# ECの不正：実際に遭遇する8つのタイプと、その防ぎ方 > 不正のほとんどは盗まれたカードではありません。フレンドリー詐欺によるチャージバック、カードテストのボット、返金の悪用です。それぞれの見え方、見抜き方、標準設定で自動的に防げることをまとめます。 Ryan Badger - 2025年10月31日 - 読了目安 6 分 ## ECの不正は実際にはどんな姿をしているか 多くのストアオーナーは、不正の考え方を誤っています。ハッカーがカード番号を盗む場面を想像しがちです。実際には、不正のほとんどはありふれたものです。正当な顧客が本物の請求に異議を申し立てる。ボットが午前3時にあなたのチェックアウトで盗難カードを試す。注文して商品を受け取ったのに、「受け取っていない」と主張する「顧客」。 ECにおける不正による損失は、対策していないストアでは売上の約2-3%、対策しているストアでは0.3%未満です。この差は、適切な標準設定を有効にするだけで、ほぼ完全に防げます。 実際に遭遇する8つを紹介します。 ## フレンドリー詐欺（チャージバック） 最も多く、最も高くつくものです。本物の顧客が商品を買って受け取り、そのあと銀行に請求の異議を申し立てます。買ったことを忘れていた場合もあれば、家族がカードを使った場合もあり、商品もお金も手元に置きたい場合もあります。 **件数：** 受け取るチャージバックの60-80%は、本当の不正ではなく「フレンドリー」なものです。 **検知：** チャージバックが届くまで検知できません。その時点では、もう発送済みです。 **対策：** - **分かりやすい明細書表示名（ステートメント・ディスクリプター）。** 「ECOM123」ではなく、ブランド名を使います。お客様は、見覚えのない請求に異議を申し立てます。 - **商品画像付きの注文確認メール。** 購入の記憶を強めます。 - **配達の確認。** 高額な注文には、署名が必要な配送を。 - **異議申し立てへの対応。** 発送の証拠、追跡、顧客とのやり取りをアップロードします。この証拠で、「商品未着」の異議申し立てのほとんどに勝てます。 ## カードテスト／BIN攻撃 ボットが、盗んだカード番号をあなたのチェックアウトで試し、まだ使えるものを見つけます。たいてい安い商品（$1-5）を買って、請求が通るかを確認し、そのあとあなたのストアでもっと請求するか、「確認済み」のカードをほかに回します。 **検知：** 似たIPからの少額注文の急増。多くは使い捨てのメールアドレスで、請求先と配送先も一致しません。 **対策：** - **Stripe Radarを有効にします。** 既定でオンで、明らかな攻撃をブロックします。 - **チェックアウトにレート制限をかけます。** Shoprocketは、同じIPからの繰り返しの試行を自動で抑制します。 - **CVVと住所確認を必須にします。** どちらも既定でオンです。オンのままにしましょう。 - **急増に注意します。** 1時間に$1の注文が200件あれば、バズったのではなく攻撃です。 ## アカウント乗っ取り 攻撃者が、（クレデンシャルスタッフィングやフィッシングで）正当な顧客のアカウントに入り込み、保存されたカードと住所で注文します。 **検知：** 新しい国や端末からのログイン、新しい住所への配送の注文、最近のパスワード変更。 **対策：** - **配送先住所の変更には、メールでの確認を必須にします。** - 高額なカテゴリでは、**顧客アカウントに2FAを提供します。** - **不審なログインを記録し、通知します。** Shoprocketは、新しい端末からのログインをアカウントのオーナーに知らせます。 - **カード番号全体は保存しません。** Stripeがトークン化するので、データベースがPAN（カード番号）を目にすることはありません。 ## 返金詐欺 顧客が商品を受け取ったのに、届かなかった、または破損して届いたと主張し、返金を求めます。証拠なしに返金すると、相手は商品もお金も手に入れることになります。 **検知：** 同じ顧客や配送先からの、繰り返される「商品未着」の申告。運送会社の追跡と食い違う申告。 **対策：** - **返金する前に、必ず追跡を確認します。** 配達済みと表示されていれば、反論するか、証拠を求めましょう。 - 一定金額を超える注文には、**署名が必要な配送を。** - **返金を繰り返す人にフラグを立てます。** 12か月に2回を超えて返金を申告した顧客は、手動で審査します。 - **「破損」の申告には写真の証拠を。** 手間の小さなお願いですが、虚偽の破損申告を大幅に減らせます。 ## 三角詐欺 攻撃者が（多くはマーケットプレイス上に）偽のストアを開設し、あなたのお客様から本物の注文と支払いを受け取ります。そのあと、盗んだカードを使ってあなたの本物のストアから商品を買い、お客様に配送させます。お客様は商品を受け取り、何もおかしいと気づきません。盗難カードが報告されたとき、責任を負うのは販売者であるあなたです。 **検知：** 配送先の氏名がカード名義人と一致しない注文、請求先と別の国への配送、異なるカードで同じ住所へ届く複数の注文。 **対策：** - **Stripe Radarは、配送先と請求先の不一致に自動でフラグを立てます。** - **異常に高額な注文を確認します。** カード名義人に、簡単なメールか電話を。 - **高リスクのカテゴリ**（電化製品、ギフトカード、高級品）は、一定額を超える初回注文を手動で審査する価値があります。 ## なりすまし（個人情報の盗用） 攻撃者が、カードだけでなく盗んだ個人情報そのものを使って、顧客アカウントを開設し、本人確認を通過して注文します。カードの盗難より珍しいものの、起きたときは見抜くのが難しくなります。 **検知：** 初回の注文が高額な新規アカウント。提示された本人情報と住所の食い違い。 **対策：** - 支払い時の**住所確認**（Stripeでは既定でオン）。 - **初回注文で高額な取引の手動審査。** - 手間をかける価値のあるカテゴリ（銃器、年齢制限のある商品、高額商品）では、**本人確認サービス**（Stripe Identity、Onfido）を。 ## 配送の横取り詐欺 攻撃者が盗んだカードを使い、正当な請求先住所宛てに注文し、そのあと荷物を輸送中に横取りします（運送会社のアプリで転送先を変えるか、玄関先で持ち去ります）。 **検知：** 注文後に「配送先住所を更新したい」と連絡してくる顧客。運送会社への転送リクエストが複数ある。 **対策：** - 注文が確定したら、**配送先住所をロックします。** 変更には確認を必須にします。 - 高額な注文では、**署名が必要な配達を。** - 送信者を確認せずに、**「注文を転送してほしい」というメールに応じないこと。** ## アフィリエイト／紹介詐欺 アフィリエイト（あるいは偽のアフィリエイト）が、報酬目当てに偽の注文を作ったり、クッキースタッフィングで自分が生んだわけではない売上の成果を主張したりします。アフィリエイトプログラムを運営している場合にのみ該当しますが、規模が大きくなるとよく起こります。 **検知：** 注文の返金率が異常なアフィリエイト、「別々の顧客」なのにIPが似ている、うまくいきすぎている成約率。 **対策：** - チャージバックが表面化するように、**アフィリエイトへの支払いを遅らせます**（注文の30-60日後）。 - 新しいうちは、**アフィリエイトごとの報酬に上限を設けます。** - 上位のアフィリエイトの**注文パターンを定期的に確認します。** ## Shoprocketが代わりに対処すること Stripe Radarと、Shoprocket独自のチェックで、上記のほとんどは何もしなくてもカバーされます。 - カードテスト：レート制限＋Radarのボット検知 - CVV＋AVS：すべての取引で適用 - チャージバックの証拠：注文、発送、顧客とのやり取りをダッシュボードに表示し、Stripeの異議申し立て用にまとめます - 住所確認の不一致：Radarがフラグを立てます - 取引の頻度／急増の検知：Radarの機械学習モデル - 3Dセキュア：高リスクの取引で自動的に起動 それでも自分でやるべきこと： - 分かりやすい明細書表示名を設定する（最大の効果） - Stripeの7-10日の期限内にチャージバックへ回答する - フラグが立った注文は、発送前に手動で確認する - 記録のために、追跡と配達の証拠を保管する ```
``` ## 現実的な不正の発生率 標準設定を有効にしているほとんどのストアでは、次のとおりです。 - **カード不正（実際の盗難カード）：** 注文の0.1%未満 - **チャージバック：** 注文の0.1-0.5%（その大半はフレンドリー詐欺） - **返金の悪用：** カテゴリによって、注文の0.5-2% 最大の投資先は、0.05%の不正による損失を防ぐことではありません。分かりやすい明細書表示名を書くこと、異議申し立てに回答すること、一定金額を超える注文に署名が必要な配送を加えることです。これのROIは即座に表れます。 > **ヒント：** 新しいストアを運営しているなら、注文履歴を積み上げる最初の3か月は、Stripe Radarの標準ルールをオンにしておきましょう。Radarの機械学習は、処理する取引が増えるほど賢くなるので、早い段階で迂回しないでください。 ## さらに投資すべきとき 不正の多いカテゴリ（$500を超える電化製品、高級品、ギフトカード、高額なデジタル商品、CBD、銃器、サプリメント）にいるなら、次の点に注意してください。 - カテゴリに合わせたStripe Radarのカスタムルール（$Xを超える注文にフラグを立てる、3DSを必須にする、特定の地域をブロックする） - 初回の顧客向けの手動審査キュー - 支払いだけでなく、登録時の本人確認 - より低いチャージバックのしきい値。Stripeはチャージバック率が1%を超えると取引を停止します。不正の多いストアは0.5-0.8%に位置することが多く、積極的に管理する必要があります 不正の少ないカテゴリ（アパレル、ホームグッズ、食品、ほとんどの定期購入）は、標準設定のままで問題ありません。 ## 要点まとめ - **フレンドリー詐欺（チャージバック）が最大のカテゴリです。