私のキャリアのほとんどの期間において、カードテストは誰もわざわざ話題にしようとしない不正問題でした。
どの不正対策チームも、その存在はわかっていました。静かな火曜の朝に1ドルの取引が一斉に走るのを見ては、肩をすくめてベロシティルールを一つ投げて適用し、そのまま次へ進むだけでした。チャージバックが報告されることさえほとんどなく、損失は取るに足らないものと見なされていました。他にもっと対処すべき大きな問題があったのです。
しかし、2026年に状況は変わった。
この記事は、プレッシャーを感じ始めている加盟店やアクワイアラー、そしてスキームプログラムの議論や取締役会向け資料、エスカレーション対応の電話の中で、突然カードテストの問題が表面化してきたと感じている方々に向けたものです。
カードテストとは実際には何なのか、なぜ不正利用者がそれを行うのか、なぜ今これまで以上に重要になっているのか、そして不正対策スタックを根本からひっくり返すことなく、どうやって止めるのかを順を追って説明したいと思います。
カードテストの実際の仕組み
まず理解しておくべきなのは、詐欺師たちは盗まれたカードを1枚ずつ買うわけではないということです。彼らはそれらを何百枚、時には何千枚という単位でまとめて購入します。そうする理由は3つあります。
まず、まとめ買いによる価格設定（バルクプライシング）です。盗まれたカードは一種の「商品」であり、ほかのあらゆる商品と同じように、たくさん買えば買うほど1枚あたりの単価は下がります。大規模に不正を行うつもりであれば（そして多くのプロの詐欺師はそうしていますが）、最初から大量購入することで投資対効果（ROI）を高めることができるのです。
第二に、スケールすること自体が彼らのやり方なのです。このレベルの不正行為はビジネスのように動いています。連携したツール群、役割分担、自動化されたパイプラインによって、不正アナリストが1つルールを書くのにかかる時間で何千枚ものカードを処理できるのです。私たちは、現代の不正オペレーションがどのように構成され、スケールしているかについて、より詳しく記事にしています。全体像を知りたい場合はそちらをご覧ください。ここで重要なのは、何百枚単位でカードを購入することこそが、そのオペレーションの供給側の実態だという点です。
三つ目に、そしてここからが本当に興味深いところなのですが、そうしたカードの多くはすでに無効になっているのです詐欺師の手元に届く頃には。
ポイントはこうです。詐欺師たちは、常にお互いをだまし合っています。もし私が1,000枚のカードを盗んだハッカーだとしたら、その同じ1,000枚のカードを複数の買い手に売ることを止めるものは何もありません。そして実際に、それが頻繁に起きています。だから、ある詐欺師がひとまとまりのカードを買ったとき、その中のかなりの枚数は、すでに以前の買い手に使われてしまっている可能性があります。カード保有者が不正を報告し、発行会社がカードを止めてしまった結果、そのカードはもう価値がなくなっているのです。
しかし詐欺師には、どのカードがどれなのか分かりません。これが投資収益率（ROI）の問題を生み出すのです。
数千ドルを払って1,000枚のカードを買ったところだと想像してみてください。それぞれのカードでしっかり稼ぐには、新しい端末、クリーンなVPNセッション、新しいメールアカウント、場合によっては新しい荷受け役まで必要になります。こうした準備には、試行ごとに本物のお金と本物の時間がかかるのです。
次に、そのカードが使えないものだったとしたら、あの一式のインフラを丸ごと立ち上げたところでどうなるか想像してみてください。せっかくの準備がすべて無駄になってしまうのです。
これは詐欺師たちにとって、少し「ジレンマ（キャッチ 22）」のような状況を生み出します。一方で、すべてのカードに全力で投資すれば、ROI（投資収益率）は大きく下がってしまいます。しかしその一方で、まったく投資しなければ、手元にある生きているカードをうまくマネタイズできない可能性が高まり、その結果としてやはりROIが下がってしまうのです。
この問題への明白な解決策は、まずカードをテストすることです。バッチ内のすべてのカードに対して、通常は1ドル、多くてもそれ以下のごく小さな金額で、体系的に少額の取引を実行していきます。
