「3Dセキュアを利用する」にチェックが入っていても、動いていないことがある
管理画面のチェックがONでも、それだけで「導入済み」とは言えない。
ECサイトの運営者や会社の代表アドレスには、本物らしく見える怪しいメールが届く。
実際に届いた二通を題材に、見分け方と確かめ方をまとめる。
一つは正規かもしれない照会、もう一つは明らかな騙りだった。
照会の流れは本物でも、メールが本物とは限らない
一通目は、加盟店サポートを名乗る「EMV 3-Dセキュア導入状況の再確認」メールだった。
EMV 3-Dセキュア(以下3DS)は、カード決済のときにSMSやアプリで本人確認をする仕組みだ。
日本のクレジットカード・セキュリティガイドラインでは、EC加盟店は2025年3月末までに原則導入することになっている。
だから、カード会社や決済代行から導入状況を聞かれること自体は、ふつうに起こる。
メールには、実在する決済代行の名前など、正規らしい材料もあった。
それでも、リンクは踏まない。
制度が本物であることと、そのメールが本物であることは別の話だ。
メールのリンクから入力させる形は、フィッシングとまったく同じ形をしている。
確かめるなら、契約している決済代行や加盟店の管理画面に自分でログインする。
チェックONは、申請完了とは限らない
決済代行の管理画面で、「3Dセキュア認証を利用する」にチェックが入っていることがある。
ここで「導入済みです」と答えたくなる。
だが、画面の注記に「利用する場合は決済代行側に別途申請が必要」と書かれている場合がある。
チェックは入口にすぎず、申請が通らなければ認証は動かない。
見た目だけで答えれば、意図せずうその回答になる。
たとえば、玄関に「防犯カメラ作動中」のシールを貼っても、カメラの電源が入っているかは別、というのと同じだ。
確かめる順番は次のとおり。
1. 決済代行の管理画面で、3DSのON/OFFと申込みステータスを見る 2. 決済プラグイン側の設定を見る 3. 過去の契約や通知の履歴を見る
そのうえで、実際の決済でSMSやアプリの認証が出るかを試す。
返信の中身も、先に「対象外を続けるのか、導入するのか」を決めてから書く。
代表者を名乗るメールの見分け方
二通目は、代表アドレス宛に、その会社の代表者を名乗って届いたメールだ。
LINEのQRコードを返信してほしい、という内容だった。
見分ける決め手は五つある。
正規とよく似た別のドメインから来ている。
代表者個人ではなく、誰でも読む代表アドレスに、誰宛てでも通じる文面で届いている。
QRコードを返させて、アカウントを乗っ取る流れになっている。
「業務連絡のみの使用です」と、聞かれる前に言い訳している。
そして、急かす軽い口調。
対処は四つある。
1. 返信もQRの送付もしない 2. 本人に電話など別の経路で確かめる 3. 代表アドレスを見る人に知らせる 4. ヘッダごとメールを残し、消さない
代表者の名前は、登記や会社のサイト、求人ページから拾われた可能性が高い。
情報が漏れたとは限らない。
文面の雑さからみて、法人リストへの半自動のばらまきとみられる。
怪しいメールほど、リンクの先ではなく自分で開いた管理画面を信じる。
この記事の要点
- 決済の照会メールは制度が本物でもリンクを踏まず、契約済みの管理画面から自分で確かめる。
- 管理画面のチェックONは申請完了とは限らない。申込みステータスと実決済の認証発火で確認する。
- 代表者騙りのメールは、似せドメイン・宛先の粒度・QR要求・先回りの言い訳・急かす口調で見分ける。