IT用語集 2024/11/11

スキミングとは？ 10分でわかりやすく解説

コラム

クレジットカード不正利用の話題で、いまも繰り返し登場するのが「スキミング」です。スキミングは“カード情報を盗む手口の一つ”ですが、カードの方式（磁気／IC／タッチ決済）や利用シーン（対面／非対面）によって、起き方も、効く対策も変わります。

この記事では、スキミングの定義から典型的な手口、盗まれた情報が悪用される流れ、そして店舗・企業側が現場で実装できる対策と、被害発生時の初動までを整理します。読み終えるころには、「自社はどこが狙われやすく、何から優先して手当てするべきか」を判断できるようになります。

スキミングとは何か

スキミングの定義

スキミングとは、クレジットカード等のカード情報を不正に読み取り、第三者が悪用できる形で持ち出す行為を指します。一般に「磁気ストライプ（磁気テープ部）から情報を抜き取る」意味で使われることが多いですが、現場では「決済端末まわりの改ざん・盗撮・情報窃取」を広く含めて語られることもあります。

なぜ“磁気ストライプ”が狙われやすいのか

磁気ストライプには、カード番号などの情報が一定の形式で記録されています。攻撃者にとっては、読み取りさえできれば「偽造カードを作る」「磁気取引として不正利用する」など、悪用に直結しやすい点が問題になります。

一方で、近年はIC（EMV）対応が進み、磁気スキミングだけで“どこでも”不正利用できるわけではありません。だからこそ、攻撃者は「磁気が通りやすい環境」や「暗証番号・署名・本人確認が甘い場面」、あるいは「カード情報を別経路で盗む」方向に手口を寄せてきます。スキミング対策は、カード方式の理解とセットで考える必要があります。

スキミングの代表的な手口

ATM・発券機などへの“取り付け型”スキミング

典型例は、ATMや自動精算機などのカード挿入口周辺に、偽の読み取り機器を上から被せるように取り付ける手口です。見た目が自然で、利用者が気づきにくいよう作られることがあります。

さらに、カード情報だけでは不正利用が成立しにくい場合でも、暗証番号（PIN）を盗むために小型カメラや覗き見用の細工を併用するケースがあります。つまり「カードを読まれる」だけでなく、「暗証番号まで抜かれる」前提で警戒する必要があります。

“シマー”など挿入型デバイスによる窃取

外付けの被せ物に加え、カード挿入口の内部に薄いデバイスを差し込むタイプも知られています。外観の変化が小さく、点検が形だけだと見逃されやすい点が厄介です。利用者側の目視だけで防ぎ切れないため、設置者（金融機関・店舗）の点検と監視が重要になります。

店舗での不正読取・内部不正

カードを預かったタイミングで、店員や関係者が携帯型の読み取り機器で情報を抜き取る、あるいは伝票・画面表示・控えを撮影するなど、内部関与の形で発生することがあります。内部不正は「物理対策だけでは止まらない」ため、運用設計と監査が効きます。

偽サイト・フィッシングとの“混同”に注意

スキミングの文脈で「偽サイトに入力させる」と説明されることがありますが、これは厳密にはフィッシング（詐欺）です。ただ、現実の被害対応では「カード情報が盗まれる」という結果は同じになりやすく、利用者から見ると区別がつきにくいのも事実です。企業側は用語を正確に理解しつつ、対策は“カード情報が漏れる経路を潰す”観点で整理すると判断がぶれません。

盗まれたカード情報はどう悪用されるか

悪用の流れ（全体像）

スキミングの被害は、読み取りの瞬間だけで終わりません。一般に、次のような流れで被害が広がります。

カード情報（磁気データ／カード番号など）の窃取
攻撃者側での集約（無線送信、記録媒体の回収、内部持ち出し等）
不正利用（偽造カードによる対面取引、オンラインでの不正決済、換金性の高い商品の購入など）
被害の顕在化（チャージバック、顧客からの申告、監視システムの検知）

“磁気データ”が使われる場面と限界

IC決済が基本の環境では、磁気データだけで不正利用が成立しにくいケースがあります。ただし、海外や一部の環境では磁気取引（フォールバック）が残っていたり、本人確認が甘い場面が存在したりします。結果として「スキミング自体は古い手口だが、成立する余地がまだ残る」という状況になりやすいのが現実です。

