Visaは正式に、新たな不正・紛争監視の枠組みであるVisa Acquirer Monitoring Program（VAMP）を開始しました。
新しいVisaの紛争ルールにより、既存のVAMP（Visa Acquirer Monitoring Program）、VFMP（Visa Fraud Monitoring Program）、VDMP（Visa Dispute Monitoring Program）が統合され、単一のグローバルプログラムとなることで、Visa Acquirer Monitoring Program（VAMP）の要件が更新されます。プログラムのしきい値に対する更新は、2025年6月1日から有効になっています。
毎月、Visa は不正、紛争、および列挙の発生状況を監視し、月次の VAMP 閾値を超えた加盟店契約会社または加盟店を特定します。プログラムの閾値を超えたと判断された事業者は、リスク軽減のための管理措置を実施することが求められます。
本記事では、VAMP の重要なポイント、変更点、それが加盟店やアクワイアラーに与える影響、そして不正対策チームがどのように対応すべきかを解説します。
VAMPとは何ですか？
このプログラムの中核となる指標は、カード非対面のVisaNet取引（国内および国境を越える取引）における不正や紛争の主要要素を含む、単一の件数ベースの比率（VAMP比率）です。
VAMP比率 = [不正利用（TC40）+ 異議申し立て（TC15）] の件数 ÷ 決済済み取引（TC05）の件数
VAMP比率には追加の条件があります：事前解決手段によって解決された紛争を除外し、さらに、コンペリング・エビデンス3.0の要件を満たすTC 40の不正取引を除外します。
以前、Visa は VDMP と VFMP のもとで、紛争と不正を別々に追跡していました。VAMP はそれらを 1 つの指標に統合します。これによりコンプライアンスの枠組みはよりシンプルになりますが、対策を講じない限り、不正に関連する紛争が二重にカウントされるリスクも高まります。
VAMPにおける主な変更点
プログラムのしきい値
アクワイアラーのポートフォリオは、VAMP 比率が 50bps 以上の場合は「標準超」、70bps 以上の場合は「過剰」と判定されます。いずれの判定水準でも、プログラムへの参加には、月間の不正および紛争件数が最低 1,500 件であることが条件となります。
買収業者が「標準超過」または「過剰」に該当しない場合、以下の過剰加盟店のパフォーマンス基準が適用されます。
VAMP 過剰加盟店のしきい値 | ||
米国、EU、カナダ、APAC | 中南米およびカリブ地域 | 中央ヨーロッパ、MEA |
VAMP比率：220bps以上 月次の不正・異議申し立て件数：1,500件以上 | VAMP比率：150bps以上 月次の不正・異議申し立て件数：1,500件以上 | VAMP比率：220bps以上 月次の不正・紛争件数：150件以上 かつ 金額75,000米ドル以上 |
列挙型攻撃の監視を開始
Visaは今後、VAMP評価の一環として列挙攻撃を直接追跡します。列挙攻撃とは、不正利用者が多数のPAN、有効期限、CVVの組み合わせを用いてカード非対面取引の認証を自動的に試行し、有効な組み合わせを探し出す行為を指します。
VAMP は、加盟店が列挙攻撃のしきい値を超えないようにするため、アクワイアラーに対して事前に対策を講じることを求めています。
- VAMP 列挙率は、次のように定義されます：［列挙された認証トランザクション数（承認＋拒否）］ ÷ ［認証トランザクション総数（承認＋拒否）］が 2000bps 以上
- 最小 VAMP 列挙取引件数は、次のように定義されます：列挙された取引（承認＋却下）、30万件以上
RDR、CDRN、およびコンペリング・エビデンス3.0の変更点
VAMP の下で、Visa は標準的な解決ツールによって解決された不正および紛争シグナルの扱い方を変更しました。
Visa の RDR プログラムでは、RDR と CDRN はもはや TC40 を抑止しないため、不正レポートは引き続き不正率の計算対象になります。ただし、RDR と CDRN は依然として、不正・非不正の両方のケースにおいて TC15 を相殺し、異議申し立て件数を減らします。その結果、これらは従来のプログラムと比べて不正管理の効果は低くなっていますが、不正とチャージバックの両方が発生しうる場合に二重計上を防ぐ手段としては依然として有用です。
発行会社に承認された Order Insight を通じて提出される Compelling Evidence 3.0 は、現在、TC40 を抑制し、VAMP の計算から不正のシグナルを完全に除去できる唯一の手段となっています。
不正対策チームにとっての意味
VAMP は、不正行為や紛争がどのように追跡・測定され、制裁を受けるかという基準を引き上げます。EC コマース事業者や決済プロセッサーにとって、許される誤差の範囲はますます小さくなっています。
