サイバーセキュリティ企業のNordVPN（本社：オランダ・アムステルダム、日本代表：小原拓郎）は、国内で年間510.5億円※1の被害が出ているクレジットカードの不正利用について、盗まれたカードの使われ方に関する調査結果を発表しました。NordVPNの脅威分析チームがダークウェブ上の議論を分析したところ、盗んだカードをApple PayやGoogle Payなどのスマホ決済に登録する手口に関する話題が、この1年で約3倍に増え、カード不正の中で最も急速に拡大している手口の1つとなっていることが分かりました。

NordVPNは、この手口が広がる背景を4つの理由に整理するとともに、カードの持ち主ができる対策を公開しました。

※1 日本クレジット協会の集計による2025年（1～12月）のクレジットカード不正利用被害額。このうち93%を番号盗用が占める

■ 盗んだカードがスマホ決済に登録される4つの理由

NordVPNは、この手口が広がる背景として、次の4つを挙げています。

ネット通販では、カード番号だけでは使いにくくなった

ネット通販では、カード会社による本人確認（3Dセキュア）の導入が進み、カード番号だけでは決済が完了しない場面が増えています。国内でも、2025年3月末までにネット通販事業者への導入が原則として求められました。

スマホ決済なら、本人確認は登録時の1回だけ

スマホ決済では、カードを登録する際にカード会社の本人確認を通過すれば、その後の支払いは登録したスマホの顔認証や指紋認証で行われます。登録時の確認を一度突破すれば、同じカードを繰り返し使うことができます。

カード本体がなくても、店頭で使える

ICチップの普及により、磁気ストライプを複製した偽造カードは使いにくくなっています。スマホ決済に登録すれば、カード本体がなくても店頭のタッチ決済で買い物ができます。ダークウェブ上でも、磁気ストライプの複製や古いカード番号帯に関する話題は重要性を失いつつあります。

現金に換えやすい

登録したカードで店頭の商品やギフトカードを購入し、転売することで、現金に換えることができます。

■ 狙われるのは「登録時の1回」——持ち主に届く確認コード

カードをスマホ決済に登録する際には、通常、登録しようとしている人が正当なカードの持ち主であることをカード会社が確認します。確認には、SMSで届くコードやアプリでの承認などが使われます。

犯罪者はこの確認を突破するため、カード会社や銀行の担当者を装って持ち主に連絡し、確認コードを聞き出す、フィッシングや携帯電話番号を乗っ取る「SIMスワップ」でコードを横取りする、スマホ決済で使えることが分かっているカードを入手する、といった方法を用いています。ダークウェブ上では、確認コードの窃取に関する話題も増えているほか、スマホ決済への登録に成功しやすいとうたう「ウォレット対応」カードも販売されています。

■ 格付けや保証付きで売られる盗難カード

ダークウェブでは、盗まれたカードが「まだ使えるかどうか」で格付けされて売られています。販売者が今後も使えると見込むカードは約22ドル（約3,300円）※2、「新鮮」とうたうカードは約35ドル（約5,300円）、「残高5,000ドル以上」とうたうカードは約38ドル（約5,700円）で売られる一方、止められている可能性が高い古いカードは、まとめ売りで1枚約2ドル（約300円）です。販売者の約8割は、使えなかった場合の返金や交換の保証を付けています。

カード情報そのものは安価で、分析した出品全体の平均価格は約10ドル（約1,500円）でした。出品の7割以上を占める米国のカードは約10～12ドルで、日本のカードは中央値27ドル（約4,000円）と高い水準でした。分析した中で最大のマーケットプレイスでは、米国の社会保障番号と生年月日が付いたカードの価格の中央値が18.85ドルと、これらがないカード（11.70ドル）より約6割高く、氏名や住所、電話番号など本人の情報が3つ以上付くと23ドルを超えました。カードが使えなくなった後も、本人の情報が残っていれば「デッド・フルズ」と呼ばれ、1件約1ドル（約150円）で取引されています。

※2 1ドル=150円で換算

https://nordvpn.com/ja/research-lab/stolen-payment-cards-wallet

■ NordVPN 最高技術責任者（CTO）マリユス・ブリエディスのコメント

「アンダーグラウンド市場では、単に誰かのカード情報を持っていることよりも、その情報を実際にお金に換えられるかどうかが重視されるようになっています。犯罪者は、本人確認やアカウントへのアクセス、カードにひもづく個人情報など、カードの周辺にある最も弱い部分を狙うようになっています。」

「カードの不正と、個人情報の不正利用は重なり合うようになっています。決済カードはすぐに止めることができますが、生年月日や住所、社会保障番号といった個人情報は、カードが使えなくなった後も長く出回り続けるおそれがあります。」

■ カードの持ち主ができる対策

NordVPNは、カードの不正利用を防ぐため、次の対策を推奨しています。

利用通知を有効にする

不審な支払いにすぐ気づけるよう、カードの利用通知を有効にしてください。

確認コードは、予期せぬ連絡の相手に教えない

相手がカード会社や銀行を名乗っていても、突然の電話やメッセージで求められた確認コードは伝えないでください。

「新しい端末に追加されました」という通知を軽視しない

身に覚えのない登録の通知は、カードが他人のスマホに登録されたサインの可能性があります。

見覚えのない登録があれば、すぐにカード会社に連絡する

カードの停止とあわせて、そのカードにひもづくスマホ決済の登録（トークン）を無効化できるか確認してください。

■ 調査概要

調査主体：NordVPN 脅威分析チーム（脅威エクスポージャー管理プラットフォーム「NordLayer Intelligence」のデータを使用）

調査対象：9つのダークウェブマーケットプレイスにおける24,000件以上のカード出品、犯罪者のフォーラムおよびTelegramチャンネルにおける14テーマ・約3,900件の投稿

調査期間：マーケットプレイスのデータは2026年2月に収集。議論の推移は2025年第3四半期～2026年第3四半期（途中まで）を分析

注：価格は比較のため米ドルに換算しています。議論の増減は、会話量全体の増加と比較して算出しています。重複する出品や再投稿された広告は除外しています。

■ NordVPNについて

NordVPNは、世界中の何百万人ものインターネット利用者から信頼されている、オールインワンのデジタルプライバシー・セキュリティアプリです。NordVPNアプリは、世界最先端のVPNと次世代型アンチウイルス、ダークウェブモニター™（Dark Web Monitor™）などのセキュリティ機能を組み合わせ、利用者がオンライン上でより安全かつプライベートに過ごせるようサポートします。フィッシング、詐欺、悪質なウェブサイト、トラッカー、迷惑な広告、マルウェアからの保護に役立ち、オンラインプライバシーの強化を支援します。詳細はnordvpn.comをご覧ください。

【会社概要】

会社名：NordVPN

本社：Fred. Roeskestraat 115 1076 EE Amsterdam, Netherlands

日本代表：小原拓郎

NordVPNウェブサイト：https://nordvpn.com/ja/

VPNについて：https://nordvpn.com/ja/what-is-a-vpn/