PCI DSS準拠：非接触決済が普及する今、なぜ改ざん防止チェックは欠かせないのか

QSA（認定セキュリティ評価機関）のガイドラインに沿った答えは、常に「ケースバイケース」です。

非接触決済は急速に普及しており、モバイル決済ウォレットの利用が進むことで、物理的なカードを持ち歩かない人も増えています。Mastercardによると、世界の対面カード決済のうち、現在3分の2以上が非接触方式で行われています。

非接触決済はNFC（近距離無線通信）を利用するため、カードとの物理的な接触は不要です。特にモバイル決済ウォレットの場合、カード情報はトークン化され、取引中に実際のカードデータが共有されることはありません。物理カードを使った非接触取引では、内蔵されたEMVチップがカード情報を暗号化し、取引ごとに固有のコードを生成するため、カード情報自体は共有されません。

攻撃者が決済端末を狙うとき

最近、複数の拠点で発生した一連の事例について報告がありました。攻撃者は、顧客が非接触決済を利用できないよう、意図的に妨害を試みていました。

具体的には、券売機（TVM）の非接触リーダーを故意に破損させ、顧客がカードを挿入しPINを入力せざるを得ない状況を作り出していました。ある事例では、カード挿入口の内部にスキミング装置が仕掛けられていたことが確認されています。

こうした攻撃は、PCI DSS準拠における改ざん防止チェックの重要性を改めて示しています。物理的なセキュリティ対策を怠ると、非接触決済の安全性が損なわれ、顧客のカード情報が不正に取得されるリスクが高まります。

破損した非接触カードリーダー

改ざんの検知と対応

券売機（TVM）などのセルフサービス型決済端末は、通常スタッフが常駐しておらず、管理的・物理的・技術的な多層のセキュリティ対策によって、攻撃者による改ざんや端末のすり替えが行われていないかを確認します。

不正の兆候として考えられるのは、顧客から「カードが挿入しづらい」という報告があった場合や、通常よりも取引失敗率が高い場合です。これらは、カード挿入口にスキミング装置が仕掛けられている可能性を示しています。

さらに、確認はカード挿入口や非接触リーダーだけにとどまらず、PIN入力キーの数字部分に改ざんの痕跡がないか、またはピンホールカメラの設置がないかもチェックする必要があります。

なぜ定期的なチェックが重要なのか

最近の顧客事例では、改ざん防止のための定期的なチェックが今回のインシデントを検知し、その後の対応報告を通じて、同業他社との情報共有につながりました。

現在、PCI DSSコミュニティではEC決済チャネルへの攻撃が注目されていますが、攻撃者は依然としてカードを直接扱う決済チャネルも標的にしています。

多くの組織にとって最大の課題の一つは、現場スタッフが改ざん防止チェックの必要性を理解することです。攻撃が発生しても情報共有が進まない背景には、企業の評判や株価への影響を懸念する声があります。

端末はどのくらいの頻度でチェックすべきか

改ざん防止チェックは、P2PE（ポイント・ツー・ポイント暗号化）の手順書（PIM）で必須要件とされています。頻度については「定期的」といった表現が使われていますが、この言葉は一見すると曖昧で、解釈の幅が広いように感じられます。しかし、実際には、どの程度の頻度が「合理的かつ適切」かを判断する責任は組織側にあります。これは、潜在的なリスクをどのように評価するかに基づいて決定されるべきものです。

チェック頻度を決める際の重要なポイント

リスク評価の中でチェック頻度を決める際には、既存のセキュリティ対策を考慮し、それらがどのように補完し合うかを検討することが重要です。例えば、鍵、警報、照明、監視カメラ、警備員などの多層的なセキュリティ対策です。

一度頻度を定義した後も、脅威の警告や改ざんの疑い、またはインシデントが確認された場合には、柔軟かつ現実的に頻度を見直す必要があります。例えば、改ざんの疑いがある場合、チェック頻度を一時的に週1回から毎日、または毎日からシフトごとに増やすことがあります。脅威が低下したと判断されれば、頻度を元に戻すことも可能です。

LRQAのQSAは、改ざん防止チェックを通常業務に組み込んでいる組織の方が、PCI DSS要件9.5への対応が一貫して効果的であることを確認しています。

まとめ

改ざん防止チェックは、対面でカード決済を受け付けるすべての事業者にとって依然として重要です。攻撃者は戦術や手法を進化させ続けており、PCI DSSコミュニティも同様に柔軟かつ迅速に対応する必要があります。今日有効な対策が、明日も有効である保証はありません。新たな脅威や攻撃手法に備え、継続的な見直しと改善を行うことが、顧客のカード情報を守るために不可欠です。

PCI DSSサービスの詳細を確認する