クレジットカードみなさん使ってますか？
定期的に不正利用がニュースになっていますよね。
そもそも不正利用出来る設計になっているのガバガバな設計だなと思いクレジットカードについて考えてみました。
カード一枚に認証コードが書かれているバグ
クレジットカードには通常、16桁のカード番号、名義人、有効期限、そして裏面に3桁か4桁の「セキュリティコード（認証コード）」が書かれています。
これ、冷静に考えてみてください。
Webサービスで例えるなら、「ID」と「パスワード」が同じ紙にデカデカと印刷されて、誰でも見られる状態になっているのと同じです。セキュリティの常識からすれば、完全に「バグ」と言わざるを得ない設計ですよね。
例えば、飲食店で店員さんにカードを渡して決済してもらうとき。あるいは、後ろに並んでいる人にスマホでパシャリと1枚写真を撮られたとき。
その一瞬だけで、あなたの「ログイン情報」はすべて相手に渡ってしまいます。サインも暗証番号の入力も必要ないネット通販なら、その盗まれた情報だけで数万円、数十万円の買い物が簡単にできてしまう。
「物理的なカードが手元にあるから安心」というのは完全な錯覚で、実際にはカードが他人の目に触れた時点で、いつでも不正利用されうるヤバい状況に私たちは置かれているのです。
かつてはサインをしていた
クレジットカードを利用していたら署名(サイン）を求められたこと無いですか？
実はあのサイン、お店が数年間もわざわざ紙の控えを保管し、何かあればカード会社が倉庫から引っ張り出して人間の目で照合していました。
……でも、冷静に考えてみてください。 レジの店員さんが、カード裏面とレシートのサインをじっくり見比べて「筆跡が違いますね」なんて突き返した場面、見たことありますか？ ありませんよね。偽名を書こうが、適当な崩し文字だろうが、その場で決済は通っていました。
つまり、あのサインは「後から事件が起きたときの証拠残し」でしかなく、その場での不正利用を防ぐ壁としては最初から完全にザルだったわけです。
そもそも、「最初から不正利用される前提」で、後からめんどくさい照合が必要な仕組みを使っている時点で完全にナンセンスです。
「1万円の壁」という根拠のない制限
「誰でも盗み放題・使い放題」と言うと、カード会社はきっと「いやいや、タッチ決済には1回あたり1万円までという制限を設けているから安全です」と言い訳するでしょう。
確かに、高額な不正利用を一発で防ぐという意味では、ないよりはマシです。でも、これって「1万円までなら盗まれてもいい」とカード会社が開き直っているのと同じじゃないですか？
もしカードを落として、悪意のある人に拾われたらどうなるか。コンビニやドラッグストアをハシゴして、9,000円ずつの買い物を何回も繰り返されたら、それだけで簡単に大金を騙し取られます。
「上限を低くしたから不正利用されても被害は少ないでしょ」という、カード会社側の責任逃れのような中途半端なルール。これこそ、根本的な認証システム（本人確認）を作るのを諦めて、小手先の制限で誤魔化している証拠です。
実はテレビショッピングの名残という事実
じゃあ、なぜそんなザルな「3桁の数字」が生まれたのか。実はこれ、インターネットが普及するより大昔、「テレビショッピング」や「カタログ通販」がアメリカで大流行した時代に作られた名残みたいです。
当時は、テレビ画面に映る電話番号にダイヤルし、オペレーターに口頭でカード番号を伝えて買い物をしていました。
それが、「手元に物理カードがある人しか知り得ない、裏面に印刷された3桁の数字を言わせる」という、セキュリティコードの仕組みでした。
当時はこれで十分だったんです。
まさかコンピューターがその3桁の数字を「総当り」で超高速ハッキングしてくる時代（クレジットマスター）が来るなんて、当時のカード会社は夢にも思っていなかったわけです。
数十年前のテレビショッピング用の応急処置を、令和のインターネット社会でもそのまま主役として使い続けている。これこそが、このシステムの限界を物語っています。
そもそも控える前提なら不正利用されますよね？
これは相手が悪用しないと思っている「性善説」で成り立っていました。
つまり、相手がメモを盗まれたり、悪意を持って情報を横流しした瞬間に、私たちのセキュリティは一発で崩壊する設計だったわけです。
そんな「他人に情報を握らせる前提のガバガバシステム」に、ようやくカード会社も危機感を覚え始め、登場したのが「あのカード」でした。
番号なしカードが流行っているが
最近、カードの両面に番号やセキュリティコードが一切書かれていない「ナンバーレスカード」が増えています。
確かに、店員に渡したときに盗み見られるリスクは減りました。一見、セキュリティが向上したかのように思えます。
でも、これって「根本的な解決」ではなく「ただ隠しただけ」なんですよね。
カードの裏に書いてあった情報が、スマホのアプリの中に移動しただけ。
ネット通販で使うときは、結局その「IDとパスワード（カード番号とコード）」を引っ張り出してきて画面に入力するわけです。認証の仕組み自体がガババガなのは1ミリも変わっていません。
セキュリティコードを総当りで突破する不正利用が流行っている
その証拠に、最近ニュースを騒がせているのが「クレジットマスター」と呼ばれる手法です。
これは、盗んだカード番号に対して、コンピューターで「000」から「999」までのセキュリティコードを高速で総当り（ブルートフォース）して突破するサイバー攻撃。たった3桁（1000通り）しかないので、機械にかければ一瞬で正解に辿り着いてしまいます。
Webサイトのログインなら、3回パスワードを間違えたらアカウントがロックされますよね？
