従来のサイバー攻撃では、SQLインジェクションなどに代表されるように、システムの脆弱性を突いて、予期しない挙動を引き起こす行為が大多数を占めていました。一方、デジタルクライムはサービス仕様の脆弱性を突き、デジタルサービスが生み出す価値を不当に得る攻撃です（図1）。こうした攻撃は、従来のセキュリティ対策のみで防ぎきるのは困難です。たとえば、悪意ある攻撃者が他人のQRコード決済サービスを悪用するケースがあります。攻撃者は何らかの方法で認証情報を入手し、標的になりすましてログインします。そして決済用のQRコードを生成・表示し、商品を購入します。このような一連の不正行為が、攻撃者によるものなのか、正規利用者によるものなのかを、サービス提供事業者が見極めるのは非常に困難です。
加えて、これらの脅威はサービス利用者の資産を侵害するだけでなく、サービスの信頼性や事業継続にも直結する重大な問題です。このように、サイバー攻撃とは異なる視点での備えが求められます。

図1 デジタルクライムとサイバー攻撃の違い

デジタルクライムに対処する対策として、まず優先すべきなのは、そもそも不正事案が発生しないよう、リスクを作り込まない仕様設計とすることです。発生可能性を下げ、リスクが顕在化することを回避することができます。
他方で、攻撃は日々巧妙化し、新しい手口が次々と出現していく中で、完全に発生可能性をゼロにするというのは極めて困難であると言えます。そのため、デジタルクライムが発生することを想定し、万が一インシデントが発生したとしても、影響度を小さくするための対応を講じることで、迅速な事業継続を可能とすることが重要です。

デジタルサービスは機能拡充や連携先の増加に伴い利便性が向上していますが、同時に悪意ある攻撃者にとっては複雑化によりサービス仕様の隙を狙う機会もまた増えています。たとえば、主要な決済サービスは実店舗・オンライン問わずあらゆる加盟店で決済できるだけでなく、個人間送金やローン、保険の申し込みも可能です。さらに、クレジットカードや銀行口座、他社サービスとの連携により利用シーンが拡大します。事業者はユーザーに寄り添った多機能サービスを提供していますが、悪意ある攻撃者は「不当に利益を得る手段がないか」を常に探しています。

日々新しいサービスや機能がリリースされる中で、仕様は複雑化し、それに伴い攻撃手法も多様化しています。すべてのデジタルクライムに関する脅威を未然に防ぐことは、現実的には困難です。デジタルクライム対策にかかる時間やコストが過剰になると、利便性が著しく低下し、ユーザー離れが生じる恐れがあります。したがって、リスクコントロールの主導権を維持し、想定以上のリスクを許容しないための手段をあらかじめ設けておくことが重要となります。ここからは実際に発生した不正事案をもとに、どう備えるべきだったかを解説します。

クレジットカードの決済手段のひとつに「オフライン取引」があります。一定額以下の少額決済であれば、リアルタイムでカード会社に照会（オーソリゼーション）せずに決済できるため、通信環境が悪い場所でもスピーディに取引が可能です。しかし、悪意のある攻撃者はこの仕様を悪用し、他人のカードでオフライン取引を繰り返し実行し、多額の被害を発生させました。
被害の主な特徴は次の通りです。

• カード所有者が不正に気付いてカード停止を申告しても、オフライン取引はオーソリゼーションが行われないため、決済自体を止められない。
• 攻撃者はスマートフォンを機内モードに設定し、カード会社からの無効化指示を遮断することで、同様の不正決済を継続した。

