Apple Payの不正利用とチャージバックの検知
店舗に入店したりオンラインで決済する際に、iPhone や Apple Watch で支払うと、Apple Pay サービスを利用していることになります。このより便利な支払い方法は若い消費者に好まれていますが、多くの小売・EC事業者は不正利用の増加が Apple Pay から発生していると見ています。
加盟店は板挟みの状況にあります。購入件数を伸ばし、重要な若年層を惹きつけるには Apple Pay に対応しなければなりませんが、その結果、不正被害が増加し、チャージバック率が高くなる可能性があります。
Apple Payを最大限に活用するには、詳しく分析する必要があります。
- Apple Pay の普及状況と統計
- Apple Pay の経済的側面
- 取引の仕組み
- 新たに現れる不正のパターン。
1. 欧米におけるApple Payの普及
Apple Pay は、米国においてカードスワイプに代わる新しい「対面決済（Card Present）」の仕組みとして、NFC（いわゆる「タップ決済」）を一般に広めました。これにより消費者は、長いカード番号や有効期限を入力することなく、スマートフォンやスマートウォッチで支払ったり、オンライン決済を行ったりできるようになり、カードを自宅に置いて出かけることさえ可能になりました。この利便性は 2014 年のサービス開始以来、急速に普及しています。現在では、米国の消費者の 5 人に 1 人が毎月 Apple Pay を利用していると言われています。
Apple Pay の利用者は若年層に偏っており、Z世代ユーザーの73％が Apple Pay を好んで利用しています。この重要な層を取り込むために、加盟店はオンラインと実店舗の両方で決済受け入れ環境の高度化をますます迫られています。
NFC（タップ決済）の対応により、多くの小売店はアメリカ国内でNFC対応の端末へアップグレードせざるを得ませんでした。一方ヨーロッパでは、クレジットカードで長い間NFCに近いICチップ／暗証番号方式が使われていたため、EUでのApple Payの導入は比較的容易でした。さらに、「コンタクトレスカード」（タップ決済対応カード）が広く普及していたことで、Apple Payはヨーロッパの消費者にとって、アメリカほど大きな変化とは受け取られませんでした。
NFC は消費者にとって便利ですが、チップ＆PIN と違って利用者が第2要素による認証を行わないため、同じレベルの安全性はありません。その対策として、通常は（米国では 250ドルといった）利用金額の上限が設けられ、チップ＆PIN と比べて NFC 取引の却下率も高くなっています。
2. Apple Pay の経済性
誰かがカードを利用すると、米国ではその取引に対して加盟店が約2％の「手数料（ディスカウントフィー）」を支払う場合があります。EUでは規制により手数料がより低く抑えられているため、その分サービスやポイントなどのロイヤリティプログラムは比較的充実していない傾向があります。
これらの手数料の大部分、例えば1.7％は米国では発行会社に支払われ、その発行会社がAppleに約0.15％を支払う場合があります。
その結果、Apple は発行会社から手数料を受け取ることになり、その分、加盟店が損をすることが多くなります。そのため、初期の頃は多くの小売店が端末での NFC や Apple Pay を無効にしていました。しかし、特に若い世代を中心に消費者からの需要が高まってきたことで、現在ではこの決済方法を有効にする店舗が増えています。
利益率が圧縮され、不正リスクが高まり、消費者需要も増加している今、Apple Pay を正しく理解し、不正によって利益率や消費者からの信頼が損なわれるのを防ぐことがこれまで以上に重要になっています。
3. Apple Pay取引の仕組み
Apple Pay は、顧客ライフサイクルのさまざまな段階で多様なセキュリティ機能を利用し、次のような方法でユーザーデータを保護しています。
- アカウント作成（トークン化）：Apple Pay にクレジットカードまたはデビットカードを追加すると、カード番号は暗号化され、「セキュアエレメント」と呼ばれる端末内の安全なチップに保存されます。このトークン化された番号は DAN と呼ばれます。支払いを行う際、Apple Pay は取引処理に使用される一意のトークンを生成します。このトークンは、あなたの支出を追跡したり、不正な購入に利用されたりすることはありません。
- 支払い時（生体認証）：Apple Pay での支払いを認証するために、Touch ID または Face ID を使用できます。これにより、あなたのデバイスで支払いを行えるのがあなただけであることを確実にします。
- 保存時（暗号化）：お使いのデバイスと Apple Pay サーバー間のすべての通信は暗号化されています。トークンや生体認証情報などの機密データがデバイスの外に出ることはありません。これにより、お客様のデータは不正アクセスから保護されます。
CVV（3桁または4桁のセキュリティ番号）も安全に保護されています。Apple Pay は取引ごとに新しい CVV を生成します。この取引ごとに生成される動的なセキュリティコード（CVV）は、マグネット式のスワイプよりも安全で、マルウェアによる不正アクセスの防止に役立ちます。
3.1 取引の仕組み：Apple Pay DAN の生成
Apple Pay にクレジットカードまたはデビットカードを追加すると、Apple Pay システムはトークンサービスプロバイダ（TSP）を利用して、クレジットカードまたはデビットカードに基づいた「デバイスアカウント番号（DAN）」と呼ばれる決済トークンを生成します。
DAN は、Apple Pay の取引においてあなたのカードを表すために使用されます。
