2026.10.06
2026.10.09
【調査レポート】EMV 3-Dセキュア導入義務化により不正利用額は減少傾向へ転ずるも、500億円超の高止まり。1万円以下の「低額不正」約30％へ拡大、さらに「ニセ社長詐欺」や生成AI悪用などの手口の多面化を分析【キャッシュレスセキュリティレポート】2026年次版より
株式会社リンクとかっこ株式会社は、カード情報流出事件に関する統計とECの不正利用傾向、手口などを詳しく解説した【キャッシュレスセキュリティレポート（2026年次版）】を公開しました。
▼「キャッシュレスセキュリティレポート （2026年年次版）」 ダウンロードはこちらをクリック
※個人情報を入力することなくダウンロードできます。無料ですので、ぜひご覧ください！
■ハイライト
流出事件数・流出件数は前年より大幅減：
2025年のカード情報流出事件数は21件（前年比約43%減）、流出件数は246,474件（前年比約54%減）となり、2020年以降で最も低い水準となりました。
ランサムウェア攻撃による国内初のカード大量流出 ：
スーパーマーケット運営会社がランサムウェア攻撃を受け、自社発行のポイントカード一体型クレジットカードの情報約12万7千件が不正に閲覧された可能性を公表しました。ランサムウェア攻撃により、有効なカード情報の流出の可能性が報告された国内初の事案です。流出元はEC決済システムではなく会員・ポイント管理システムでした。決済システム以外の場所に残るカード情報の洗い出しと、PCI DSS準拠状況の点検が同様の形態でカードを取り扱う加盟店には求められます。
10年ぶりの減少も、500億円超の高止まり：
不正利用被害額は510.5億円となり、10年ぶりに前年（555.0億円）を下回りました。2025年3月末を期限とした「EMV 3-Dセキュア（EMV3-DS）」導入義務化の効果が表れ始めている一方、認証を迂回する未導入加盟店への攻撃集中や、フィッシングによるワンタイムパスワードのリアルタイム詐取（中間者攻撃）が横行しています。
注文金額の低額化と悪質転売の拡大：
1万円以下の不正注文割合が2023年の19.3%から2025年には29.8%へと上昇。カードの有効性確認（オーソリ試行）や、初回限定割引商品を狙った悪質転売が背景にあります。
EMV 3-Dセキュア導入後の新たな課題「カゴ落ち」「承認率低下」：
EMV 3-Dセキュア導入後にカゴ落ちやカード会社判断による決済否認が増加し、売上機会の損失が発生するケースが増えています。不正検知システムの活用により、不正抑制と決済承認率向上を両立させた事例を紹介しています。
「ニセ社長詐欺」の急増：
2025年12月以降、経営者を騙るメールからLINE等のSNSグループへ誘導し、緊急の送金を指示する「ニセ社長詐欺」被害が全国で相次いでいます。例外的な振込処理やメッセージングアプリ経由の指示に対する、独立した本人確認フローの整備が必要です。
「SCS評価制度」運用開始に向けて：
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の申請受付開始が2026年度末に予定されています。本制度の概要に加えて、対応が難しい、あるいは実務上の影響が大きいと考えられる要求事項を解説しています。
生成AIの進化とキャッシュレスセキュリティ：
生成AIの急速な進化は、キャッシュレスセキュリティにおける攻防の両面を大きく変えつつあります。攻撃側では、フィッシングをはじめとする既存の不正手口の「量産化」と「精密化」が進み、防御側では、フロンティアAIによる脆弱性発見能力の飛躍的な向上が、脆弱性管理の前提を変え始めています。さらに、AIエージェントが人間に代わって商品を検索し決済まで行う「エージェンティックコマース」の登場は、「人間が画面上の購入ボタンを押す」という仮定そのものを置き換える変化であり、キャッシュレスセキュリティの枠組みにも大きな影響を与える可能性があります。
■目次
（2）カード情報流出事件の傾向
（3）カード情報流出事件のトピック
（2）ECサイトにおける不正注文の傾向
（3）カード決済承認率改善の取り組み
（4）カード不正利用のトピック
（2）生成AIの進化とキャッシュレスセキュリティ
▼「キャッシュレスセキュリティレポート （2026年次版）」 ダウンロードはこちらをクリック
※個人情報を入力することなくダウンロードできます。無料ですので、ぜひご覧ください！
【免責事項】 本レポートの作成にあたり、かっこ株式会社と株式会社リンクは、可能な限り情報の正確性を心がけていますが、確実な情報提供を保証するものではありません。本レポートの掲載内容をもとに生じた損害に対して、かっこ株式会社と株式会社リンクは一切の責任を負いません。
【データの利用について】本レポート内の数表やグラフ、および記載されているデータ等を使用される際は、出典として「かっこ株式会社・株式会社リンク『キャッシュレスセキュリティレポート （2026年次版） 』を明記下さい。
