ダークウェブ取引の拡大、シンガポールが盗難決済カードの割合で世界2位

シンガポールの高いデジタル化がもたらすのは、弱さではなくリスクへの露出

ダークウェブのマーケットプレイスで取引される盗難決済カードの割合で、シンガポールは世界2位となり、米国に次いでスペインを上回った。脅威情報プラットフォームが2025年5月に収集した約5万700件のカード記録を分析した結果だ。サンプルの盗難カードのうち、米国の利用者のものが60％超、シンガポールの利用者のものが約11％、スペインの利用者のものが約10％を占めた。

セキュリティー専門家は、この順位は規模とデジタル化を反映したもので、銀行システムが特に危険であることを示すわけではないと注意を促す。シンガポールはオンライン決済、モバイルウォレットの利用、アジア域内外の電子商取引の割合が世界でも特に高い国の一つだ。銀行や加盟店が強固な管理体制を整えていても、デジタル上の活動が多ければ、犯罪者がカード情報を盗み取る機会も増える。

こうした市場での価格は過去2年間に上昇した。最も大きく値上がりしたのはニュージーランドで、上昇率は444％を超えた。アルゼンチンとポーランドでも大幅な値上がりが報告された。価格が上がっても、盗難カード情報は低レベルの犯罪者にとって依然として安価だ。カード1枚の価格は、映画のチケット代程度であることが多い。世界平均は約9米ドルだが、国によって大きな差がある。アジアでは日本の平均価格が最も高く、約22.80米ドル。次いでカザフスタンが16.87米ドル、タイが15.08米ドルとなっている。シンガポール発行のカードは平均約13.19米ドルで取引され、2023年から約29％上昇した。欧州ではスペイン、フランス、スイスの価格が11～12米ドル前後に集中している。

盗難カード市場の仕組み

ダークウェブとは、匿名化ソフトウェアを使って身元や所在地を隠す、隠匿されたサービス群だ。そこには、盗難カード番号や有効期限、場合によってはCVV、請求先住所、端末の指紋情報を含む完全なデータを出品する市場がある。情報の入手源は、消費者の端末に感染するマルウェア、銀行や加盟店のサイトを装ったフィッシングページ、加盟店のシステム侵害、侵害された外部決済処理業者などだ。

こうした市場では、カードはまとめて、または1枚ずつ販売される。売り手は発行銀行や国、カードが3Dセキュア認証に対応しているかどうかで出品を分類することが多い。買い手は少額の決済で試した後、ギフトカードや航空券、転売可能な商品の購入を試みる。業界調査によると、出品されたカード情報のかなりの割合が数カ月にわたって利用可能な状態にあり、最初の試験的な決済で不正検知ルールに引っかからなければ、犯罪者は換金までに十分な時間を得られる。

供給、需要、価格

価格は単純な需給関係に左右される。供給が多い場合や、銀行の不正検知対策が厳しい場合、カードは安くなる。供給が限られ、不正対策の確認が厳しい場合は、詐欺を成功させるためにより多くの準備と時間が必要となるため、カードの価格は高くなる。この仕組みは、日本のカードが最も高価なものの一つである理由や、シンガポールのように出品数が多い国のカードが、サンプル全体に占める割合は大きくても平均価格が中程度である理由を説明している。

シンガポールで盗難カードの割合が高い理由

シンガポールは金融と物流の拠点であり、カードの保有率が高く、非接触決済をほぼどこでも利用できる。消費者は国内外の加盟店でオンラインショッピングをし、モバイルウォレットで交通費や飲食代を支払い、頻繁に旅行する。そのため、多数のサービスに正規の取引と保存済みカード情報が大量に存在する。犯罪者は地域の銀行を標的にしたフィッシングキットや、ブラウザーに保存された認証情報や自動入力データを一斉に収集するマルウェアを使い、大規模に情報を盗み取る。

トークン化されたモバイル決済の普及も、不正行為の手口を変えている。銀行や加盟店がカード非対面取引の不正を防ぐと、犯罪者は盗難カードをスマートフォンのウォレットに登録したり、対面取引で小売店をだましたりするなど、別の手段に移る。地下市場で取引される盗難シンガポール発行カードの割合は、攻撃対象となる範囲の広さを反映しており、保護対策が不十分であることを示すものではない。