目的は収益化することではなく、どのカードがまだ有効かを見極めることです。審査を通過したカードは「収益化」用の束に回され、通過しなかったカードは破棄されます。
カードテストの目的は「古典的な」カード不正利用とは異なるため、その見え方も違ってきます。カードテストは、普通なら狙われないと思われる加盟店をしばしば標的にします。詐欺師は、任意の金額で寄付できる慈善団体のプラットフォームのような、チェックが緩いサイトをテストの場として好んで利用します。
同時に、ほとんどの不正検知システムは、デフォルトで取引金額に敏感に反応するよう設計されています。これは、加盟店やPSPから、アクワイアラー、発行会社に至るまで、あらゆるレイヤーで当てはまります。1ドルの請求は、同じ内容で200ドルの請求であれば引っかかるようなチェックも素通りしてしまいます。
詐欺師たちは、これらのどちらについても無知ではありません。その相乗効果によって、彼らは不正防止システムをはるかに簡単にすり抜けられるようになります。
それがカードテストです。低コストで自動化されており、インフラもほとんど必要なく、多くの場合は目に見えません。
カードテストが今やあなたの課題となっている3つの理由
つい最近まで、この質問に対する正直な答えは「おそらく、やめておいたほうがいい」でした。
もし詐欺師があなたのチェックアウトで1回あたり1ドルで500枚のカードを試した場合、あなたの直接的な損失は500ドルになります。しかもそれは、すべてのテストが成功した場合に限った話で、実際にはそうはなりません。ほとんどのテスト取引は、そもそもカードレベルでブロックされてしまうからです。
それでもカードテストを気にかけるべき理由が3つあります。2つは以前から変わらず当てはまり、1つは新しい理由です。
理由その1：VAMPによって計算が変わった
Visa が統合不正対策プログラムである Visa Acquirer Monitoring Program（VAMP）を導入した際、それまでの Visa Fraud Monitoring Program と Visa Dispute Monitoring Program をひとつの枠組みに統合しました。さらに重要な点として、金額ベースではなく件数ベースで不正事案を追跡する、明確な件数基準（しきい値）が新たに設けられました。
旧プログラムの下では、500枚のカードを使ったテスト攻撃で500ドルの損失が出ても、取るに足らないものと見なされていました。しかしVAMPでは、その同じテスト攻撃が件数ベースのしきい値を超え、プログラムの対象となる引き金になり得ます。プログラムに入ると、罰金や加盟店契約先からの厳しい監視に加え、場合によってはインターチェンジ手数料の引き上げといったペナルティが科されます。
突然、カードテストの金銭的なコストは、テストで失った500ドルだけではなくなります。プログラムに入ってしまうことで発生する制裁金こそが、真のコストになるのです。極端な場合には、加盟店契約を結んでいる決済代行業者から、完全に契約を打ち切られてしまうことさえあります。
VAMP がどのように列挙率を算出しているのか、その詳細な内訳や、現在の RDR と CDRN が何をしていて（そして何をしていないのか）、さらに Compelling Evidence 3.0 がどのような位置づけになるのかを知りたい場合は、当社共同創業者の Zahid Shaik がこちらで VAMP について詳しく解説しています。
ここで仕組みをあらためて説明するつもりはありません。ここで取り上げるべきなのは、多くのカードテストの議論で飛ばされがちな部分――実際の数字です。
指標 | しきい値 | 何がそれを引き起こすのか |
VAMP列挙比率 | ≥ 2,000 bps（承認および却下された試行の両方を含む） | 承認済みと拒否された認証試行の合計 |
最小列挙トランザクション数 | 月間の列挙された認可件数（承認＋却下）が 300,000 件以上 | 列挙された認可（承認＋却下） |
リスク | 罰金、アクワイアラーによる精査、より高いインターチェンジ手数料 | 単月で継続的に実施されるカードテストキャンペーン |
