未使用のUPSIDERバーチャルカードが不正利用されたそのロジック

シンジです。長らく社内で活用している法人向けクレジットカードUPSIDERで、はじめて不正利用を検知して対処しました。このクレジットカードはバーチャルカードで、物理のカードは存在せず、一度も決済に使ったことがないカードでした。先に注意点ですが、UPSIDER社側の対応は迅速かつ丁寧で、速やかに返金処理も行われており、またこの問題はUPSIDER社の問題ではなく、誰でもいつでも起こりえる話なのでブログにしています。UPSIDER社には一切の非が無いどころか、むしろUPSIDERは不正利用が極端に少ない優れたサービスであることを付け加えておきます。

一度も使っていないカードが、なぜ不正利用されたのか

カード情報が「漏れた」のではなく、番号・有効期限・セキュリティコードが推測と検証の繰り返しで「当てられた」可能性があります。カード番号は16桁すべてが自由に動くわけではありません。BINで先頭が固定され、末尾はLuhnで決まり、有効期限は最大60通り、セキュリティコードは1,000通り。攻撃者が挑む探索空間は直感よりはるかに小さいのです。ただしこれは仮説であり、後半で反証も並べます。

一度も使っていないカードが、なぜ狙われるのか

先日、当社が利用している法人カード「UPSIDER」のバーチャルカードで、少し不可解な不正利用が発生しました。発行はしたものの一度も決済に使っていないカードが、海外の航空券6万円分の購入に使われていたのです。UPSIDERからは「調査したが原因を特定できなかった」という回答が返ってきました。

一度も使っていないということは、フィッシングにひっかかったわけでも、実店舗でスキミングされたわけでも、決済した加盟店から情報が漏れたわけでもありません。決済を経由してカード情報が外に出る経路が存在しないんですが、それでも不正利用は成立しました。

ただし、経路がゼロというわけではありません。UPSIDERの公式サービス説明資料には「カード番号 16桁・有効期限・PIN・CVVを閲覧できるのは、カード権限の『保有者』のみです」と明記されています。つまり、管理画面やアプリからカード情報を見られる社員・端末・セッションは存在します。アカウント乗っ取り、端末侵害、内部関係者による閲覧という経路は、決済を経由しなくても理屈のうえでは残ります。この点は後述の「打ち手」で扱います。

そのうえで、決済経由の漏洩がないという条件下で技術的に整合しうる説明のひとつが、カード情報が「漏れた」のではなく、カード番号・有効期限・セキュリティコード（CVV2）が計算と総当たりで「当てられた」というものです。以下、そのロジックを分解していきます。

そもそも今回の被害は何に分類されるのか

日本クレジット協会の統計では、クレジットカードの不正利用被害額は「偽造カード被害額」「番号盗用被害額」「その他不正利用被害額」に分けて集計されています。このうち、カード実体を使わずカード番号などの情報だけでEC決済する手口が「番号盗用」です。

2024年の不正利用被害額555.0億円のうち、513.5億円（構成比92.5%）がこの番号盗用型でした。2025年は総額510.5億円・番号盗用475.4億円（93.1%）と総額は前年から減ったものの、番号盗用が9割超を占める構図は変わっていません。直近の2026年1〜3月も総額113.6億円のうち番号盗用が106.0億円（93.3%）です（いずれも一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」2026年6月30日公表）。

今回の「未使用カードが海外ECで使われた」という事象は、番号盗用として集計される類型に該当すると判断しています。

総当たりという「すさまじい確率」という直感は、なぜ外れるのか

この話をすると、多くの方が「カード番号16桁、有効期限、セキュリティコード3桁を全部たまたま当てるなんて天文学的な確率では？」と感じます。もっともな直感ですが、これは実際の攻撃とは異なる前提で確率を計算しているために生じる錯覚です。攻撃者が挑む探索空間は、思ったよりずっと小さいのです。

なお以降で「CVV2」と書くのは、カード裏面の署名欄に印字された3桁のコードのことです。ICチップに埋め込まれたiCVVや、非接触決済で使われるdCVVとは別物で、オンライン決済で入力を求められるのはCVV2です。

