Blog
クレジットカードの不正利用被害額が、2025 年に前年を下回りました。2025 年通年で 510.5 億円、前年比 8.0% 減。増え続けた被害が 5 年ぶりに減少に転じ、2026 年に入っても 1 月から 6 月の上半期で 221.3 億円と、四半期ベースで頭打ちの兆しが見えています※1。決済まわりの防御が、ようやく効き始めた。そう読みたくなる数字です。
ところが同じ時期、フィッシングの報告件数も、コード決済の返金詐欺の相談件数も、そろって過去最多を更新しました。片方が減り、片方が最多。この一見ちぐはぐな二つの数字は、実は同じことを別の角度から映しています。不正は消えたのではなく、場所を移した。本稿は、その「移動」を数字で追い、最後にあなたの店頭にまだ空いている口がないかを点検します。
防御は、確かに効く
まず、明るい側から。決済の防御が本当に効くことは、二つの実例が証明しています。
一つは、20 年前から続くカードの物語です。日本がカードを IC チップ化していく過程で、偽造カードによる被害は 2003 年の 164.4 億円から 2025 年の 7.2 億円へと、ほぼ消滅しました※1。カードを物理的に複製する手口は、IC 化という防御の前に割に合わなくなった。口を一つ、確かに塞いだのです。
もう一つは、つい最近の出来事です。2025 年、証券口座の乗っ取りによる不正取引が急増し、社会問題になりました。これを受けて証券各社が本人認証を多要素認証やパスキーへと切り替えたところ、被害は劇的に収まります。金融庁の集計では、2025 年 4 月をピークに月次の不正取引は大きく減り、2026 年 7 月には月間 1 件と、統計開始以来の最少になりました※2。認証を固めれば、被害は止められる。これも実証されています。
つまり、「防御は無力だ」という話ではありません。塞いだ口は、ちゃんと塞がる。問題は、その先にあります。
でも、不正は消えていない
塞がれた口の隣で、別の口が膨らんでいます。
不正利用被害の中身を見ると、9 割超はいまも「番号盗用」です。カードそのものではなく、カード番号やパスワードといった情報を盗んで、非対面で使う手口。2026 年上半期の被害 221.3 億円のうち、番号盗用が 206.1 億円、実に 93% を占めます※1。偽造カードが消えても、情報を盗む入口はまったく塞がっていない。それどころか、偽造カード被害は 2025 年に前年比 22% 増と、むしろ増えています※1。「被害額が減った」の内訳は、番号盗用を決済段階の防御でかろうじて抑え込んだだけで、盗む側の勢いが衰えたわけではないのです。
その勢いは、数字にはっきり出ています。
表 1 塞がれた口と、膨らんだ口
フィッシングの報告は 2025 年に 245 万件と過去最多を記録し、前年の約 1.4 倍に膨らみました※3。盗む入口が、これだけ広がっている。盗まれた情報は、カードの非対面利用に流れるだけでなく、ネットバンキングの不正送金へ、コード決済の返金詐欺へと横に広がります。とくにコード決済の「返金詐欺」は、2025 年度に相談 5,107 件と過去最多で、統計を取り始めた 2023 年度の約 2.2 倍です※4。欠品などを口実に、利用者自身にコードを読ませたり数字を入力させたりして送金させる手口で、カード番号を盗む従来型とは別の仕組み。防御が固い決済段階を避けて、人の操作そのものを狙いにきています。
ここまでを一枚にすると、こうなります。決済段階を固めると、被害額だけが頭打ちになる。しかし情報を盗む入口は止まっていないので、盗まれた先が別のチャネルへ移っていく。そして認証を固めた領域では、また被害が収まる。塞ぐと、隣が膨らむ。この繰り返しのなかに、いまの数字はあります。「不正が減った」のではなく、「移動した」と読むのが正確です。
あなたの店に、まだ空いている口はないか
移動の話は、EC やネットバンキングだけの話ではありません。店頭にも、まだ塞がれていない口が残っています。移動する不正の「次の行き先」になりうる場所を、自分の店に引きつけて点検してみてください。
表 2 店頭の自己点検マップ
一行目の静的 QR ステッカーは、第 10 篇で詳しく扱いました。紙のコードは上から貼り替えられ、店側は決済完了を目視でしか確認できない。この構造上の弱点は、取引ごとに金額を埋め込んだ QR を生成する方式に変えれば、貼り替え型のすり替えが成立しなくなります。
二行目の磁気フォールバックは、第 11 篇の主題でした。IC 決済が読めないときに磁気に落ちる処理は、2026 年 4 月以降の新規端末開発・システム更改では実装が禁止されています※7。ただし、いま動いている端末が即座に使えなくなるわけではない点は、落ち着いて確認してください。
三行目と四行目は、端末そのものの世代の話です。非接触に対応していない端末は、国際ブランドのルール改定で 2026 年 9 月末に利用終了とされており※8、期限は目前です。保守期限の切れた旧い端末は、端末側のセキュリティ認証が期限を迎えたまま、とくに人の目が届かない無人環境に残りやすい※9。どちらも、更新の要否と時期を一度確認しておく価値があります。