なのにクレジットカードの世界では、この総当りが通ってしまうザルな決済サイトが未だに大量に残っている。これが「現代最悪の認証設計」と言わざるを得ない理由です。
ネット決済は一応認証メールが届く
「いやいや、最近はネットで買うときに、スマホにワンタイムパスワードのメールやSMSが届くでしょ（3Dセキュア）」と思うかもしれません。
確かにあれで少しはマシになりました。しかし、あれも「後付けの延命処置」に過ぎません。
そもそも、最初のカード番号とコードの設計がしっかりしていれば、決済のたびにわざわざ別の画面に飛ばされて、認証コードをコピペするなんていうユーザーに負担を強いる二度手間は発生しなかったはずです。
スマートじゃない上に、フィッシング詐欺の偽画面を見分けるのが難しくなるという別のリスクまで生み出しています。
ポスト投函で終わる最近のカード会社
昔は重要書類として「本人限定受取」や「書留」で手渡しされるのが普通でした。しかし最近のカード会社は、コスト削減のためか、普通にポスティング（ポスト投函）で送ってきたりします。
それが鍵付きでもないアパートのポストに投函されてしまう。もし誤配送されたり、抜き取られたりしたら一発で終わり。
カード会社自身が、このカードの持つ「情報の重み」を軽視しているとしか思えません。
せめて届いてもサイト上で認証してから使える用にすべきです。
せもそもユーザーに届いたあと、専用アプリやマイページから「アクティベート（利用開始手続き）」のボタンを押さない限り、使えない設計にすべきですよね。
確かPayPay銀行がアクティベートしないと使えないシステムだったと思います。
それなのに、封筒を開けた瞬間からすでに使える状態で送りつけてくる。
コスト削減のために配送をケチるなら、せめてシステム側のセキュリティでカバーするのが当然のはずです。
（R社とか良い例ですね・・・・。）
そもそも物理カードは時代遅れ
結論として、プラスチックの板に固定の数字を刻印して持ち歩く「物理カード」という概念自体が、今の時代には完全にミスマッチなんです。
現代のまともな決済は、Apple PayやGoogle Payのように「スマホの中で、その都度使い捨ての暗号化データ（トークン）を発行して決済する」形に進化しています。これなら、店側にデータが漏れても2度と使えないので不正利用されません。
数十年前のシステムをだましだまし使い続け、ユーザーに「盗み見られないように気をつけろ」「不正利用は明細を見て自分で気づけ」と責任を丸投げするクレジットカード。
この「最悪の認証設計」が1日でも早く過去の遺物になり、すべてがデジタルで安全な認証に置き換わることを切に願います。
「現金が最強」という現金主義者も論外である
ここまでクレジットカードの設計のボロクソさを語ってきましたが、「だったら不正利用のリスクがない現金が一番安全で最強じゃん」と思ったそこのあなた。
残念ながら、それをもっと論外です。
現金派の人はよく「クレカは不正利用が怖い」と言いますが、物理的な現金のセキュリティは「ガバガバ」どころか「セキュリティという概念そのものが存在しない」レベルです。
もし財布を落としたら、中の1万円札にあなたの名前は書いてありません。拾った人がそのままコンビニで使ってしまえばそれまで。追跡もできなければ、クレジットカードのような「盗難補償」で全額返ってくることもかなり難しいです。100%自己責任、一発で終わりです。
さらに、現金決済は「社会全体のコスト」を泥棒のように貪っています。 ATMの維持費、現金を運ぶ警備会社のトラック、店員が毎日行うレジ締めの時間……これらすべて、現金という「不便な物理物」を維持するために、私たちが間接的に負担させられているコストです。
リスクから目を背けて「現金が安心」と引きこもっているのは、現代のテクノロジーの恩恵を自らドブに捨てているのと同じです。
「でも災害やサーバダウンしたらおしまいじゃん？」というお決まりの反論
現金派が最後の砦として持ち出してくるのが、「通信障害や大地震で停電したら決済できなくて詰む」というライフライン論です。
一見もっともらしく聞こえますが、これも冷静に数字と現実を見ればただの極論だと分かります。
まず、大手の決済サーバーが落ちるなんて、現実的には1年に1回あるかないかのレベルです。しかも、普段から「PayPay」「iD」「クレジットカード」のように複数の決済手段を分散して持っておけば、どこか1社が落ちたところで何のダメージもありません。
さらに言えば、最近のPayPayなどは「オフライン支払い」に対応しており、スマホが通信障害になっても、あるいは停電した店舗でも、一定金額までなら決済できる仕組み（※過去の災害時にも稼働実績あり）を実装しています。
百歩譲って、街全体が何日も停電するような「ガチの大災害」が起きたとしましょう。 そのレベルの非常事態になったら、そもそもお店の電子レジ自体が動かないので、現金があっても買い物なんて難しいでしょう。ATMはお札を吐き出さなくなり、暗闇の中で手元の小銭を数える不毛な時間が待っているだけです。
「1年に1回起きるかどうかのトラブル」を過剰に恐れて、残りの364日の日常をすべて不便でガバガバなシステム（現金や物理カード）に捧げるのは、あまりにも本末転倒ではないでしょうか。
財布を一切持ち歩かないスマホだけの時代が来る
スマホ一台で何でもできる時代になっています。
極論を言えば、もう財布を持ち歩かなくても生活出来る時代です。
それなのに、認証コードが丸見えの物理カードや中途半端なルールのせいで、私たちは未だに財布を持ち歩くリスクや不便を強いられています。
クレジットカードの形がもっと安全に使えるようになれば、世の中はもっと便利になります。
すべての決済が安全なデジタル認証に置き換わり、完全にキャッシュレスな未来が1日でも早く来ることを、切に願ってやみません。
コメント