チャージバックとは？発生するパターンや事業者が行うべき対策を解説

チャージバックとは、クレジットカード会社に決済取引を求める手続きを指します。たとえば以下のような場合に、ユーザーはチャージバックを申し立てることが可能です。

• ネットショップで購入したが商品が届かない
• 購入した商品やサービスが想定と違う
• クレジットカードを第三者に使われていた（不正利用）

チャージバック=不正利用と勘違いしている人も多いですが、実際は、不正利用が起きたときの対処手続きをチャージバックと呼びます。

チャージバックを求められたカード会社は、必要に応じて取引を取り消します。チャージバックが承認されれば、ユーザーは料金を支払う必要がなくなります。

チャージバックはカード利用者を守るための制度です。しかしながら、チャージバックが発生した場合、ネットショップや実店舗などの加盟店側が不利益を被る可能性があります。そのため、加盟店はチャージバックの対策を立てる必要があります。

チャージバックが発生したときの流れ

チャージバックの流れを簡単にまとめました。基本的には、ネットショップでカードを不正利用された場合を想定しています。

1. ユーザーが、カード会社にチャージバックを申し立てる
2. カード会社が、チャージバックの承認／非承認の判定を行う
3. カード会社が、加盟店にチャージバックの通知を行う
4. 加盟店が、チャージバックの承認／非承認の判定を行う
5. カード会社が、売上の取り消しを行う（承認する場合）
6. 加盟店が、カード会社に売上の返金を行う

不正利用ではなく、「商品の返品がしたい」という場合のチャージバックなら、加盟店はこの後にユーザーに商品の返品を求める必要があります。

不正利用の場合、商品を不正に購入した犯人から返品してもらうことは難しいでしょう。返品されないにも関わらず売上取消になるため、加盟店側が損してしまうことになるのです。

クレジットカード不正利用被害額は年々増加している

クレジットカードの不正利用被害額は年々増加しており、加盟店側は対策を講じる必要性が強くなっています。日本クレジットカード協会が公表している資料によると、年ごとの不正利用被害額は次のようになっています。

• 2023年：540.9億円
• 2022年：436.7億円
• 2021年：330.1億円
• 2020年：253.0億円
• 2019年：274.1億円
• 2018年：235.4億円

参考：クレジットカード不正利用被害の発生状況

クレジットカードの不正利用が行われるパターンとして次の3つが挙げられます。

• クレジットカードの盗難・紛失
• クレジットカード情報の漏えい
• クレジットマスター

1つ1つのパターンについて詳しく解説していきます。

クレジットカードの盗難・紛失

クレジットカード本体を盗まれてしまい、不正利用されてしまうことは多くあります。カバンを置き忘れたり、ロッカー荒らしや車上荒らしの被害に遭ったりするパターンです。

カード本体を盗んでも暗証番号は分かりません。ただ、暗証番号が分からなくても、決済できるネットショップ・実店舗は多くあります。

カード本体を紛失した場合は、すぐにカード会社に連絡し利用を停止してもらう必要があります。

クレジットカード情報の漏えい

クレジットカード情報は次のようなことが原因で漏えいする場合があります。

• スキミング
• フィッシング詐欺
• ウイルスソフト

スキミングとは、スキマーと呼ばれる特殊端末をATMなどに付けることで、カード情報を盗み取る手口を指します。

フィッシング詐欺は、偽物のWebサイトを作ってカード情報を入力させる手口です。偽物のWebサイトには偽物のメールやSMSから誘導することが多いです。

また、パソコンやスマホにウイルスソフトを忍び込ませて、カード情報を盗む手口もあります。

このようにクレジットカード本体を盗まなくても、カード情報を取得する手段は多くあります。カードを持ち歩かない場合でも、被害に遭う可能性は十分にあるということです。

クレジットカード情報の漏えい

クレジットカードマスターとは、カード番号の規則性を利用して他人のカード番号を割り出す手口を指します。

ネットショップなどのカードを入力するWebサービスに、何万件ものカード情報を入力し、決済できるか確かめていきます。この作業はクレジットカードマスターアタックと呼ばれており、ターゲットにされたサイトはサーバーダウンなどの被害に遭う可能性もあります。

カード番号は14～16桁の数字ですが、最初の6桁はカード発行会社を識別するためのBINコードであり、こちらは公開情報となっています。その後は7～9桁の数字は「ISO/IEC 7812」と呼ばれる規格によって作成されており、割り出すことは不可能ではありません。

2000年代から存在する手口ですが、現時点で完全な防止策がありません。また、近年は件数が増加しています。

ネットショップ事業者は、チャージバック対策だけでなく、クレジットマスターアタックの対策も立てる必要があります。

ネットショップ事業者が不正利用によるチャージバック対策を行うべき理由は次の2つです。

• 売上取消を防ぐための
• ユーザーからの信頼を高めるため

1つ1つの理由について詳しく解説していきます。

売上取消を防ぐため

不正利用によるチャージバックが発生すると、ネットショップ事業者はその分の売上を回収できなくなります。

ユーザーがチャージバックを申し立てると、カード会社は加盟店に売上の返金を求めます。加盟店契約違反になってしまうので、返金は必ず行う必要があります。

「届いた商品が違う」「商品に納得いかない」といった理由でのチャージバックの場合は、ユーザーに返品を求められます。しかし不正利用の場合は、返品を求めようがありません。事業者が損をしないためには、チャージバック件数を減らすしかないということです。

