Fox on Security

セキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。専門はPCI DSS。

スーパーにおけるカード運用の脆弱性

クレジットカードをスーパーで利用する方は、店員の行動をよく見ておく必要があるかも知れません。

www.fnn.jp

 

2019年11月から2020年2月までに約80回飛行機に搭乗していた高校生。チケット代だけで被害額は約680万円にのぼる。行き先は札幌や関西空港、福岡などで、座席はエコノミークラスより割高なプレミアムクラス。30回ほどは友人と連れ立って旅行していたといい、中国の上海まで訪れていたことも分かっている。

(中略)

他人のカード情報を暗記し自らの豪遊のために悪用し、被害総額は1千万円以上調べに対し16歳の高校生は「間違いありません」容疑を認めている。

(FNNプライムオンライン記事より引用)

 

キタきつねの所感

逮捕されたのは、横浜市に住む中国国籍の男子高校生です。別な記事では、スーパーのレジ打ちで、買い物客のカード情報を「盗み見」したとされています。

 

男子生徒はスーパーマーケットでレジ係のアルバイトをしていて、買い物客のカード情報を盗み見たり記憶したりして不正に手に入れていたということです。

NHKニュース記事より引用)

 

記事に書かれている通りだとすると、相当記憶力が良い男子高校生であった事になります。

80人分以上のカード情報を盗んで「豪遊」したのは11月~2月とされていますので、仮に4か月のレジ打ちでカード情報を覚えたとすると、1か月20人分、毎日バイトに入っていたとして、毎回1件のカード窃取を行っていたと推測されます。

 

しかし、近くのスーパーのレジ対応を見ていると、時間帯にもよりますがバイトの店員が多く居る夕方は、そんなにヒマそうにはしていません。次から次へと買い物客の応対をしていいます。

買い物客がバラつく時間帯にバイトに入っていた事も考えられますが、はたしてヒマな時間帯に(コスト意識が高い)スーパー側は毎日シフトを組むか、と考えると少し疑問です。

 

供述通りに「暗記」メインだったとすると、

 ①レジ打ちをしながら

 ②買い物客に気づかれずに

 ③他のレジ打ち店員にも気づかれずに

 ④カードを預かってから買い物客に戻すまでのごく短時間

これらの条件が揃う機会がそんなにあったのかな?と思うのです。

 

とは言え、押収品の映像などを見るとメモ帳や手帳が映っていましたで、当該の高校生がメモにカード情報を書いていたのは間違いない様です。

f:id:foxcafelate:20200625064126p:plain

 

もう1点。カードを不正利用が成立する為には、カード番号、有効期限、(氏名)・・・そしてセキュリティコードを全て覚える必要があります。

ここで問題となるのが、クレジットカードの表裏を見る必要があるという点です。(※Amexを除いて通常セキュリティコードはカードの裏面にあります)

 

スーパーマーケットによっては、クレジットカードをレジのカード読み取り機にかけて、レシートが出るまでの間に、(サインレスでも)レジ上に置くオペレーションにしている所がありますが、そうした運用をしていた可能性が高いのではないでしょうか。

この際に、カードの署名欄を確認するふりをして、裏面のセキュリティコードを盗み見する、この手法であれば、条件が揃えば「暗記」が可能かも知れません。

 

一方で、違う可能性を感じるのが押収品のスマホです。

 

レジの中で無音カメラアプリ利用、またはスマホ動画盗撮が行えたとすれば、もっと短時間にカード情報を「暗記」する事ができる可能性を感じます。

f:id:foxcafelate:20200625063942p:plain

 

この事件におけるカード情報漏えいは、第一義的には買い物客のカードを不正に「盗み見」した高校生が悪い訳ですが、スーパー側のバイト教育も含めた、セキュリティ意識の希薄さも問題だったと思います。

スーパーの名前は出ていませんが、レジは現金を扱う事から当該高校生の犯行行為が、監視カメラで録画されていたと思います。

 

では、何故カメラ映像から発覚しなかったのかと想像すると、スーパー側は映像録画しているだけで、レジ集計で現金が大きく合わないといった事でもない限り、録画画像を定期的(抜き打ち)で確認するオペレーションになってなかったのだと思います。

更に想像すると、バイトだけでレジ打ちさせていたり、1人でレジ打ちさせる等、相互監視が弱くなるレジ打ちシフトを組んでいた、そんな可能性も感じます。

 

他スーパーも、こうした事件を教訓に、自社のオペレーションに問題がないか、点検する必要があるのではないでしょうか。

 

ここまで書いてきて、去年も類似事件(別な逮捕事件)があった事に気づきました。

www.sankei.com

 

こちらでも暗記・・と書かれていました。

※世の中には(本当に)記憶力が優れた優秀な方がレジ打ちのパートやバイトで埋もれているのかも知れません。

 

 

もう1点気になったのが、男子学生の「豪遊」においてタクシーも使っていた点です。

また高校生が足がわりとして利用していたタクシーの使い方も尋常ではない。自宅のある横浜市から千葉の市川市、そしてディズニーリゾートへ。その後山梨の甲府市などを回り、再びディズニーリゾートへ。この日のタクシー料金は約21万円

さらに高校生は東京ディズニーランドとディズニーシーで約120万円使っていたことが分かった。他人のカード情報を暗記し自らの豪遊のために悪用し、被害総額は1千万円以上調べに対し16歳の高校生は「間違いありません」容疑を認めている。

(FNNプライムオンライン記事より引用)

 

タクシーの支払いは、現金、タクシーチケット、物理的なICカードスマホが考えられますが、物理的なICカード偽造は困難だったでしょうし、そもそも警察の押収品に入っていませんので、スマホ”を使ったキャッシュレス決済だったと考えられます。

成人に見える高校生だったのかは分かりませんが、(家族カード以外の)クレジットカードが使えないはずの高校生が多額の支払いをした所で、気づけなかったのかなと思います。

タクシーも売上重視なのだと思いますが、高額タクシー利用の「キャッシュレス決済」が怪しいと、ここでアラートが挙がっていれば、もっと被害が少なく済んだ気がします。

 

余談です。この事件を調べている際に、ANAの航空券のQR部分をそのまま映した映像を見かけました。高校生は偽名で登録していたのかとは思いますが、QRから被害者か本人に係る情報が取れてしまう可能性を感じました。(手持ちのQRリーダーではNULLでしたが)

f:id:foxcafelate:20200625063314p:plain



 

本日もご来訪ありがとうございました。

Thank you for your visit. Let me know your thoughts in the comments.

 

マスクを付けたレジの店員のイラスト(女性)

 

更新履歴

  • 2020年6月25日 AM(予約投稿)