このため、不正を確認できても即時に取引を止める手段がなく、被害が拡大しました。

図2 オフライン取引を悪用した不正事案の概要

何が問題だったか

本事案では、不正を確認して以降も、即時に取引を停止する手段がなかったことが、被害拡大の一因と考えられます。
クレジットカードの決済は本来、一定額以上の決済を行う場合は、オーソリゼーションを実施し、停止措置が取られているクレジットカードでの決済が実施されないようにチェックする仕組みです。その一方で、少額決済についてはあえてオーソリゼーションを省略し、決済の迅速化と利便性の向上を優先していました。「万が一不正決済が発生しても、決済額が少額であれば被害を最小限に抑えられる」という考え方に基づいたものです。
しかし本事案においては、カード停止の指示が届かない状況が意図的に作り出され、不正決済が繰り返された結果、被害が拡大する事態となりました。こういった状況下においてもリスクコントロールするための手段が不十分であったと考えられます。不正が発生した後の対処において、取引を止める手段がなければ、復旧対応は後手に回らざるを得ません。

どう備えるべきだったか

デジタルクライムに対するレジリエンスでは、リスクが顕在化した際に被害を最小化するための手段を事前に用意しておくことが重要です。本件では、サービスをリリースする段階で、オフライン取引を悪用した不正決済リスクを適切に評価し、現行の対策が十分か、万一不正が発生した場合に迅速に対処できるかを事前に把握しておく必要がありました。そうした準備により、想定されるリスクや被害額が受容可能な範囲かを検討でき、リリースの判断を行う場合には、当該脅威発生時の具体的な対応策をあらかじめ整備しておくことができます。

不正発生後に対策を検討し実施するのでは時間がかかり、被害拡大につながるだけでなく、ブランドイメージの低下などレピュテーションリスクによる利用者離れを招く可能性もあります。
また本事例に限らず、近年のデジタルクライムは組織的・大規模化する傾向があります。リスクが顕在化していない、あるいは小規模にとどまると見積もられていても、最新の手口や傾向を踏まえて「万が一」に備える必要があります。したがって、定期的なリスク評価とレジリエンス強化のサイクルが不可欠です。

国内の複数の証券会社において、インターネット証券サービスの顧客アカウントへの不正なログインが行われ、株式の勝手売却や購入が実行されたことが確認されました。この不正取引により、流動性が低い銘柄、いわゆる低位株の価格が急激に乱高下し、市場全体の信頼性が揺らぐ事態となりました。購入された企業の株価が急上昇し、取引量が異常に増大したことから、低位株を利用した相場操縦（いわゆる Pump‑and‑Dump）を狙ったものと推測されます。この手口は複数の証券会社で相次いで報告されており、同様の被害が連鎖的に拡大しました。

図3 国内証券会社を狙った連続不正アクセス事案の手口

何が問題だったか

被害を低減する手段が事前に整備されていなかったために、リスクコントロールが後手になってしまった点です。不正ログイン後、本件では外国株式の購入が実行されましたが、この取引機能を即時に停止・制限する仕組みや、異常値の検知時に自動で制御する仕組み、停止判断の基準と権限を定めた運用手順が用意されておらず、被害拡大につながったと考えられます。多くの証券口座では、残高の出金など金銭被害に直結する機能に対して、出金先の登録や認証機能で強固な対策が講じられています。一方で、今回狙われた機能は直接の資金流出には繋がらず、かつ攻撃者が利益を得る条件が限定的であることから、相対的に優先度が低く設定されがちです。許容しないリスクを避けるには、対象機能ごとのリスク許容度に合わせ、停止・上限制御・自動遮断・運用基準といった手段を事前に用意し、常に主導権を持ってコントロールできる体制を整える必要があります。

どう備えるべきだったか

今回の事案では、たとえば NISA の積み立て設定のみを行っているユーザーに対して、外国株式の個別株購入など、普段利用していない機能をあらかじめ利用できないよう制限しておく方法が考えられます。
このように事前に不要な機能を無効化しておけば、仮に悪意ある第三者による不正ログインが発生しても、被害を最小限に抑えることができます。
また、ユーザーが自らデジタル犯罪から身を守れるような機能を提供することに加え、万が一不正利用が発生した場合には、事業者側が該当機能を一時停止できる仕組みや手順を備えておくことが重要です。
こうした事前予防と緊急対応の両方を組み込み、迅速に被害抑止できる体制を築くことが、デジタルレジリエンスの強化につながります。