端末で塞げる口と、塞げない口
こうして並べると、店頭でできることの範囲もはっきりします。
静的 QR の貼り替えや、磁気・非接触・世代といった端末側の弱点は、端末を選び直し、更新することで塞げます。取引ごとに QR を生成する端末なら、貼り替え型のすり替えは起きません。ここは、端末の守備範囲です。
一方で、フィッシングで情報を盗まれることや、返金詐欺で利用者自身が送金してしまうことは、店頭の端末では塞げません。移動する不正の大きな流れは、認証のあり方や利用者への注意喚起といった、端末の外側で受け止めるものです。端末は万能ではない。だからこそ、端末で塞げる口は端末で確実に塞いでおく。それが、移動してくる不正に対して店ができる、地に足のついた備えです。
FinGo も決済端末を手がける立場から、この地図のうち端末で塞げる口についてはお手伝いできます。たとえば当社の店頭端末 PT-10 Pro は、取引ごとに金額を埋め込んだ QR を画面に表示する方式で、貼り替え型のすり替えが構造上起きません。非接触に対応した新しい世代の端末でもあるので、表 2 の非接触・世代の更新もあわせて見極められます。逆に、フィッシングや返金詐欺のように端末の外側にある口は、私たちにも塞げない。そのことも正直にお伝えしています。まずは、自分の店にどの口が空いているか、そのうち端末で塞げるものがどれかを見るところから。その先で手が必要になれば、ご相談ください。
不正は、消えません。防御を固めれば、その口は塞がる。けれども盗む側は、塞がれていない次の口へ移っていきます。自分の店にいま空いている口はどこか。この地図を片手に、一度だけでも点検しておくことをおすすめします。
出典
※1 日本クレジット協会「クレジットカード不正利用被害の発生状況」（2026 年 9 月 7 日公表・2026 年上半期 221.3 億円／番号盗用 93.1%／偽造カードの長期推移／2025 年通年 510.5 億円） https://www.j-credit.or.jp/information/statistics/download/toukei_03_g.pdf
※2 金融庁「証券会社における不正アクセス及び不正取引の状況」（2026 年 9 月 9 日更新・月次の不正取引が 2026 年 7 月に 1 件へ低下） https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
※3 フィッシング対策協議会「フィッシングレポート 2026」（2025 年 報告件数 2,454,297 件・過去最多） https://www.antiphishing.jp/report/report/phishing_report2026.html
※4 国民生活センター（コード決済「返金詐欺」相談 2025 年度 5,107 件・過去最多／共同通信 2025 年 12 月 29 日配信） https://www.okinawatimes.co.jp/articles/-/1745678
※5 警察庁「令和 7 年におけるサイバー空間をめぐる脅威の情勢」（2025 年 ネットバンキング不正送金 約 103.97 億円・4,747 件・過去最多） https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
※6 文春オンライン「店舗の QR コードが無断で貼り替えられる」（店頭 QR すり替えの実例報道） https://bunshun.jp/articles/-/90074
※7 クレジット取引セキュリティ対策協議会／日本クレジット協会「クレジットカード・セキュリティガイドライン 6.1 版 改訂ポイント」（磁気フォールバックの実装禁止・2026 年 4 月以降） https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_6.1_revisionpoint.pdf
※8 ライフカード「非接触決済（タッチ決済）未対応端末のご利用終了について」（国際ブランドルール改定・2026 年 9 月末利用終了） https://www.lifecard.co.jp/info/260309.html
※9 PCI SSC「Extension of Expiration of the PCI PTS POI v5 Devices」（2025 年 9 月 11 日・v5 ���末の有効期限延長と後継移行の推奨） https://www.pcisecuritystandards.org/wp-content/uploads/2025/09/Bulletin_Extension_of_Expiration_of_the_PCI_PTS_POI_v5_Devices.pdf
