PayPay（ペイペイ）の不正使用から考えるコード決済各社の不正使用対策

PayPay（ペイペイ）の100億円キャンペーンにより一気に注目をあびたコード決済。

しかし、その後のPayPay（ペイペイ）での不正使用多発により、コード決済について悪い印象を与えてしまっているので今後のキャッシュレスの拡大に水をさすのではないかと危惧しております。

コード決済をはじめとしたキャッシュレス化の流れについては乗るか乗らないかは個人の自由だと思いますが、仕組みやおきたことをきちんと理解していないと何かおきた時に冷静な対処ができなくなってしまいますので知っておいて欲しいことは沢山あります。

例えばPayPay（ペイペイ）の不正使用については、何が問題で、たてられた対策は適切なのか？
不正使用が怖いからPayPayアプリはアンインストールしたという話を聞いたりしますが、今回のケースであればそんなことをしても不正使用はされてしまう可能性があります。

何が問題なのか、少しでもわかるように解説できればと思います。

コード決済による不正使用の種類

コード決済全般に言えますが、不正使用には以下のようにいくつか種類があります。
気づくタイミングとしてはクレジットカード会社からの連絡か、クレジットカードの利用明細に覚えのないものが会った時が多いでしょう。

本人の端末を他人に使われる

考えられる一つ目は、スマホを落としたりすることで自分のスマホに設定しているコード決済アプリを他人に使われるというものです。

ただし、基本的にはみなさんスマホには生体認証や暗証番号を設定していると思いますので、赤の他人がスマホを拾って悪用をしようと思っても最初の端末（スマホ）の認証を突破できずに利用できないのではないでしょうか。

スマホの認証を突破できる可能性がある人間の可能性として、家族に利用されてしまうというケースはあります。それは自分の子供だったり、兄弟だったり親だったり、暗証番号を知りうる可能性が他人よりも高いです。

他人にクレジットカード情報を登録される

次に考えられるのが、他人のクレジットカード情報を悪意を持ってコード決済の支払い用クレジットカードに登録して利用されるものです。
こちらが今回、PayPay（ペイペイ）にて被害が広がったものです。

他人（家族もあり）がコード決済アプリをインストールし、支払いに利用する際に設定をできるクレジットカード情報を他人のものを設定して、店舗で利用されてしまうものです。

こちらについては、いくら自分がアプリを入れていなくても他人が勝手に他の端末で設定をしてしまうのでクレジットカード情報が人の手に渡ってしまっていたら防ぎようがないものです。

クレジットカード番号が利用されるので通常はインターネットでの悪用に利用されことが多いですが、他人のカードを設定するハードルがかなり低く、換金性の高いものを購入できる店舗が加盟したPayPay（ペイペイ）が狙われてしまったのです。

ちなみに、LINE Pay（ラインペイ）についてはクレジットカードでの支払いがないのでLINE Pay（ラインペイ）に登録されることはないです。

では、なぜPayPay（ペイペイ）だけ？ということについてはコード決済の各社の登録方法を以下で比較してみるとわかります。

コード決済別のクレジットカード登録比較

コード決済の種類もかなり増えてきていますが、今回は私が勝手に代表的なと考えるコード決済にて比較したいと思います。

以下の５つを比較してみます。

・PayPay（ペイペイ）

・楽天ペイ（Rpay）

・OrigamiPay（オリガミペイ ）

・ｄ払い

・LINE Pay（ラインペイ）

利用する際の本人認証

コード決済のアプリで支払いをする際の本人認証の方法について比較します。

アプリ起動時に確認

認証方法の一つ目はアプリの起動時に本人認証をするパターンです。
以下の二つがアプリ起動時のコード決済です。
・PayPay（ペイペイ）
・ｄ払い

決済前に確認

もう一つの認証方法として、お店で決済をする前にその都度本人認証をするパターンです。
こちらは以下の三つが実際にお店で支払いをする前に本人認証をするコード決済です。
・楽天ペイ（Rpay）
・OrigamiPay（オリガミペイ ）
・LINE Pay（ラインペイ）

いづれにしてもタイミングは異なるにせよ、アプリの本人認証機能は各社備わっております。基本的には端末の認証方法をそのまま利用するといったものなので、生体認証を設定していれば使われることはないでしょう

また、OrigamiPayとLINE Payは本人認証必須ですが、他のPayPay（ペイペイ）、楽天ペイ、ｄ払いは自分で設定する必要がありますので心配であれば設定をしておきましよう

クレジットカード登録の入力項目

問題なのはこちら。
コード決済に利用するクレジットカードの登録画面についての違いについて比較します。

PayPay（ペイペイ）

まずは話題のPayPay（ペイペイ）です。

クレジットカードの登録画面は以下の通り。

入力項目は、
「クレジットカード番号」
「有効期限」
「セキュリティーコード」
以上の3項目です。

基本的にはセキュリティコードがあるのでそこでブロックとも考えられるのですが、そもそもセキュリティコードごと漏洩している場合にはなんの役にもたちません。一つの考えとしてセキュリティコードを何回も入れさせることで一致させたとの懸念があり、対策としてセキュリティコードを複数回間違えるとブロックがかかるように改善はされました。