▼「キャッシュレスセキュリティレポート （2026年年次版）」 ダウンロードはこちらをクリック
※個人情報を入力することなくダウンロードできます。無料ですので、ぜひご覧ください！
■ハイライト
- カード情報流出事件の概況
流出事件数・流出件数は前年より大幅減：
2025年のカード情報流出事件数は21件（前年比約43%減）、流出件数は246,474件（前年比約54%減）となり、2020年以降で最も低い水準となりました。
ランサムウェア攻撃による国内初のカード大量流出 ：
スーパーマーケット運営会社がランサムウェア攻撃を受け、自社発行のポイントカード一体型クレジットカードの情報約12万7千件が不正に閲覧された可能性を公表しました。ランサムウェア攻撃により、有効なカード情報の流出の可能性が報告された国内初の事案です。流出元はEC決済システムではなく会員・ポイント管理システムでした。決済システム以外の場所に残るカード情報の洗い出しと、PCI DSS準拠状況の点検が同様の形態でカードを取り扱う加盟店には求められます。
- カード不正利用被害の傾向
10年ぶりの減少も、500億円超の高止まり：
不正利用被害額は510.5億円となり、10年ぶりに前年（555.0億円）を下回りました。2025年3月末を期限とした「EMV 3-Dセキュア（EMV3-DS）」導入義務化の効果が表れ始めている一方、認証を迂回する未導入加盟店への攻撃集中や、フィッシングによるワンタイムパスワードのリアルタイム詐取（中間者攻撃）が横行しています。
注文金額の低額化と悪質転売の拡大：
1万円以下の不正注文割合が2023年の19.3%から2025年には29.8%へと上昇。カードの有効性確認（オーソリ試行）や、初回限定割引商品を狙った悪質転売が背景にあります。
EMV 3-Dセキュア導入後の新たな課題「カゴ落ち」「承認率低下」：
EMV 3-Dセキュア導入後にカゴ落ちやカード会社判断による決済否認が増加し、売上機会の損失が発生するケースが増えています。不正検知システムの活用により、不正抑制と決済承認率向上を両立させた事例を紹介しています。
- その他の脅威・セキュリティトピック
「ニセ社長詐欺」の急増：
2025年12月以降、経営者を騙るメールからLINE等のSNSグループへ誘導し、緊急の送金を指示する「ニセ社長詐欺」被害が全国で相次いでいます。例外的な振込処理やメッセージングアプリ経由の指示に対する、独立した本人確認フローの整備が必要です。
「SCS評価制度」運用開始に向けて：
「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の申請受付開始が2026年度末に予定されています。本制度の概要に加えて、対応が難しい、あるいは実務上の影響が大きいと考えられる要求事項を解説しています。
生成AIの進化とキャッシュレスセキュリティ：
生成AIの急速な進化は、キャッシュレスセキュリティにおける攻防の両面を大きく変えつつあります。攻撃側では、フィッシングをはじめとする既存の不正手口の「量産化」と「精密化」が進み、防御側では、フロンティアAIによる脆弱性発見能力の飛躍的な向上が、脆弱性管理の前提を変え始めています。さらに、AIエージェントが人間に代わって商品を検索し決済まで行う「エージェンティックコマース」の登場は、「人間が画面上の購入ボタンを押す」という仮定そのものを置き換える変化であり、キャッシュレスセキュリティの枠組みにも大きな影響を与える可能性があります。
■目次
- 2025年のカード情報流出事件の概況
（2）カード情報流出事件の傾向
（3）カード情報流出事件のトピック
- 2025年のカード不正利用の概況
（2）ECサイトにおける不正注文の傾向
（3）カード決済承認率改善の取り組み
（4）カード不正利用のトピック
- その他のキャッシュレスセキュリティのトピック
- 制度・政策の動向
（2）生成AIの進化とキャッシュレスセキュリティ
▼「キャッシュレスセキュリティレポート （2026年次版）」 ダウンロードはこちらをクリック
※個人情報を入力することなくダウンロードできます。無料ですので、ぜひご覧ください！
本レポートに関するお問い合わせセキュリティプラットフォーム事業部 担当：相原・滝村
【免責事項】 本レポートの作成にあたり、かっこ株式会社と株式会社リンクは、可能な限り情報の正確性を心がけていますが、確実な情報提供を保証するものではありません。本レポートの掲載内容をもとに生じた損害に対して、かっこ株式会社と株式会社リンクは一切の責任を負いません。
【データの利用について】本レポート内の数表やグラフ、および記載されているデータ等を使用される際は、出典として「かっこ株式会社・株式会社リンク『キャッシュレスセキュリティレポート （2026年次版） 』を明記下さい。
この記事をシェアする
Copyright by LINK, INC.