要点として、VAMP は金額だけでなく件数でもペナルティを課します。加盟店は、不正によって数十万ドル規模の損失を出していなくても、このプログラムの対象になり得ます。列挙された承認件数が全承認件数に対して十分に高い比率となり、かつ最低取引件数の基準を超えていればよく、その条件は、継続的なカードテスト（カード情報の総当たり攻撃）キャンペーンによって 1 か月もあれば容易に満たされてしまいます。
カードテストを見抜ける時間的猶予は短く、エージェント型AIの登場でさらに縮まっている
理由2：カードテストはデータを汚染する
この点について語る人はほとんどいません。ですが、本当は語るべきことです。
承認されて決済まで進んだカードテストの取引には、実は重要なポイントがあります。ほとんどの場合、それらがチャージバックされることはありません。
なぜでしょうか？それは、実際のカード名義人や発行会社にとって、チャージバックを申し立てるコストの方が、戻ってくるかもしれない1ドルよりも高くつくからです。カード名義人はその請求に気づかないことさえあります。
その不正な取引は、フラグも立てられないままあなたのデータセットに残り、時間が経つにつれて正当な取引として扱われてしまいます。さらに、それが数か月の間に何万件ものカードテスト取引にわたって繰り返されるとどうなるでしょうか。少額決済がぎっしり詰まり、まったく新しい決済手段を使い、注文履歴もなく、配送先住所も再利用されていないという、明らかに不正なパターンを、あなたは知らないうちに「良い取引」としてラベル付けしてしまっているのです。
あなたのモデルやルールは、いまや不正と正常を見分けるのが以前より難しくなっています。なぜなら、学習に使っているデータの一部に、ラベル付けされていない不正取引が含まれているからです。
それはゆっくりと進む、目に見えない劣化です。検知性能の低下に気づいたときには、すでに1年分の誤ったラベルを学習データに取り込んでしまっているのです。
理由3：カードテストは不正利用者のインフラを暴き出す
これは最も興味深い理由であり、ほとんどのチームが活用していない点でもあります。
詐欺師はカードテストに多くの投資をしません。そもそも「テスト」とはそういうものだからです。そのため、彼らは安価で露出したインフラに頼ってそれを行う傾向があります。
- 既知のデータセンターや低品質なVPNプロバイダーからのIPレンジ
- 指紋を丁寧に偽装しようとしないデバイス
- 大量の使い捨てアカウントを一括作成するために使用されるメールドメイン
どれも立ち上げるのに大したコストはかからず、捨てるのにもほとんどお金はかからない。あなたに見せているのは、その表面だけだ。
ここで取るべき行動は単純です。これらのアセットをブロックリストに登録してください。その一部は、同じ詐欺師やまったく別の詐欺師によって、あなたに対するより高価値な攻撃で再利用されることになります。
それらを上流でブロックすることは、安価なテストを防ぐだけでなく、その後に続く高価な攻撃の一部も防ぐことになります。
なぜカードテストは多くの不正行為よりも発見しやすいのか
カードテストは厄介な問題になりがちです。しかし、ひとたび本気で対策しようと決めれば、カードテストの阻止は比較的取り組みやすい不正対策のひとつです。
だからといって「大した問題ではない」と言っているわけではありません。なぜ重要なのかを説明しただけです。カードテストという不正の型は、多くの不正問題とは違って追跡しやすいのだ、ということを言いたいのです。
具体的には、ほとんどすべてのカードテストのキャンペーンには、ほぼ必ず当てはまることが2つあります。
まず第一に、自動化されています。 以前は、スクリプトボットがループでエンドポイントを叩き続けるものでした。次の波として私たちが想定しているのはエージェント型のシステムで、より高度で適応性が高いものの、最終的には依然としてマシンの速度とマシンのスケールで動作します。
攻撃の手口は進化し続けますが、自動化されているという事実は変わりません。
第二に、詐欺師たちは常にインフラを入れ替える余裕がありません。彼らがテストを繰り返している理由は、1回あたりのコストをできるだけ低く抑えるためです。