不正対策システムが換金を阻止

シンガポールの銀行は多層的な防御策を講じている。取引監視では、加盟店の業種や所在地に異常がないかを確認する。3Dセキュアにより、多くのオンライン購入で追加認証が求められる。通知は数秒以内に届くため、カード利用者と銀行は迅速にカードを凍結できる。こうした管理策に強力なチャージバック制度が加わり、犯罪者のコストとリスクが高まる。ダークウェブでよく見かけるにもかかわらず、シンガポール発行カードが市場の最高値にならない理由の一つだ。

フィッシングからゴーストタッピングまで、不正犯の換金手口

多くの事案では、フィッシングが侵入のきっかけとなっている。攻撃者は偽の配達通知や銀行のセキュリティーに関するメッセージを送り、カード情報やアカウントの認証情報を盗み取るログインページに被害者を誘導する。RacoonやAzorultなどの情報窃取型マルウェアは、ブラウザーに保存されたログイン情報やフォームデータを密かに収集する。本人確認手続きのために集められた国民ID番号や自撮り画像など、盗まれた個人情報は地下フォーラムで流通する。犯罪者はこれらの情報を使い、マネーミュール用口座を開設して資金洗浄を行い、アカウントの乗っ取りを試みる。

モバイルウォレットの悪用と店舗での不正

盗難カード情報を使い捨てのスマートフォン上のApple PayやGoogle Payに登録し、店舗で買い物をする手口が増えている。犯罪者が非接触信号を中継したり、盗難カードを事前に登録して、勧誘した買い物役にスマートフォンを渡したりすることから、アナリストはこの手口の一部を「ゴーストタッピング」と呼ぶ。犯罪組織は、マネーミュールの勧誘や買い回りの指示から、Telegramや電子商取引プラットフォームでの商品転売まで、一連の手配を行う。報道によると、シンガポールでは観光客を装った買い物役が店舗を次々に回り、小売店に大きな損害を与えた事例がある。2024年後半には、クレジットカード情報を盗むフィッシングとモバイルウォレット詐欺に関し、警察が3カ月間で少なくとも656件を記録し、被害額は120万シンガポールドルに上った。

最近のシンガポールの事例に見る手口

裁判では、こうした手口を反映した複数の事件が審理された。ある事件では、29歳の中国籍の男が、盗難カード情報を使ってiPhone 16を20台購入したとして、30カ月の禁錮刑を言い渡された。購入額は3日間で4万シンガポールドルを超えた。男は、フィッシングで入手した盗難カード情報を遠隔で読み込むアプリが入ったスマートフォンを渡されていた。大手家電量販店で購入した端末は現金化のため転売され、売上金は仲介役が回収した。

別の事件では、モバイルウォレットに登録されたカード情報を使って購入されたiPhoneの販売を手伝ったとして、25歳のマレーシア人女性に判決が言い渡された。交際相手は被害者にひも付いたバーチャルカードを使い、Apple Storeで複数回買い物をした。銀行からの通知で被害者が気づき、警察が介入したため、2人は残る売上金を持って国外へ逃れることができなかった。これらの起訴事例は、国境を越えて活動する犯罪組織が実行役を派遣し、短時間で高額な買い物をさせる手口を浮き彫りにしている。

内部者のリスクと不適切なデータ管理

組織内部にもリスクはある。シンガポールでは、外国警察を装った電話にだまされ、1,000人を超える顧客の情報を漏らした元銀行員が有罪判決を受けた。大手自動車販売業者の別の事案ではクレジットカード番号やデビットカード番号は関係していなかったが、顧客14万7,000人分の記録が流出した。この事例は、攻撃者が侵入に成功した後、個人情報がどのように流通するかを示している。文書や本人確認情報は、犯罪者が認証審査やソーシャルエンジニアリングによる確認を通過する助けとなり、不正行為に利用される。

銀行、小売業者、規制当局の対応

銀行はモバイルウォレットへの登録に関する管理を引き続き強化している。端末のリスク分析では、トークンの発行を要求しているスマートフォンが過去に確認されたことがあるか、脱獄されているか、要求が顧客のプロフィールと一致するかを確認する。一部のカード発行会社は、ソーシャルエンジニアリング対策として、新たなウォレット連携の確認をSMSではなく銀行アプリ経由で行うよう顧客に求めている。リアルタイム分析と機械学習モデルは、承認の段階で不審な購入を阻止するのに役立つ。