企業・店舗にとってのリスク

金銭的損失だけで終わらない

スキミングの被害は、不正利用額そのものに加えて、調査・対応・顧客対応・再発防止のコストが発生します。さらに、決済の信頼は売上に直結するため、「疑われただけで痛い」という側面があります。

信用・ブランド毀損

店舗端末の改ざんや管理不備が疑われると、顧客は「この店でカードを使うのが怖い」と感じます。これは、短期の売上だけでなく、会員・リピーター・口コミにも影響します。被害の大小よりも、説明の透明性と再発防止の説得力が問われます。

コンプライアンスと監査対応

カード情報を扱う事業者は、カード情報保護の枠組み（業界基準、契約要件、社内規程）に沿った管理が求められます。ここで重要なのは、技術対策だけでなく、端末の管理・点検・教育・記録といった運用の証跡が揃っているかです。監査は「やっているつもり」を通しにくいため、実務として回る設計が必要になります。

スキミング対策とセキュリティ強化

物理対策：端末を“触らせない・気づける”状態にする

端末の設置環境を固定化し、勝手に触れない導線にする（死角を作らない）
日次・週次の点検手順を作り、担当とチェック項目を固定する（属人化しない）
封印シール・改ざん検知の活用（剥がれ・ズレが即わかる運用）
防犯カメラは「撮る」だけでなく、異常時に見返せる保管・運用までセットで設計する

ポイントは、対策を“置く”だけでは足りず、点検で異常を検出できる仕組みになっていることです。

システム対策：不正利用・異常を早く検知する

不正検知（Fraud Detection）：通常と異なる購買パターン、急な連続決済、地域の不自然さを検知する
レート制限・監視：決済まわりのAPIや管理画面への不審アクセスを監視する
ログの保全：調査の起点になるログを、改ざんされにくい形で保持する
脆弱性管理：端末や周辺システムの更新・設定不備を放置しない

スキミングは物理起点でも、被害の拡大はシステム上で起きます。だからこそ、検知と初動の速さが被害規模を左右します。

運用対策：内部不正・うっかりを減らす

端末取り扱いの権限設計（触れる人を最小化し、変更は記録する）
従業員教育（手口の共有、怪しい状況の具体例、報告の心理的ハードルを下げる）
インシデント連絡網（現場→管理者→セキュリティ担当へ、迷わずエスカレーションできる形）
抜き打ち点検・監査（「やっている前提」を崩し、形骸化を防ぐ）

顧客向けの注意喚起：やりすぎないが、要点は伝える

顧客に丸投げするのは逆効果になりがちですが、最低限の注意喚起は被害抑止になります。たとえばATMなら「挿入口の不自然さ」「暗証番号入力時の手元カバー」、店舗なら「カードを預けない運用」「明細・通知の確認」など、行動に落ちる形で案内します。

スキミング被害が疑われたときの対応手順

初動で優先すべきこと

端末・現場の保全（触らない、写真・映像で記録、関係者以外を近づけない）
影響範囲の仮説立て（いつから・どの端末・どの時間帯・どの店舗か）
関係先への連絡（決済代行／カード会社／端末ベンダー／社内CSIRT等）
顧客対応の準備（事実確認前の断定を避けつつ、問い合わせ導線を整備）

調査と再発防止は“同時進行”で設計する

調査が長引くほど被害が広がる可能性があります。原因究明を待ってから手を打つのではなく、暫定対策（対象端末の停止、点検強化、監視強化）を先に入れ、並行して根本対策（設置環境の見直し、点検手順の再設計、教育・監査）に落とし込みます。

まとめ

スキミングは、カード情報を不正に読み取って悪用する手口であり、古典的でありながら、条件が揃うといまも成立します。重要なのは「物理」「システム」「運用」を分けて考え、現場で回る対策として実装することです。端末の点検や改ざん検知、監視とログ保全、権限設計と教育、そして被害時の初動手順までを整備することで、被害の発生確率と拡大を現実的に下げられます。