フィッシングメールから偽サイトを開き、クレジットカード番号・有効期限・セキュリティコードなどを入力してしまった場合、「ワンタイムパスワード（OTP）は入力していないから大丈夫」と考えたくなるかもしれません。
しかし、カード番号などをフィッシングサイトへ入力した時点で、そのカード情報は第三者に取得された可能性があるものとして対応するのが安全です。ワンタイムパスワードを入力しなかったことは重要ですが、それだけを理由にカードをそのまま使い続けてよいとは判断できません。
日本クレジット協会も、フィッシングサイトに情報を入力してしまった場合は保有するクレジットカード会社へ連絡するよう案内しています。ここでは、ワンタイムパスワードを入力する前に気付いたケースを中心に、カード会社への連絡、利用停止・再発行、不正利用の確認など、優先して行いたい対処を解説します。[参照] 日本クレジット協会
カード番号とセキュリティコードを入力したならカード会社へ連絡する
最優先で行いたいのは、カード発行会社への連絡です。カード番号、有効期限、セキュリティコードなどを偽サイトへ入力したのであれば、実際の請求がまだ発生していなくても連絡する意味があります。
経済産業省の消費者向け資料でも、偽サイトへカード番号を入力してしまった場合には、カード会社へすぐ連絡してカードの利用を止めるよう案内されています。[参照] 消費者庁掲載・経済産業省資料
連絡先は、フィッシングメールに記載された電話番号やURLを使ってはいけません。手元のカード裏面、カード会社の公式アプリ、普段利用している公式サイトなどから正規の問い合わせ窓口を確認します。
ワンタイムパスワードを入力しなければ決済されないとは限らない
ワンタイムパスワードは、インターネット上でカードを利用するときの本人認証を強化する仕組みです。現在はEMV 3-Dセキュアによる本人認証で、取引の状況によってワンタイムパスワードなどを使った追加認証が行われることがあります。
重要なのは、すべてのカード決済で毎回ワンタイムパスワードの入力が要求されるわけではないという点です。日本クレジット協会も、カード利用のたびに必ずワンタイムパスワードが必要になるわけではないと説明しています。[参照] 日本クレジット協会「本人認証サービスについて知ろう！」
つまり、偽サイト上で表示された今回の決済についてはOTP未入力で成立しなかったとしても、盗まれたカード情報が別の加盟店や別の方法で試される可能性までは否定できません。「OTPを渡していない＝カード情報を盗まれていない」という意味ではないため、カード会社への連絡が必要です。
カード会社には何を伝えればいい？
カード会社へ連絡するときは、「フィッシングサイトと思われるページにカード情報を入力した」と最初にはっきり伝えます。
そのうえで、入力した情報を整理して説明します。例えば「カード番号・有効期限・セキュリティコードを入力したが、ワンタイムパスワードの画面で不審に思い、OTPは入力していない」という形です。
カード会社が状況を確認し、必要に応じてカードの利用停止や再発行などを案内します。自分で「請求されていないから問題ない」と判断して放置するより、カード会社側に情報漏えいの可能性を伝えて指示を受けるほうが安全です。
カードを停止・再発行すると何が変わる？
カード会社の判断で現在のカードを無効化し、新しい番号のカードを再発行する対応になる場合があります。カード番号そのものが第三者に知られた可能性がある以上、単にWebサービスのパスワードを変更しても、漏えいしたカード番号を元に戻すことはできないためです。
再発行によってカード番号が変更された場合、古い番号で登録していたネットショップや各種サービスについて、新しいカードへの変更が必要になることがあります。公共料金、携帯電話、動画配信サービス、通販サイトなど、継続的な支払いに利用しているサービスを確認しておきましょう。
ただし、実際に利用停止や再発行が必要か、継続課金がどのように扱われるかはカード会社によって異なります。カード会社から案内された手順を優先してください。
利用明細は今後もしばらく確認する
カード会社へ連絡した後も、利用明細や利用通知を確認します。消費者庁も、クレジットカードの利用明細を日頃から確認し、身に覚えのない請求があった場合にはすぐカード会社へ連絡するよう注意喚起しています。[参照] 消費者庁「クレジットカードの不正利用にご注意ください！」
例えば、数十円・数百円程度の知らない決済だからといって「少額なので自分が忘れているだけ」と決めつけないことが大切です。利用先名が実際の店舗名と異なる場合もあるため、分からない明細があればカード会社へ確認します。
カード会社の利用通知サービスが利用できる場合は有効にしておくと、不審な決済を早い段階で把握しやすくなります。日本クレジット協会も、不正利用対策として本人認証サービス、不正検知システム、利用通知サービスなどを紹介しています。[参照] 日本クレジット協会
カード以外の情報も入力した場合は追加対応が必要
フィッシングサイトでカード情報だけでなく、メールアドレス、電話番号、氏名、住所、通販サイトなどのID・パスワードを入力していないかも思い出してください。
もしパスワードを入力し、そのパスワードをほかのサービスでも使い回しているなら、正規サイトへ自分でアクセスしてパスワードを変更します。同じパスワードを利用しているほかの重要なサービスについても変更し、可能なら多要素認証を設定します。
また、フィッシング被害後には「カードが不正利用されています」「本人確認が必要です」といった別のメールやSMSが届く可能性もあります。新たに届いたメッセージ内のURLから手続きをせず、カード会社やサービスの公式アプリ・公式サイトから確認する習慣が重要です。
ワンタイムパスワードは絶対に第三者へ伝えない
ワンタイムパスワード入力直前にフィッシングだと気付いたのであれば、そこで入力を止めた判断は重要です。その後、同じ取引についてSMSなどでOTPが届いても入力したり、誰かへ伝えたりしないでください。
日本クレジット協会によると、本人認証サービスはオンライン決済時にその取引が本人によるものかを判定するために利用され、必要に応じて一度限り有効なワンタイムパスワードが発行されます。[参照] 日本クレジット協会
身に覚えのない買い物についてワンタイムパスワードが届いた場合も、不正利用を試されている可能性があります。そのような場合は認証せず、カード会社へ連絡します。
フィッシングメールは削除前に必要な情報を記録しておく
カード会社などへ相談するときのために、受信したメールやSMS、送信元、受信日時、アクセスしたURLなどを記録しておくと状況を説明しやすくなります。スクリーンショットを保存しておく方法もあります。
ただし、証拠を残すために偽サイトへ再度アクセスする必要はありません。フィッシングサイトが残っていても、もう一度カード番号を入力したり、ファイルやアプリをダウンロードしたりしないでください。
対応に迷う場合には、消費者ホットライン「188」を利用して最寄りの消費生活相談窓口へ相談する方法もあります。消費者庁もフィッシング被害などについてカード会社や消費生活相談窓口への相談を案内しています。[参照] 消費者庁
まとめ：OTP未入力でもカード番号を渡した時点でカード会社へ連絡する
フィッシングサイトにカード番号・有効期限・セキュリティコードを入力し、ワンタイムパスワードは入力しなかった場合でも、カード情報そのものが第三者へ渡った可能性があります。
「OTPを入力していないから決済されないはず」と様子を見るのではなく、カード会社の正規窓口へ速やかに連絡し、フィッシングサイトへカード情報を入力したことを伝えるのが重要です。カード会社の判断に従い、必要なら利用停止・再発行の手続きを行います。
その後も利用明細と利用通知を確認し、身に覚えのない取引があればすぐカード会社へ連絡します。パスワードなどカード以外の情報も入力していた場合は、正規サイトからパスワード変更や多要素認証の設定も行いましょう。
コメント