① カード番号は「16桁ぶんの自由度」がありません

• 先頭6〜8桁はBIN／IIN（発行者識別番号）と呼ばれ、発行会社・カード種別ごとに固定されています。公的な割当台帳は誰でも自由に引けるわけではありませんが、同じ発行会社のカードを1枚でも手元で確認すれば判明する値であり、攻撃者にとって未知の変数ではありません。
• 末尾1桁はLuhnアルゴリズムによるチェックデジットで、他の桁から計算で一意に決まります。当てるものではありません。
• 結果として、自由に推測する必要がある桁は実質7〜9桁に縮みます。

② 有効期限は最大60通りです

月（12通り）× 有効年数ぶんの年で、最大60通り。分散推測攻撃を報告した研究論文も「有効期限の推測は最大60回（銀行は通常、最大60か月有効なカードを発行するため）」としています。

③ CVV2は1,000通り

3桁のセキュリティコードは000〜999の1,000通り。同論文も「3桁のCVV2の推測は1,000回未満で済む」としています。

つまり、有効なカード番号が1本確定してしまえば、残る期限とCVV2は多くても数万回のオーダーでしかありません。「すさまじい確率」に見えたのは、BINが固定であること・Luhnで1桁減ること・有効期限の範囲が狭いこと、これらを掛け合わせていなかったためなのです。

しかも、この「数万回」は条件次第でさらに二桁近く縮みます。そこが次に述べる攻撃の核心です。

分散推測攻撃（Distributed Guessing Attack）

「何万回も試したら、カード会社にブロックされるはずでは？」と思いますよね。この防御を突破するのが、英ニューカッスル大学の研究チーム（Mohammed Aamir Ali, Budi Arief, Martin Emms, Aad van Moorsel）が2016年12月に公表し、学術誌『IEEE Security & Privacy』（2017年）に掲載された分散推測攻撃（Distributed Guessing Attack）です。

その要点は次のとおりです。

• 加盟店ごとに試行回数の上限が設定されています。ただしその設定は不均一です。論文が分析した389サイトの内訳は、0〜5回が27サイト、6〜10回が276サイト、11〜50回が33サイト、そして無制限が6サイトでした（残る47サイトは3-Dセキュア導入で攻撃対象外）。
• 各サイトは自サイト内の失敗回数しか見ておらず、サイト間で試行回数を共有していません。この「横のつながりのなさ」が突かれます。そこで攻撃者は、数百のECサイトに試行を分散させます。
• サイトによって要求される項目が異なります。論文は加盟店を3類型に分けています。2項目（カード番号＋有効期限＝最小構成）、3項目（＋CVV2）、4項目（＋請求先住所）です。攻撃者はまず2項目のサイトで有効期限を確定し、次に3項目のサイトでCVV2を確定する、というように項目を1つずつ別々のサイトで割り出せます。

項目を順番に別々に当てられるなら、必要な試行は「60 ＋ 1,000 ＝ 1,060回」で済みます。もし全加盟店が有効期限とCVV2を同時に検証していれば「60 × 1,000 ＝ 60,000回」が必要になる。論文はこの差を、「素早く実用的な攻撃と、退屈でほぼ非現実的な攻撃との違いだ」と表現しています。つまり、加盟店ごとに検証項目がバラバラであること自体が、探索空間を約57分の1に縮めているわけです。

論文の実測では、ボットを30サイトで動かす構成にすると、必要な情報を4秒以内に取得できたと報告されています。大学のプレスリリースでは、筆頭著者が「BINにあたる先頭6桁以外に何も知らない状態から、オンライン購入に必要な3つの情報をわずか6秒で入手できる」と説明しています。

ただし注意が必要です。論文は、カード番号そのものの生成は実験していません。「BINの先頭6桁とLuhnアルゴリズムを使ってPANを生成し検証することも可能だが、倫理的研究の境界を越えるためこの手法は採らず、自分たちのカードのみを使った」と明記しています。実証されたのは「有効なカード番号を持っている状態から、有効期限とCVV2を割り出す」部分です。

実験の規模は、Alexaランキング上位400サイトを選定し、うち十分な情報が得られた389サイトを分析、47サイトは3-Dセキュア導入により攻撃対象外、残る342サイトが脆弱と判定された、というものです。

