アプリで利用制限しているクレジットカードに、利用しようとして取り引き出来なかったという通知メールが来ました。
被害はありませんが現在カード会社に問い合わせ中。
総当たりかと思われるが気になったのでAIに聞いてみました。
利用制限しているクレジットカードに利用できなかった取引があったとメールが来ました、もちろん自分ではないので、現在カード会社に問い合わせ中です。
疑問があるのですが、以下の取引は総当たりで利用される取引ですか？
利用先：LABOTEP
金額 ：0円
利用制限中のクレジットカードで不審な取引をブロックできたとのこと、まずは被害を防ぐことができて何よりです。現在カード会社に問い合わせをされているのも、非常に適切で確実な対応です。
ご質問の件ですが、結論から申し上げますと、ご推察の通り「総当たり攻撃（クレジットマスター）」などによるカードの有効性確認（テスト）である可能性が極めて高いです。
なぜこのような不審な取引が発生するのか、その背景を解説します。
1. なぜ「0円」の取引なのか？
クレジットカード決済における「0円」の請求は、そのカードが現在「生きていて決済可能な状態か」を確かめるためのオーソリゼーション（有効性確認）と呼ばれる仕組みです。
悪意のある第三者は、プログラムでランダムに生成したカード番号や、過去にどこかで流出したカード番号が「現在も実際に使えるか」をチェックするために、この0円決済（または1円〜100円などの少額決済）を悪用します。ここで決済が通ってしまったカードは「使えるカード」としてリスト化され、後日別の場所で高額な不正利用のターゲットにされてしまいます。
2. なぜ利用先が「LABOTEP」なのか？
「LABOTEP（ラボテップ株式会社）」は、化粧品や体育館の床用滑り止めなどを販売している実在の国内企業です。
同社のオンラインショップを確認したところ、「無料の見積書請求」や「無料サンプル」など、システム上「0円」でカートに入れて決済手続きができる商品が存在しています。
不正利用グループは、こうした「0円や少額で決済システムを通過できる実在のネットショップ」を標的にし、自動プログラム（Bot）を使って大量のカード番号を総当たりで入力するテストを繰り返します。つまり、LABOTEP社側も決済システムを勝手にテストの踏み台として悪用されている「被害者」の立場であると言えます。
今後の対応について
今回、事前に利用制限をかけていたことで、不正なテスト決済を見事に弾くことができました。今後のカード会社の調査でも「不正利用の試み」として処理されるはずです。
ただし、お客様の現在のカード番号と有効期限が第三者に知られている、あるいは総当たりで完全に割り出されていることは確実です。
現在カード会社へお問い合わせ中とのことですので、そのまま事情をお伝えいただき、カード番号を変更した上での再発行をご依頼ください。ご不安な状況かとお察しいたしますが、実害は未然に防げておりますので、カード会社の案内を落ち着いてお待ちください。
LABOTEPの決済はカード番号のほかに何が必要ですか？
LABOTEP（ラボテップ）の公式サイトや一般的なオンラインショップの仕様に基づくと、クレジットカード決済には通常、カード番号のほかに以下の情報が必要になります。
- 有効期限（月／年）
- セキュリティコード（カード裏面などにある3〜4桁の数字）※サイトや決済システムによっては不要な場合もあります
- カード名義人（ローマ字）
「これらすべての情報が漏洩していないと決済できないのでは？」と疑問に思われるかもしれませんが、クレジットマスター（総当たり攻撃）の場合、カード番号以外の情報はプログラムを使って強行突破されることが非常に多いです。
その理由は以下の通りです。
1. 有効期限とセキュリティコードは割り出しやすい
- 有効期限： 「月（12通り）」×「年（長くて今後10年分）」を組み合わせても、最大で120通り程度しかありません。
- セキュリティコード： 3桁の数字（000〜999）であれば1,000通りしかありません。
自動プログラム（Bot）を使えば、これらの組み合わせを瞬時に大量入力して、正しいものを導き出すことが可能です。
2. 名義人は厳密にチェックされないことが多い
実は多くの決済システムでは、クレジットカードの名義人は「適当なアルファベット（例：TEST USER など）」を入力しても、番号と有効期限さえ合っていれば決済が通ってしまう仕様になっています。
3. 「0円決済」はセキュリティの網を抜けやすい
通常、ネットショッピングで安全に決済を行うために「3Dセキュア（スマホへのワンタイムパスワード通知などによる本人認証）」が導入されていますが、「0円」や少額の決済ではこの3Dセキュアが作動しない設定になっていることが多々あります。不正利用グループは、本人認証を求められない少額決済用のカートを意図的に狙ってテストを行います。
結論として
お客様の「カード番号」さえ生成・特定されてしまえば、残りの情報は総当たりで比較的簡単に突破されてしまいます。今回はご自身で利用制限をかけられていたため、このテスト決済の段階で無事にブロックできた（エラーになった）という状況です。
引き続き、カード会社へカード番号変更を伴う再発行をご依頼いただくのが最も安全な対処法となります。
ザルすぎて草。
せめて３Dセキュアとやらを必須条件にしないとカード番号変えたところで同じじゃねーかww
結局使う時以外は取り引き制限掛けることをしないとダメですね。。。
他にもネットバンク（クレカ付き）が「いつもと違う環境からアクセスがあったため利用制限している」という状態になっていて、こちらは今度店舗に出向いて停止解除し解約してくるのですが、AI悪用でネット犯罪増えてるのだから認証基盤を早く改善してほしいものです。
まぁ個人事業開業で無駄に口座増やした自分も悪いのですがlol