一連の事件を受け日本証券業協会が「インターネット取引における不正アクセス等防止に向けたガイドライン」を改訂する形で、多要素認証を必須化する内容を提示しています。実際、各社パスキーの導入といった認証強化を実装する動きがあります。
またガイドラインでは、取引などの制限も求めており、「取引可能な商品や取引金額の上限を制限できるようにすることが望ましい」との記載があります。これはまさに、万が一の不正事案に備えて、ユーザー自身もしくはサービス提供事業者側でリスクをコントロールする手段を設ける有効な施策と捉えております。

1．不正ログイン・不正売買等を防止するための対応について
（2）ログイン・取引・出金時
【スタンダード】
第三者による、不正ログイン及び顧客の口座での不正売買等を防止するため、以下の機能・ 仕様を実装する。
なお、ウェブサイトやアプリケーションなど、複数の取引ツールでインターネット取引を提供している場合においては、各取引ツールで同じ水準の機能・仕様を実装する必要がある。

• ①フィッシングに耐性のある多要素認証の実装及び必須化
  (中略)

【ベストプラクティス】
第三者による、不正ログイン及び顧客の口座での不正売買等を防止するため、以下の機能・仕様を提供することが望ましい。

• ①フィッシングに耐性のある多要素認証の提供 取引時において、フィッシングに耐性のある多要素認証を提供することが望ましい。
• ②取引等の制限 顧客が使用しない取引ツール・アプリについては、ウェブサイト上などで使用有無を選択できるようにする。また、取引可能な商品や取引金額の上限を制限できるようにすることが望ましい。

（引用）インターネット取引における不正アクセス等防止に向けたガイドライン 2025年10月15日
https://www.jsda.or.jp/houdou/2025/20251015fuseiaccess-guideline.pdf

また、本事案では同様の手口で次々と複数の証券会社で被害が拡大していきました。先行して被害を受けた証券会社の対策が進んだ結果、相対的に対策劣後している企業へと攻撃が横展開されたと推察します。
1つのサービスの不正を契機に、そこから同様サービスへの同じ手口での攻撃が展開されるのは、本事案に限ったことではありません。同業他社サービス等の不正事案といった脅威情報を収集し、自社サービスでの同様の手口で狙われた場合、被害を受けるかどうかを迅速に把握できるかが、初動を迅速にするための鍵と言えます。
攻撃手口が分かったとしても、自社サービスでどのような被害を正確に想定するには、自社サービスに対する包括的な仕様の理解と分析が必要です。特に多くのサービスを提供している企業にとっては、サービス仕様が多様化・複雑化している中で、サービス間の関係図からサービス固有の詳細仕様まで、最新情報を把握・管理していくのはコストもかかります。しかし、レジリエンスの中で迅速かつ的確に対策方針を設定するために、まず前提としてサービス仕様や情報資産を把握できる状態であることが不可欠です。

デジタルサービスは利便性を高めるほど、攻撃者にとっての悪用機会も広がります。すべてのリスクを排除するのは現実的ではなく、サービスの価値そのものが損なわれる可能性があります。重要なのは、リスクをコントロールする手立て・体制を整えることです。では具体的に何をすればよいのか、3つのポイントをお伝えします。

図4 デジタルクライムに対するレジリエンス能力獲得のためのポイント

1．被害最小化の手段の準備

デジタルクライムのリスクが顕在化した場合を想定し、被害を最小化する手段を用意しておくことが重要です。サービス改修のコストは工程が進むほど増大するため、サービス企画・システム化計画の段階から、デジタルレジリエンスを考慮した仕様を組み込んでおくことが必要となります。
2つの事例に共通するポイントは、不正の発生そのものではなく、発生後に被害の拡大を止める手段がなかったことです。
インシデントの顕在化に備え、サービス全体への影響を限定しつつ被害を抑える手段を事前に用意することが重要です。具体例として、機能フラグで一部取引を一時停止できる設計、決済上限額を動的に下げるロジック、追加認証（SMS・生体認証）を要求する条件を設定可能とするなどです。