** 分かりやすい明細書表示名、配達の証拠、異議申し立てへの回答で、そのほとんどに勝てます - **カードテスト攻撃は、どのストアでもいずれ起こります。** レート制限とStripe Radarで食い止められます - Shoprocket経由でStripeを使うなら、**不正対策のほとんどは既定でオンです。** 設定をオフにしないでください - **チャージバックは1%未満がStripeのしきい値です。** 正当なストアのほとんどは、0.1-0.3%で運営しています - **投資はカテゴリのリスクに応じて増やします。** 高額／不正の多いカテゴリは、手動審査とカスタムルールに値します。ほとんどのストアにはどちらも不要です [無料トライアルを始める](https://app-v3.shoprocket.io/signup)と、Stripe Radarと不正対策が初日からオンになります。14日間、カード不要です。 --- - HTML version: https://v3.shoprocket.io/ja/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them - Language: 日本語 (ja) - Also in: [العربية](https://v3.shoprocket.io/ar/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/ecommerce-betrug-acht-arten-erkennen-und-verhindern.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [English](https://v3.shoprocket.io/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [Español](https://v3.shoprocket.io/es/blog/fraude-ecommerce-ocho-tipos-y-como-prevenirlos.md), [Français](https://v3.shoprocket.io/fr/blog/fraude-ecommerce-huit-types-et-comment-les-eviter.md), [עברית](https://v3.shoprocket.io/he/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/penipuan-ecommerce-delapan-jenis-yang-akan-anda-temui-dan-cara-mencegahnya.md), [Italiano](https://v3.shoprocket.io/it/blog/frodi-ecommerce-otto-tipi-e-come-prevenirli.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimas-el-prekyboje-astuoni-tipai-kuriuos-sutiksite-ir-kas-juos-sustabdo.md), [Norsk](https://v3.shoprocket.io/nb/blogg/nettbutikksvindel-de-atte-typene-og-hva-som-forhindrer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/webshopfraude-acht-soorten-en-hoe-je-ze-voorkomt.md), [Polski](https://v3.shoprocket.io/pl/blog/oszustwa-w-e-commerce-osiem-rodzajow-i-jak-im-zapobiegac.md), [Português](https://v3.shoprocket.io/pt/blog/fraude-no-ecommerce-os-oito-tipos-que-voce-vai-ver-e-como-prevenir.md), [Română](https://v3.shoprocket.io/ro/blog/frauda-ecommerce-cele-opt-tipuri-si-cum-le-previi.md), [Русский](https://v3.shoprocket.io/ru/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [ไทย](https://v3.shoprocket.io/th/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/eticaret-dolandiriciligi-sekiz-tur-ve-onlemler.md), [中文](https://v3.shoprocket.io/zh/blog/ecommerce-fraud-the-eight-types-youll-actually-see-and-what-prevents-them.md)