カードスキミング.

カードスキミングは大きく 2 つの形態に分かれます。物理スキミングでは、ATM・給油機・POS 端末に薄い被せ型リーダーや「シマー」(EMV チップを読み取る極薄の差込片)を仕込み、多くはピンホールカメラや偽キーパッドで暗証番号も取得します。Bluetooth 対応のスキマーはデータを無線で送信します。e-スキミングは Magecart という総称で知られ、脆弱な決済ページ、あるいはそこが読み込む第三者スクリプトに悪意ある JavaScript を注入し、カード番号・CVV・住所を攻撃者サーバーへ抜き取ります。

最も引用される事例が ブリティッシュ・エアウェイズ(British Airways) です。2018 年 8 月 21 日から 9 月 5 日にかけて、攻撃者は決済ページの JavaScript ファイルを改ざんし、約 40 万人の顧客が影響を受けました。英国 ICO は当初、GDPR に基づく過去最大の 1 億 8339 万ポンドの制裁金を提示しましたが、2020 年 10 月に 2000 万ポンド へ減額しました。同年、Ticketmaster は第三者チャットボット Inbenta のスクリプト経由で侵害され、Newegg の決済画面もスキミングされ、サプライチェーンのスクリプトが被害範囲を広げることを示しました。

flowchart LR
  subgraph 物理
    A[改造した ATM / 給油機 / POS] --> B[被せ型装置やシマーがカードを複製]
    B --> C[ピンホールカメラで暗証番号を取得]
  end
  subgraph e-スキミング
    D[注入 / 第三者の JS] --> E[決済フィールドを読み取り]
    E --> F[攻撃者サーバーへ送信]
  end
  C --> G[カード情報が換金 / 売買]
  F --> G

防御策としては、EMV チップとトークン化ウォレット、耐タンパー・対スキミングのハードウェア、Subresource Integrity、厳格な CSP、第三者スクリプトの監視、そして決済ページに対する PCI DSS v4.0 の管理策——特に要件 6.4.3(スクリプト管理)と 11.6.1(改ざん検知)、2025 年 3 月 31 日から必須——が有効です。