もし彼らがテストのたびに新しいデバイスやIP、メールアカウントを無制限に用意できる予算を持っているなら、とっくに収益化しているはずです。だからこそ、同じ少数のデバイス、IP、メールドメインが、何百回、何千回もの試行の中で繰り返し登場する傾向があるのです。
その2つの特性を組み合わせると、答えは階層化された検知体制となり、デバイスおよび行動バイオメトリクス（DIBB）と包括的なベロシティカウンターを組み合わせたものになります。
DIBB レイヤーは自動化のシグナルを検知します。「ユーザー」が改ざんされたデバイスフィンガープリントと、スクリプトだと叫んでいるような行動シグナル（マウスの動きがない、不自然なタイピングリズム、複数回の試行でまったく同じセッションタイミングなど）を伴って現れたとき、取引が認可プロセスに到達する前に、そのデバイスがすでにすべてを物語っているのです。
同時に、ベロシティレイヤーはスケールのシグナルを捉えます。このデバイスからの直近1時間の認証試行は何回か？このIPから、当社のすべての加盟店に対しては何回か？同じBINレンジに対するテストは何回行われているか？どれくらいの速さで新しいカード番号を次々と試しているのか？
それぞれの問いに答えるコストは低い一方で、答えが高い値で返ってきたときには非常に有益な情報になります。
どちらのレイヤーだけでも十分ではありません。高度なボットであれば、デバイスチェックをすり抜けてしまうことがありますし、忍耐強い不正者であれば、ベロシティのしきい値を下回ったままでいることもあります。
しかし、その組み合わせこそがカードテストの決定的な兆候です。両方のレイヤーを連携させていれば、VAMP比率に意味のある悪影響が出る前に、カードテストのキャンペーンの大半を検知できます。
これに取り組む際に、元実務者としてうまく進めるためのポイントをいくつか挙げます。
- ブロックするだけでなく、タグ付けもしましょう。テスト中に露出したインフラは、後から活用できる貴重なインテリジェンスです。スタックがカードテストをブロックするだけで、そこで得た情報を保存しないのであれば、その価値の半分を捨てていることになります。
- テストの件数だけを基準に、ベロシティのしきい値を設定してはいけません。テスト件数とインフラの重なり具合の組み合わせを基準に設定してください。「このIPから200件の認証試行があった」というのは一つのシグナルにすぎません。「このIPから200件の認証試行があり、200種類の異なるBINに対して行われ、すべて拒否された」というところまで見て、初めて全体像が見えてきます。
- 詐欺者がいつまでもテストを続けるとは思わないでください。テスト段階で必要なものを手に入れた瞬間に、彼らは通常よりクリーンなインフラを使って、数日から数週間後にはマネタイズ（不正利用による利益獲得）へと切り替えます。テスト段階から学習できる時間的な猶予は多くの人が考えているより短く、さらにエージェント型AIが加わることで、その猶予はますます短くなっています。
多くの不正対策スタックがうまく機能しないポイント
カードテストは解決が最も難しい不正問題というわけではありませんが、大規模な環境で、DIBB とベロシティの両レイヤーが実際に連携して動くようにしてうまく解決することが、多くの不正対策スタックがうまくできていない部分です。そこにフィットするのが Sardine です。
私が説明したDIBBのプリミティブは、プラットフォームの中核となる機能です。IDローテーションを行っても有効なデバイス・フィンガープリンティング、VPNやプロキシを見抜く正確なIP検知、人間とボットをリアルタイムで見分ける行動バイオメトリクスといった能力を指します。
さらに、その上にある当社のベロシティレイヤーは、デバイス、IP、BIN、アカウントなど、必要なあらゆる切り口で、加盟店やコンソーシアム全体を横断して柔軟に設定できます。そして当社のコンソーシアムデータにより、ある顧客でカードテストに使われたインフラは、最初の試行が行われる前から、次の顧客に対してリスクの高いものとして可視化されます。
それが複利的な優位性です。カードテストによって、安価なインフラが露呈します。安価なインフラは共有されます。そして、そこに参加するあらゆる加盟店から学習するネットワークは、その露呈を、すべての人に利益をもたらすシグナルへと変えていくのです。