- 加盟店の不正対策チームは、損失防止だけでなくシグナルのコントロールにまで焦点を広げる必要があります。列挙トラフィック、未解決の紛争、未提出のCEは、いずれもVAMP比率の上昇要因になり得ます。見逃したシグナルが1つ増えるごとに、過剰分類と判断されるリスクが高まります。たとえあなたのチャージバック率が書類上は問題なく見えていたとしても同様です。
- アクワイアラーにとって、いまやリスクはポートフォリオ全体で共有されるものになっています。1社の加盟店における不正や紛争の状況次第で、あなたのポートフォリオ全体がしきい値を超えてしまう可能性があります。つまり、より綿密なモニタリング、より早い段階での介入、そして加盟店がRDR、CDRN、CE 3.0といったツールをどのように活用すべきかについての明確な指針が求められるということです。
両者に共通する結論は同じです。VAMP によって、対応までのタイムラインとミスが許容される余地は大幅に圧縮されます。コンプライアンスを維持するには、シグナルの質、解決までのスピード、そして部門横断での責任体制について、これまで以上に主体的に取り組む必要があります。
コンプライアンスを維持するためのVAMPのベストプラクティス
1. 認可トラフィックを監視し、列挙パターンを検知する
チャージバックだけにとらわれないでください。承認拒否の急増、類似したBINによる繰り返しのオーソリ試行、特定の発行会社やカードレンジに対するトランザクションの急激な増加を監視しましょう。列挙攻撃のリスクは、取引後のデータだけでは常に見えるとは限らないため、より上流の段階で検知する必要があります。
2. 過剰なブロックを避けつつ、却下ロジックを最適化する
ボットを検知できるように速度やしきい値のルールを設定しつつ、大量トラフィックのフローで正当なユーザーを不当にブロックしないようにしてください。意思決定には、デバイス情報や行動シグナルを活用し、トランザクションのメタデータだけに頼らないようにしましょう。
3. RDR と CDRN を活用して早期に異議申し立てを抑制する
可能な限りRDRへの登録を自動化し、CDRNアラートには迅速に対応しましょう。これらのサービスはTC40を防ぐことはできませんが、TC15を排除し、VAMPでの紛争件数を減らすことができます。
4. 不正利用の反論に対して CE 3.0 ワークフローを導入する
チームがコンペリング・エビデンス3.0を、案件が期限切れになる前に迅速に収集・提出できるようにしてください。Order Insightとの連携を活用して、デバイスフィンガープリント、行動の一貫性、一致する位置情報を可視化しましょう。TC40を抑制するための唯一の手段がこれです。
5. VAMPシグナルに対するアクワイアラーの可視性を確保する
もしあなたが加盟店であれば、決済代行業者に TC40、TC15、そして列挙率（enumeration ratios）を共有してもらうよう依頼してください。見えないものは改善できません。もしあなたが決済代行業者であれば、自分たちが見ているものを加盟店にも簡単に見られるようにしてください。
6. 不正行為、紛争、およびネットワークコンプライアンスにわたって責任の所在を統一する
所有権が分断されていると、問題解決が遅くなります。不正防止、チャージバック、CE 提出を担当するチームが、同じしきい値、同じツール、そして同じ VAMP のタイムラインに基づいて業務を行っていることを必ず確認してください。
7. VAMP の状況は四半期ごとではなく毎月見直す
罰金が発生してから対応するのではなく、社内レポートやアクワイアラーのダッシュボードを活用して、紛争率の推移や不正分類リスクをほぼリアルタイムで把握しましょう。Visa の基準値より低い社内アラートの閾値を設定し、早期に軌道修正できるようにしてください。
加盟店はどのようにして列挙攻撃を最小限に抑えられますか？
ビザは、どの取引が列挙攻撃としてフラグ付けされるかを公表していません。そうした情報を開示すると、攻撃者に手がかりを与えてしまう可能性があるためです。ネットワークはおそらく、VAAI スコアを含む可能性のある社内モデルを用いて、列挙された取引を特定していると考えられます。
加盟店は、信頼できるベンダーを利用するか、自社でボット検知機能を構築し、このような不正行為を早い段階で特定できるようにすべきです。
高リスクの加盟店業種コード（MCC）で事業を行っている場合、ボットによる標的となる可能性は大幅に高くなります。CAPTCHA は状況によっては有効な場合もありますが、多くの場合、正当なユーザーにとって摩擦を生む原因となります。その代わりに、次のような対策を推奨します。
- ボットを検知するために、見えないフォームフィールドを使用しましょう。人間のユーザーには見えず無視されますが、自動化されたスクリプトによっては入力されてしまう隠しフィールドを、チェックアウトやログインのフローに追加してください。