そして本件を理解するうえで見逃せないのが、次の非対称性です。

論文は、この分散推測攻撃がVisaネットワークでのみ成立し、「Mastercardの中央集権的なネットワークは、複数サイトに分散された試行であっても10回未満で推測攻撃を検知する」と明記しています。UPSIDERは国際ブランドとしてVisaのみを提供しています。

ただしこれは2016〜2017年時点の所見です。Visaはその後、ネットワーク横断での列挙攻撃検知を実装しています。Visa自身の文書「Anti-Enumeration and Account Testing Best Practices for Merchants」（V1.2, 2023年4月）は、「Visa Account Attack Intelligenceは最先端の機械学習を用いてアカウントテスティングを識別し、攻撃の詳細を分析し、Visaがほぼリアルタイムで適切な措置を取れるようにする」「すべてのVisaNetクライアントがアカウントテスティングについて監視されている」と述べています。したがって「Visaだから検知されない」と現在形で言うことはできません。論文が指摘した構造的弱点は、少なくとも部分的には塞がれていると判断しています。

直感と実際の対比

Tesco Bank事件で規制当局が認定したこと

「アルゴリズムで生成したカード番号が実際に決済に通る」という事象は、規制当局の認定文書として記録が残っています。

英金融行動監視機構（FCA）が2018年10月1日に公表したTesco Personal Finance Plc宛のFinal Noticeによれば、2016年11月のサイバー攻撃で攻撃者は48時間のうちに約226万ポンドを詐取しました。FCAは攻撃について「攻撃者はTesco Bankの本物のデビットカード番号を生成するアルゴリズムを使用した可能性が高く、それらの『バーチャルカード』を用いて数千件の不正なデビットカード取引を行った」と認定しています。

Tesco Bankが狙われた理由として、FCAは次を挙げています。

• PANが実質的に連番になっていた：Tesco Bankは5万個単位のバッチ内でランダムにPANを発行し、そのバッチを使い切るまで次のバッチに移らない運用だったため、結果として連番のPANを持つカードが市中に大量に存在した。「これが攻撃者の作業を簡単にした」とFCAは記しています。
• 有効期限の検証が甘かった：オーソリシステムが「将来の日付かどうか」しか確認しておらず、正確な月と年を照合していなかった。
• PoS 91（非接触の磁気ストライプ相当）取引を拒否していなかった：不正取引の大半（約224万ポンド）がこの経路。

注意すべきは、これがニューカッスル大学の分散推測攻撃とは別の手口だという点です。同大学のプレスリリース（2016年12月）は、当時「調査関係者はこの推測攻撃手法がTesco事案で使われた可能性が高いとみている」と述べ、被害額を250万ポンドとしていました。しかし2年後に規制当局が認定した内容は、加盟店をまたいだ分散推測ではありませんでした。認定されたのは発行体側の設計不備（連番PAN・甘い期限検証・PoS 91）であり、被害額も226万ポンドに確定しています。

とはいえ、本記事の主題にとってTesco事案はむしろ重要です。カード情報がどこからも漏れていなくても、発行体側の番号発行設計次第では、アルゴリズムで生成された番号がそのまま決済に通りうるという現実を、規制当局が事実として認定した先例だからです。

なぜ「未使用のバーチャルカード」が対象になりうるのか

ここまでを踏まえて、今回の事案にあてはめると次のような筋書きが描けます。あくまで仮説である点を重ねてお断りします。

1. カード情報が決済経由で漏れたのではなく、生成・検証によって「当てられた」という可能性。だからこそ利用履歴がゼロでも被害が発生し、発行元がログを精査しても漏洩元を特定できない。「調査できなかった」という回答とも整合します。
2. バーチャルカードを大量発行するモデルでは、同一BIN配下に有効な番号が相対的に密に存在することになります。総当たりの命中率は「実在する有効番号の密度」に比例するため、理屈のうえでは当たりやすくなります。ただしUPSIDERのBIN構成や発行密度は公開されておらず、本件で実際にそうだったかは確認できません。Tesco事案で規制当局が認定したのは、あくまでTesco Bank固有の発行設計についてです。
3. 確定した番号が、追加認証を求められないまま海外の航空券サイトで本決済に使われた。航空券や宿泊は換金性・転売性が高く、盗用カードの使い込み先として知られています（一般財団法人日本サイバー犯罪対策センター（JC3）が2019年7月に公開した「不正トラベル対策の実施（連携施策）」で、窃取されたカード情報が宿泊施設・航空券・テーマパークのチケット等の不正購入に使われる実態が説明されています）。