しかし、それでは不十分だと思います。というのもカード名義の入力項目がなく、本人との一致を確認しない状況であればセキュリティコードごと情報が漏れてしまっていた場合には防ぐことができません。

また、PayPay（ペイペイ）だと本人の氏名を確認していないので、本人認証という機能が不十分です。
お店でも3万円以上の利用だと本人確認をするルールになっていますが、一体何と確認するのかが疑問です。

楽天ペイ（Rpay）

楽天ペイでのクレジットカード登録画面は以下の通り。

入力項目は、
「クレジットカード番号」
「有効期限」
「カード名義人」
「セキュリティコード」※別画面
以上の4項目です。

セキュリティコードについては登録時点では入力項目がないですが、実際にメインカードとしてアプリ内で設定しようとすると入力画面が表示されます。↓こんな感じで

OrigamiPay（オリガミペイ ）

OrigamiPay（オリガミペイ）でのクレジットカード登録画面は以下の通り。

入力項目は、
「クレジットカード番号」
「有効期限」
「セキュリティコード」
「カード名義人」
以上の4項目です。

PayPay（ペイペイ）や楽天ペイと違い、クレジットカード上の全ての入力項目が揃っています。OrigamiPayも別名義のカードを設定することはできないですが、本人情報としてはfacebookでの登録が可能ですので、ちょっと不安が残るところです。

ｄ払い

ｄ払いでのクレジットカード登録画面は以下の通り。

入力項目は、
「クレジットカード番号」
「有効期限」
「セキュリティコード」
以上の3項目です。

このままだとPayPay（ペイペイ）ばりに危ない支払いかと思うのですが、注意書きに「３Dセキュア」という言葉があります。

カードの設定自体は3項目で簡単に設定できますが、実際に使うカードに設定しようとすると以下の本人認証サービス「３Dセキュア」の認証が必要になります。
３DセキュアはVISA、Mastercard、JCB、AMEX 4ブランド共通の世界的な本人認証で、各社のポータルサイトのIDが連動されて、そのパスワードを入れることで本人認証がされます。

これがあればまず第三者が勝手に設定することはできません。

ちなみに３Dセキュアに対応していないカードは登録はできるのですが、支払いカードに設定しようとすると、以下のようなメッセージが出てきて設定ができません。

クレジットカードが設定できるアプリではｄ払いがもっともセキュリティが高いです。

LINE Pay（ラインペイ）

最後にLINE Pay（ラインペイ）ですが、こちらについてはクレジットカードの設定が許容されておらず、支払いは銀行からの引き落としかコンビニなどでのチャージです。
なのでクレジットカードがLINE Pay（ラインペイ）で悪用されることはないです。

まとめ

自分の端末を無くして悪用をされるケースについては各社対応はしているのであまり発生はしないと考えられます。

コード決済において、他人のクレジットカードが登録されて使われてしまう可能性が高いものとしてはやはり「PayPay」のリスクが一番高いです。他のコード決済と比べてもPayPayの入力項目が少ないですからね。
PayPayは不正登録対策としてセキュリティコードを複数間違えると入力ができないようになるようですが、それはクレジットカード会社もモニタリングはしているはずですから、やはり名義の確認をすることが必要なのでは？と考えられます。
名義を確認していないのは「ｄ払い」も同じですが、「ｄ払い」は３Dセキュアを導入しているので本人確認はそちらで十分でしょう。

また、PayPayがこれほどまでに不正利用の温床となってしまった理由については簡単にクレジットカード情報を登録できてしまったことに加えて、100億円キャンペーンでPayPayでの利用が激増したことにあると考えられます。クレジットカード会社も日々モニタリングをしていますがPayPayでの高額利用（家電量販店）が本人が利用しているケースが急増したことで不正利用と見抜きにくくなっていたのだと考えられます。

悪用しやすい仕組みと、換金性の高い商品がたくさん買える悪用しやすい環境がかけ合わさっての不正利用の拡大となったのでしょう。

これについては楽天ペイやOrigamiPayには換金性の高い商品買える店が加盟店でないために悪用がされていないとも考えられます。

各社クレジットカード登録時の本人確認については厳重にして欲しいですね。できれがｄ払いのように３Dセキュアがあるのが望ましいのではないでしょうか。

ちなみに、自分の端末で悪用されたのか、他人の端末で設定されたのかの確認方法は自分の端末での利用履歴を確認して、履歴にあれば当然ながらその端末が使われています。クレジットカードの利用と履歴に乖離があればクレジットカード情報が不正使用された可能性が高いです。あとはアプリすら入れていなければ悪用は明白ですね。

クレジットカードを持っているのであれば定期的な確認はする必要があるでしょう。一つ一つ確認するのは手間なので、私は一括で管理ができるマネーフォワードを利用しています。何らかの手段にて定期的に確認することをお勧めしますし、使わないクレジットカードは解約をしておくこともお勧めします。