- 見えないCAPTCHAソリューションを活用することで、デバイスの挙動に基づいてエミュレーターやボットを検知できます。一部のプロバイダーは、ユーザー体験を損なうことなく自動化を検出するために、端末上のシグナルを利用しています。詳しくはこのブログで、Sardineが現在どのように取り組んでいるかをご覧ください。
- 高リスクなトラフィックの兆候に注意する。たとえば、認証試行回数の急増や異常な速度が見られる場合で、特に特定の発行者、BIN、または連続した複数のPANに集中しているケースです。強力なボット検知があれば、顧客取引を拒否する際に用いるベロシティしきい値を、より柔軟に設定できる可能性もあります。
- ボット行動の兆候がないか、レスポンスコードを確認してください。 レスポンスコード14（無効なアカウント番号を意味する）やレスポンスコード54（有効期限切れのカードを意味する）など、ボット攻撃の可能性を示すレスポンスコードによる承認拒否を確認してください。
ゼロデイシグナルに関する最新のブログでは、承認トラフィックや不正発生率に影響が出る前に、新たな脅威を検知するのに役立つ高度な指標について解説しています。
Sardine がどのように支援できるか
Sardine は、詐欺対策チームのワークフローにおけるスピード、精度、可視性を高めることで、VAMP のしきい値を下回る水準に維持できるよう支援します。
当社のプラットフォームは、静的なベロシティルールをはるかに超えるデバイス情報、行動データ、ネットワークレベルのシグナルを用いて、列挙攻撃をリアルタイムで検知できるよう設計されています。リスクの高い認証パターンを早期に可視化することで、チャージバックやポリシー違反が発生する前にボットを阻止することができます。
Sardine は、Compelling Evidence 3.0 に対応した統合サポートにより、チームのチャージバック／紛争解決を強化することにも貢献します。Order Insight を通じて強力な不正チャージ反論を行えるよう、デバイスの一致度、バイオメトリクスの一貫性、行動指標といったシグナルを自動的に収集・構造化します。
アクワイアラー向けに、Sardine は加盟店レベルでの列挙トレンド、チャージバック比率、不正の兆候を可視化し、リスクの高い加盟店を特定して、制裁基準に達する前に介入しやすくします。
二重計上の防止やTC40の抑止、ボットが深刻化する前の検知など、どのような課題に取り組んでいる場合でも、Sardine は VAMP のもとでより迅速かつ自信を持って行動するためのツールを提供します。
Sardine にお問い合わせくださいカード詐欺やチャージバックへの対処方法について詳しく知りたい場合は。
よくある質問
新しいVisaの紛争ルールプログラム（VAMP）とは何ですか？
Visa Acquirer Monitoring Program（VAMP）は、従来の Visa Fraud Monitoring Program と Visa Dispute Monitoring Program に代わり、2026 年から導入される新しいプログラムです。VAMP では、不正利用率と紛争（チャージバック）率を単一のしきい値に統合し、さらに列挙攻撃（カード情報の総当たり攻撃）モニタリングを明示的なカテゴリとして追加しています。
VAMPはいつから適用されますか？
完全な施行日は2026年10月1日です。Visaは、加盟店やアクワイアラーが本番の施行日までにモニタリングを調整できるよう、2026年の第2四半期および第3四半期に移行ガイダンスとアクワイアラー単位のレポーティングを公開します。
VAMP における列挙攻撃とは何ですか？
列挙攻撃とは、不正利用者がソフトウェアを使って、何千通りものカード番号・有効期限・CVVの組み合わせを加盟店のチェックアウト画面に対して試し、有効な認証情報を探し出す行為を指します。VAMP では、大量の列挙行為を不正やチャージバックとは別の比率カテゴリとして扱います。
加盟店向けの新しいVAMPのしきい値は何ですか？
2025年末時点では、Visaは最終的なマーチャント単位のしきい値を公表していません。アクワイアラ単位のしきい値は、不正利用、チャージバック（紛争）、および番号総当たり（列挙）を1つの比率に統合したものになっています。加盟店は、従来のVFMPおよびVDMPのしきい値と比べて、基準がより厳しくなることを想定しておくべきです。
Sardine はどのようにして加盟店が VAMP の閾値を下回るよう支援しますか？
Sardine はチェックアウト時にデバイスインテリジェンスと行動バイオメトリクスを活用し、認証リクエストに到達する前に列挙攻撃を阻止します。Sonar コンソーシアムは、アクティブな列挙パターンに対してカード BIN を事前スコアリングし、50 ミリ秒未満の判定により正当な顧客の利用体験を損なうことはありません。