なお国内のEC加盟店には、経済産業省が2025年3月5日に公表した「クレジットカード・セキュリティガイドライン［6.0版］」で、不正利用対策としてEMV-3Dセキュアを導入することが定められました。ただし海外のサイトはこの枠組みの外にあります。

この仮説の弱点

仮説として提示する以上、都合の悪い点も並べておきます。

• 「3-Dセキュア未対応のサイトだった」とは断定できません。EMV 3-Dセキュアにはフリクションレスフローがあり、発行体がリスク評価だけで認証を完了させる場合、利用者側には何の操作も発生しません。EMVCoも「多くの取引では、消費者は単に『購入』をクリックするだけで支払いが承認される」と説明しています。決済が通ったという事実だけからは、3-Dセキュアの有無も認証結果も判定できません。ECI値やCAVV、3-DSの認証ログを確認しない限り未検証のままです。
• 発行体側に何も見えなかったのは不自然です。BIN空間を総当たりすれば、その発行体には短時間に大量の否認オーソリが集中するはずです。「調査したが原因を特定できなかった」という回答と、列挙攻撃が起きていたという想定は、そのままでは噛み合いません。
• Visaは現在、ネットワーク横断で列挙攻撃を監視しています（前述のVisa Account Attack Intelligence）。2016年の論文が指摘した「Visaだけ検知が効かない」という状況を、2026年にそのまま当てはめることはできません。
• 閲覧経路が完全に排除されたわけではありません。前述のとおり、カード保有者は管理画面・アプリからカード番号・有効期限・PIN・CVVを閲覧できます。アカウント侵害や端末侵害の可能性を潰さない限り、「外に出る経路がない」とは言い切れません。

したがって本記事の結論は、「総当たりで当てられたに違いない」というものではありません。「決済経由の漏洩がない状況でも不正利用は成立しうる。その仕組みを理解したうえで、原因が特定できなくても打てる手を打つべきだ」と判断しています。

発行元の対応と、私たちが取るべき現実的な打ち手

UPSIDER自身も、不正利用対策として本人認証サービス（3Dセキュア2.0）への対応、AIによる監視とオペレーターによる判断を組み合わせたデュアルモニタリング体制、カードごとの利用先限定機能、そして最大2,000万円の高額補償を提供しています。そのうえで、利用企業側でも次のような対策が有効です。

• 補償の請求：「原因調査が不能であること」と「補償の可否」は別の問題です。まずは補償制度の適用を明示的に請求しましょう。ただしUPSIDERの補償対象は「カードの紛失・盗難またはカード情報の流出等により不正使用されることで発生した損害」とされ、「補償の適用には一定の条件があります」と付記されています。本記事の仮説のように「情報は流出していない」と主張することが、かえって補償要件との整合を問われる可能性がある点は認識しておくべきです。事実関係は推測で語らず、発行元の指示に従って手続きを進めてください。
• 未使用カードのロック・解約：発行済みで未使用のカードは、解約するかロックしておきます。UPSIDERはカードの即時ロック／アンロックを提供しており、公式にも「普段使わないカードをロックしておき、利用する際にアンロックするといった使い方」が案内されています。総当たりは「実在する有効番号の母数」が多いほど当たります。使わないカードを放置しないことが、最も効果的な予防策のひとつです。この考え方は、NHI（Non-Human Identity）管理で語られる「使っていない静的クレデンシャルを棚卸しする」発想とまったく同じです。
• オンデマンドカードの活用：UPSIDERには、有効期限・金額・利用先を指定した使い切りのバーチャルカードを発行する「オンデマンドカード」があります。恒久的なカードを増やさずに済むため、母数を増やさない運用に向いています。
• 利用先限定・上限額の設定：全カードに利用先限定と上限額を設定します。UPSIDERは260以上のサービスから利用先を制限でき、日次・月次・取引ごとの上限金額、通貨、利用期間も設定可能です。
• 社内の閲覧ログ監査：前述のとおり、カード番号・CVVは保有者権限で閲覧できます。閲覧権限を持つアカウントや端末のログを確認し、内部経由・アカウント侵害経由の可能性を先に排除しておきましょう。管理者アカウントの権限設計そのものについては、Keeper管理者アカウント運用の記事も参考になります。
• 明細の突合を仕組み化する：今回のように「身に覚えのない決済」を早期に見つけられるかどうかは、明細チェックが人手か仕組みかで決まります。請求明細を目視でなく仕組みで守るという考え方は、不正利用の検知にもそのまま効きます。