小売業者は販売時点での確認を強化している。従業員向け研修では、決済の失敗が繰り返される、客が複数のスマートフォンやカードを次々に使う、高額商品の購入を多数の少額取引に分割しようとするといった不審な兆候を取り上げている。店舗は高額な電子機器の購入時に身分証明書の確認を求め、加盟店契約会社と緊密に連携し、迅速な捜査に備えて防犯カメラの映像を確保できる。決済事業者は、組織的な買い回りを示す危険な加盟店と端末の組み合わせを検知できるよう、ルールを調整している。

法執行機関と国境を越えた連携

銀行、カードネットワーク、航空会社、警察が連携する合同作戦は、特定の不正手口への対策に効果を上げている。過去に実施された「エアポート・アクション・デイズ」作戦では、盗難カード情報を使って航空券を購入しようとした旅行者が多数拘束された。インターポールはシンガポールのイノベーション拠点から、アジア各地での活動を調整した。現在も各国の警察との同様の合同作戦を通じ、フィッシングキットやマネーミュールの勧誘経路、盗難カードが取引される地下市場の摘発が進められている。

今すぐ消費者ができること

多くのカード発行会社は不正利用された購入代金を補償するが、対応の早さが重要だ。早期に不正を見つければ被害を抑えられ、犯罪者がカード情報を試用・再利用できる時間も短くなる。以下の対策で情報を盗まれる可能性を下げ、不正をすばやく発見しやすくなる。

• 銀行アプリで、ウォレット取引やオンライン購入を含むすべてのカードについて、リアルタイムの取引通知を有効にする。
• 週に一度、利用明細を確認し、覚えのない請求があればすぐに申し立てる。
• 銀行やカードのアカウントには、強固で他と使い回さないパスワードを設定し、信頼できるパスワード管理ツールに保存する。
• カード番号やパスワードをウェブブラウザーに保存しない。情報窃取型マルウェアはブラウザーの自動入力データを狙う。
• 銀行、メール、ショッピングのアカウントで二要素認証を有効にする。SMSより銀行アプリでの認証を優先する。
• 銀行が提供している場合は、バーチャルカード番号や購入ごとのトークンを使う。特に利用頻度の低い加盟店で有効だ。
• 買い物をしていないときは、銀行アプリでカードをロックまたは凍結するか、取引限度額を設定する。必要がなければ海外取引やカード非対面取引を無効にする。
• スマートフォンやパソコンを最新の状態に保ち、セキュリティーパッチを速やかに適用する。非公式アプリストアやダウンロードは避ける。
• SingPassなど、国のデジタル本人確認アカウントを保護する。フィッシングの疑いがあればパスワードを変更し、侵害があった場合はすぐに届け出る。
• 配達、返金、セキュリティー警告に関するメッセージには注意する。メッセージ内のリンクをタップせず、公式ウェブアドレスを入力するかアプリを使って銀行にアクセスする。

要点

• 2025年5月のデータでは、取引されている盗難決済カードの約11％をシンガポールが占め、米国に次いでスペインを上回った。
• シンガポール発行の盗難カードの平均価格は約13.19米ドルで、2023年から約29％上昇した。日本のカードは約22.80米ドルで取引されている。
• 専門家は、シンガポールの順位は銀行の管理体制の弱さではなく、高いデジタル利用率と取引量によるものだとみている。
• 不正の手口には、フィッシング、情報窃取型マルウェア、勧誘された買い物役による店舗での購入を可能にするモバイルウォレットの悪用がある。
• 国内の起訴事例では、国境を越えて活動する犯罪組織が盗難カード情報でiPhoneなどを購入し、現金化のため転売していることが明らかになっている。
• 銀行や加盟店はウォレット登録時の認証を厳格化し、販売時点での確認を強化している。法執行機関も国境を越えた作戦で連携している。
• 消費者は、取引通知の設定、適切なパスワード管理、二要素認証の利用、ブラウザーへのカード情報の保存を避けることでリスクを下げられる。