また、被害最小化の手段を検討するための必要な情報として、デジタルクライムに関する情報収集を行うことが非常に有効です。類似サービスや競合サービスで発生している不正事案を収集し、自社サービスが劣後した仕様となっていないか、また同様手口で自社サービスが狙われた際に、対策が十分であるか、といった観点で分析し、対策の妥当性検証に繋げることが可能です。

2．サービスリスクと仕様の可視化

インシデント発生時、正常化への道筋を迅速に立てるには、自社サービスにおける脅威一覧やリスク耐性を可視化し、参照できるようにしておくことが重要です。また他社競合サービスで不正が発生した場合、同様の手口で自社サービスが狙われる可能性はあるのか、そして早急にどのような対策を講じるべきかを検討する必要があります。
複雑化するサービス仕様を網羅的に管理・把握することは、実際にはコストがかかり、容易ではありませんが、サービス仕様が属人化しているといった管理が不十分な状況は、不正事案発生時に被害が拡大する恐れがあります。

サービスリスクと仕様の可視化のポイントは、まず自社サービスにおいて潜在する脅威が何かを把握し、次にそれぞれの脅威に対する対策状況を確認することです。
弊社では、代表的なデジタルクライムリスクとして、「なりすまし」、「不正な情報紐付」、「悪用アカウントの利用」の3つと整理しています。

図5 代表的なデジタルクライムリスク

自社サービスでまずはこれらの脅威分類で実際に発生する可能性がある脅威を把握し、脅威シナリオを明確化します。
脅威シナリオは、不正行為の起点となるステップから、最終的に悪意のある攻撃者が利益を獲得するステップに繋がります。各ステップで、どのような対策が実施されているかを把握・可視化しておくことで、万が一不正が発生した際に、現在の仕様や想定被害額、被害対象ユーザーなどを迅速に把握でき、迅速な復旧に寄与すると考えられます。

3．体制構築・プロセス整備

デジタルクライムに関するインシデントが発生した場合、原因究明や対策・復旧作業、顧客対応などの対応が求められます。リスクの統括部門だけにとどまらず、あらゆる部署との連携が必要となります。デジタルクライムリスクへの対応では、サービスを包括的に見て影響範囲を分析する必要があり、他社連携機能があれば、関係者は社内にとどまりません。リスク統括部門と個別サービスや機能を担当する事業部門と連携し、対応を行っていくことが求められます。そのためには、インシデントを想定した体制構築・プロセス整備を敷いておくことが重要です。
特にデジタルクライムやサービス不正利用をスコープとし、事業影響判断等を実施可能な組織（SSIRT：Service Security Incident Response Team）をおくような体制整備を行うことで、サービス不正利用のインシデント対応に関する全体統括機能を獲得、また組織間連携の強化による全社的な対応の迅速化が可能です（図6）。
既存のCSIRTはOA環境および自社ビジネスの機密情報を守ることを目的とし、主にシステムの脆弱性への対応を担います。一方でサービス不正利用は、システム自体は正常に稼働していても、サービス仕様の穴（仕様上の脆弱性）を突かれることで発生するため、システム観点を中心とするCSIRTの知見・体制だけでは対応が困難です。 そのためSSIRTは、自社サービスの安全性・機密情報を守る対象とし、サービス開発ライフサイクルにおけるリスクマネジメントを活動の中心とします。守備範囲が異なることから各組織の機能も異なり、特にサービス仕様に関する深い知見が求められるため、サービスを提供する事業部との密なコミュニケーションが必要となる点が特色です。

図6 有事の際のリスク対応体制

今回は、実際に発生したデジタルクライム事案とともに、被害拡大の要因と対処すべきポイントについて解説しました。
読者の皆様が自社サービスの仕様やリスクコントロール体制を振り返り、次の一手を検討する上での一助となれば幸いです。
NRIでは、「デジタルレジリエンス簡易診断サービス」や組織全体の強靭化を支援する「バーチャルCISOサービス」、BCP/BCM整備支援などを提供しています。デジタルクライムへの備えについてもぜひご相談ください。