まとめ

カード番号・有効期限・セキュリティコードという静的な3要素だけで決済が成立する仕組みは、探索空間の狭さと、加盟店をまたいだ検証項目・試行回数の不統一という2点で、総当たり攻撃に本質的に弱いのです。カードを1枚も落としていなくても、財布を盗まれていなくても、被害は起こりうる。今回の件はそれを実地で示しました。

本件で強調しておきたいのは、「使っていないから安全」という前提が成り立たないことです。発行した瞬間から、そのカードは番号空間の中の一点として存在します。発行したら使い、使わないならロックするか消す。このシンプルな運用こそが、原因が特定できない事案に対しても効く数少ない防御線です。

FAQ

Q. 一度も使っていないカードが不正利用されることは、本当にありうるのですか？

A. ありえます。英FCAが2018年に公表したTesco Bank事案のFinal Noticeでは、攻撃者がアルゴリズムで本物のカード番号を生成し、それを用いて数千件の不正取引を行ったと認定されています。カード情報が漏れていなくても、番号が生成・検証されれば決済は成立しえます。

Q. カード番号16桁を当てるのは天文学的な確率ではないのですか？

A. 16桁すべてが自由ではありません。先頭6〜8桁はBINで発行会社ごとに固定、末尾1桁はLuhnアルゴリズムで計算により決まるため、推測すべき桁は実質7〜9桁です。さらに有効期限は最大60通り、CVV2は1,000通りしかありません。

Q. 分散推測攻撃とは何ですか？

A. 加盟店ごとに検証する項目と試行回数の上限が異なり、かつサイト間で試行回数が共有されていないことを利用して、カード情報を1項目ずつ別々のサイトで確定していく攻撃です。英ニューカッスル大学が2016年12月に公表し、『IEEE Security & Privacy』（2017年）に掲載されました。

Q. Visaのカードは今も危ないということですか？

A. そうとは言えません。論文が「Visaでは検知が効かない」と報告したのは2016〜2017年時点の話です。Visaは現在、Visa Account Attack Intelligenceによりネットワーク横断で列挙攻撃を監視しており、Visa自身の文書でも「すべてのVisaNetクライアントが監視対象」と明記されています。

Q. 未使用のバーチャルカードには、具体的に何をすればよいですか？

A. 使わないカードは解約するか、ロック機能でロックしておくのが基本です。あわせて利用先限定と上限額を設定し、一時的な支払いには使い切りのオンデマンドカードを使うと、恒久的なカードの母数を増やさずに済みます。

参考（一次情報・出典）

• 一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」（2026年6月30日公表）：統計PDF
• 経済産業省「クレジットカード不正利用被害の状況について」（加盟店における不正利用対策の在り方に関する検討会 第1回 資料1-4、2025年4月11日）：資料PDF
• Mohammed Aamir Ali, Budi Arief, Martin Emms, Aad van Moorsel, "Does The Online Card Payment Landscape Unwittingly Facilitate Fraud?", IEEE Security & Privacy (2017)：論文PDF ／ 大学プレスリリース（2016年12月）
• Financial Conduct Authority, "Final Notice: Tesco Personal Finance Plc"（2018年10月1日）：Final Notice PDF
• Visa "Anti-Enumeration and Account Testing Best Practices for Merchants" V1.2（2023年4月）：ガイドPDF
• 一般財団法人日本サイバー犯罪対策センター（JC3）「不正トラベル対策の実施（連携施策）」（2019年7月5日公開）：JC3トピックス
• EMVCo「EMV 3-D Secure」：EMVCo公式
• 経済産業省「『クレジットカード・セキュリティガイドライン』が改訂されました」（2025年3月5日・［6.0版］）：ニュースリリース
• 株式会社UPSIDER「UPSIDER Safety Action」：公式サイト ／ サービス説明資料PDF