DAN はあなたのカード番号ではなく、不正な支払いに利用されることはありません。同じカードを別の iPhone に追加すると、別の DAN が発行されるため、「デバイスアカウント番号」と呼ばれます。
DAN はトークナイゼーションと呼ばれるプロセスによって作成されます。トークナイゼーションとは、機密データを元のデータを復元できない一意の識別子に置き換えるセキュリティ技術です。Apple Pay の場合、DAN はあなたのカード番号を一意の鍵で暗号化することで作成されます。この鍵はデバイス内の Secure Element に保存されており、他の誰もアクセスすることはできません。
Apple Payにおける4つの不正パターン
4.1 Apple Pay に特有ではないもの
Apple Pay は一般的に安全な決済手段と考えられていますが、オンライン取引で利用する場合には、いくつかのリスクが伴います。
これらのリスクには次のようなものがあります
- 不正なウェブサイト：Apple Pay に対応していると偽る不正なウェブサイトが多数存在します。これらのサイトは一見正規のサイトのように見えますが、あなたの個人情報を盗み取ることを目的として作られています。
- データ侵害：加盟店のウェブサイトがハッキングされると、あなたのApple Payのデータが漏えいする可能性があります。その結果、犯罪者があなたのアカウントを使って不正な購入を行うおそれがあります。
- マルウェア：悪意のあるアプリをダウンロードすると、Apple Pay のデータが盗まれてしまう可能性があります。
4.2 Apple Pay 特有のリスク
Appleは新たな関係者を決済エコシステムに加えることで、状況をより複雑なものにしました。
現在では、加盟店が取引で何が問題だったのか（たとえば、承認率の悪化や、Apple に登録されている請求先住所が有効かどうかの確認など）を調査しようとすると、Visa、Apple、そしてカード発行会社のそれぞれと原因を切り分けて調査しなければならない場合があります。
ほとんどの場合、発行会社の責任だと指摘されるでしょう。
一部の発行会社にとってはこれは新しいシステムであるため、通常、Apple Pay には複数の抜け穴が存在しています。
いくつかの抜け穴は次のとおりです。
- Apple Pay にカードを追加する際のカード情報不正使用（カーディング）攻撃に対する保護が不十分である。
- Apple Pay における請求先住所の確認が不十分である。
ここからは、Apple Pay に関するいくつかの問題について説明します。
Apple Pay において、支払いを受け付ける場面こそが、不正利用に対する責任が最大の問題となる部分です。加盟店側は不正利用に対する責任を負っているにもかかわらず、元となるカード番号を持っていません。一方で、発行会社はカード番号こそ把握していますが、不正被害の損失についての責任は負わないため、不正を止めようという動機づけが弱いのです。発行会社にとって取引とは、加盟店が売上を得て、自分たちは不正損失の打撃を受けるだけのものになっています。
4.2.1 Apple Pay の DAN からイシュアへのマッピング
不正行為を検知する古典的な方法の一つが「BINマッピング」です。カードの最初の6桁（バンク・アイデンティフィケーション・ナンバー、略して「BIN」）を使って、カード番号から発行会社を特定する手法です。
Apple Pay によって BIN マッピングの有効性は変化しました。多くの社内および社外の BIN データベースベンダーが Apple Pay の DAN をサポートしていなかったためです。Apple Pay の BIN は従来と異なっていたため、「リスキーな発行者」や「ネオバンクであるかどうか」といった機能が機能しなくなりました。
発行会社が不正アクセスを受けた場合や、加盟店がそのカードがリスクの高いネオバンクや不正対策の甘いカード発行会社に属しているかを知りたい場合、そうした機能は利用できません。
不正対策チームからのヒント： これを解決するには、Apple Pay に対応した BIN から発行会社へのマッピングをサポートする不正対策ベンダーが必要です（それって誰のことでしょうか 🐟👀）。いずれ Apple が加盟店にとって使いやすい形で、この問題を解決してくれることを期待しています。
4.2.2 同一カードに対する複数のDAN/TOKEN
不正行為を見抜くための昔ながらの典型的な手法のひとつが「ベロシティチェック」でした。同じカードが同じ加盟店で何度も（10回、20回、あるいは100回）利用されているのを確認した場合、その購入パターンは不正の可能性を示しているかもしれません。
Apple Pay では、不正利用者が同じカードを複数の iPhone デバイスに追加すると、それぞれに別々のDAN が割り当てられます。
不正対策チームからのヒント： マーチャントの皆さんは、PSP や不正対策ベンダーに相談し、内部 カード番号、つまり DAN に対応する永久アカウント番号参照番号を軸にした集計が可能か確認してください。
これは不正被害を大幅に減らすことができます。
結論
Apple Payは安全な支払い方法ですが、オンライン取引で利用する際に伴うリスクを理解しておくことが重要です。
Appleはプライバシー（指紋認証やトークン化）で有名ですが、その一方で、Apple PayとSafariモバイルブラウザの両方において、不正対策のために加盟店が利用していた一部のデータが取得できなくなります。上記のポイントに従うことで、あなたの個人情報と資産を守る手助けになります。
私たちは皆さんが直面している脅威について伺い、可能な限りお手伝いしたいと常に考えています。特定の課題があり、当社の不正対策チームに相談してみたい場合は、ぜひご連絡ください。