ユーザーからの信頼を高めるため

カードの不正利用が行われた場合、ユーザーは「ネットショップのせいで不正利用された」と考えてしまう可能性があります。

実際はネットショップ事業者には非がなかったとしても、仕組みを理解していないユーザーはネットショップが悪いと思い、今後サイトを使わなくなってしまうかもしれません。

また、不正利用があったことを知った他のユーザーからの信頼も失ってしまう場合があります。信頼を失わないためにも、チャージバック対策が必要ということです。

チャージバックをなるべく発生させないためには、クレジットカードセキュリティガイドラインが求める次の4方策の導入が必要です。

• 本人認証（EMV3-Dセキュア）
• 券面認証（セキュティコード）
• 属性・行動分析（不正検知システム）
• 配送先情報

1つ1つの対策について詳しく見ていきましょう。

参考：クレジットカード・セキュリティガイドライン【4.0 版】

本人認証（EMV3-D セキュア）

3Dセキュアとはカード決済を行う際の本人認証を指します。3Dセキュアが導入されたネットショップで購入する場合、カード情報を入力した後に専用パスワードの入力が必要です。このパスワードを知らなければ、不正利用できないという仕組みです。

現在は、3Dセキュア 1.0ではなく、EMV3-D セキュア（3Dセキュア 2.0）が主流です。3Dセキュア 1.0はサポートが終了しているので、こちらに乗り換える必要があります。

3Dセキュア 2.0では、ワンタイムパスワードによる認証に対応しており、不正利用を更に防ぎやすくなっています。また、不正利用の可能性が高い場合のみ認証を行う仕組みになっており、ユーザー購入時の手間を省くことができ、カゴ落ち対策に繋がります。

券面認証（セキュティコード）

セキュティコードとは、カード本体の裏面などに記載された3～4桁の番号を指します。ネットショップによっては、カード情報だけでなく、セキュリティコードも入力しないと決済できない仕組みになっています。

セキュリティコードを入力させることは、スキミング対策にはなります。スキマーでは、裏面に記載されたセキュリティコードを読み取ることができないためです。

ただし、フィッシング詐欺などの対策としては不十分と言えます。偽物のWebサイトにセキュリティコードも入力させれば、容易に取得できてしまうためです。

したがってネットショップ事業者は、券面認証（セキュリティコード）だけでなく、他の対策も講じる必要があります。

属性・行動分析（不正検知システム）

不正検知システムとは、過去の取引履歴やIPアドレスなどを確認し、取引のリスク評価を行うシステムを指します。たとえば、「ASUKA」などのシステムがあります。「ASUKA」では独自のアルゴリズムをベースに、不正検知を行っています。

不正検知システムはチャージバック対策だけでなく、クレジットマスターアタック対策にもなります。カード情報を割り出すために何万件ものアクセスを送ってくるIPをブロックできます。

配送先情報

過去に不正利用された注文の商品の配送先情報を蓄積することで、不正利用された際に、商品の配送を事前に止められる可能性があります。配送を止められれば、チャージバックが発生しても、加盟店側が損をすることがありません。

大手のネットショップでは独自のデータベースを運用しています。また、複数のカード会社が共同で運用しているサービスもあります。

規模の小さいネットショップが自社で配送先情報を蓄積するのは難しいので、他の会社が提供するサービスを使うのが現実的です。

ペイジェントはNTTデータと三菱UFJニコスが出資している決済代行会社です。クレジットカードやネットバンキング、キャリア決済など多くの決済に対応しています。

ペイジェントではカード決済の不正利用対策の強化を行っています。

ペイジェントはEMV3-Dセキュア（3Dセキュア 2.0）の導入をサポートします。3Dセキュア 1.0はすでにサポート終了しているので乗り換える必要があります。

また、ペイジェントでは「ASUKA」が提供する不正検知システムおよびチャージバック保証サービスのご案内をしております。

更に、クレジットカードマスター対策として、アラート機能を用意しています。外部から攻撃があった際に、休日・夜間問わずEメールを送る機能であり、これによってすぐ攻撃に気がつくことが可能です。

『ペイジェント』に興味のある方は、以下の窓口からお気軽にお問い合わせください。サービス内容に関するどんな小さなことにも、スタッフが丁寧に回答させて頂きます。

お問い合わせへ

本記事ではチャージバックとは何かについて解説しました。チャージバックの対策方法がお分かりいただけたかと思います。

不正利用によるチャージバックが発生すると、ネットショップ事業者は売上を損してしまうことになるので、必ず対策を立てる必要があります。

本記事で紹介した、EMV3-D セキュア（3Dセキュア 2.0）や不正検知システムなどの対策を導入したい方は、ぜひペイジェントにご相談ください。ネットショップを始めて運営する方に対しても、分かりやすくチャージバック対策についてご案内いたします。