまま動かしている場合は「PHPバージョン切り替えでWordPressとEC-CUBEを安全に保つ方法」も参考にしてください
• WordPressにカートを組み込んだサイト：プラグインの更新に加え、決済のプラグインが用意している不正対策の設定を確かめます
• どの形でも：決済代行会社が不正検知のサービスや設定を用意していることがあります。契約先に、いま使える対策と、攻撃を受けたときの連絡先を確かめておきます

サーバーの前で不審な通信を止めるWAFの仕組みは「WAFとは？サイバー攻撃からホームページを守る方法」で、フォームでのreCAPTCHAの使い方は「SEO対策の成功後に増えてくる問い合わせフォームからのスパムメール対策」でご説明しています。

攻撃を受けていると気づいたときの初動

1. 決済代行会社に連絡する：いつから、どの画面で、どのくらいの件数があったかを伝え、決済代行会社側でできる遮断や設定を確認します。決済代行会社やカード会社から先に連絡が来た場合は、その案内に従います
2. 不審なIPアドレスからのアクセスを止める：決済代行会社の管理画面、カートシステム、サーバーやWAFの設定で、攻撃に使われているIPアドレスを遮断します
3. 不審な会員アカウントを止める：攻撃に使われている会員アカウントを停止し、新しい会員登録が大量に続いている場合は、登録の受け付けにも制限をかけます
4. 発送を止めて確かめる：試しの決済が承認された注文があれば、発送する前に注文の中身を確かめます
5. 開いている入口を塞ぐ：攻撃が収まったあと、決済・会員登録・マイページのカード登録のどこから試されたかを確かめ、Bot対策や回数の制限が入っていない入口を塞ぎます

ガイドラインでも、カード会社や決済代行会社から不正利用が急に増えている旨の連絡を受けたときは、速やかに対策を追加することとされています。

利用者（カードを持つ人）ができること

クレジットマスター攻撃は番号を機械的に作るため、カード情報をどこにも漏らしていなくても狙われることがあります。利用者側では、早く気づいて止めることが一番の対策です。

• カードの利用明細を、少なくとも月に1回は確かめる。少額でも見覚えのない請求は見逃さない
• カード会社の利用通知（メールやアプリへのお知らせ）を設定しておく
• 見覚えのない請求を見つけたら、すぐにカード裏面の番号からカード会社に連絡する。多くの場合、カードの再発行と不正利用分の補償の手続きに進みます
• カード会社の本人認証サービス（EMV 3-Dセキュア）に登録しておく

blancにご相談いただく場合

決済代行会社から届いた注意や警告のメールを見て、何をすればよいか分からないときは、メールを拝見し、急いで対策が要るか、誰の管理範囲（サーバー会社・サイト側）かを書面でお伝えできます。料金は料金表のとおりです。

対策の作業が要る場合は、内容を伺ってお見積りします。EMV 3-Dセキュアの利用の申し込みや、決済代行会社の管理画面での設定は、まず契約先の決済代行会社にご確認ください。

これからネットショップを始める場合の選び方は「ホームページで商品を売りたい」で、サイトが書き換えられた・乗っ取られた場合の対処は「ホームページが改ざんされた・乗っ取られた」でご説明しています。

よくある質問

まとめ

クレジットマスター攻撃は、カード番号を機械的に作り、ネットショップの決済やカード登録の画面で「使える番号か」を試す手口です。狙われたショップは、カード情報を盗まれていなくても、決済の停止や承認率の低下、手数料の負担といった被害を受けます。

対策は、業界のガイドラインに沿って、EMV 3-Dセキュアに加え、アクセスや回数の制限、Bot対策、エラー表示の制限などを重ねることです。決済画面だけでなく、会員登録やマイページのカード登録画面まで、入口を1か所ずつ確かめてください。オーソリエラーの急増など兆候に気づいたら、まず決済代行会社に連絡し、不審なアクセスと会員を止めることが初動になります。