【dカード】家族カードが不正利用されかけたので、セキュリティセンターに電話した。

【重要】dカードの一時利用停止に関するご対応のお願い

郵便受けを開けたら、こんな封書が入っていました。

dカードセキュリティセンターから届いた封書。

「どーせ、注意喚起だろ」と、この時点ではたいしたことはないと思っています。
自分宛てじゃなくて家族宛てだし。

封書の発行日付を見ると、10月28日。
僕が気付いたのは、11月8日。

約10日間、ずっと郵便受けで眠っていたことになります。

寝かせすぎでは・・・？

こんなちっぽけな自分にはそんな頻繁に郵便物なんて届かないだろう、と郵便受けは普段から見ない癖がついているのです。

封書の中身

封を開けると、クレジットカードの利用を一時停止したので対応をしてほしい、という内容でした。

ただ、対象のカードは僕のではなく家族カードでした。

どうやら、不正利用を365日24時間モニタリングしているシステムが不正利用を検知したらしく、dカードセキュリティーセンターからSMS（ショートメッセージ）を送ってあるとのこと。

そして、そのSMSから本人の利用か否かを回答せよ、ということらしい。

ということで、SMSが届いているか確認をしてみる。

結果、届いていない！

どういうこと！？

この封書が偽物ってこと・・・？

とりあえず、疑ってみますが封書を読み進めていくと、「家族カード会員様及び携帯電話番号を弊社にご登録いただいていないお客様にはSMSをお送りしておりません。」という一文が。

更に読み進めると「ショートメッセージ（SMS）を受信されていないお客様について」という一文。

つまり、SMSを受信していないなら専用電話番号へ連絡してねってことらしい。

※偽物の可能性も考慮して、記載してある専用電話番号はきちんと調べました。公式のものでした。

dカードセキュリティセンターに電話してみた

窓口は平日18時までらしいので、時間内に連絡。

家族の代わりに、僕がdカードセキュリティセンターに電話をしました。

待つかと思いきや、すぐに繋がる。

僕はかけた理由を説明し、ここで最初の壁、本人確認が行われる。

まずは封書に書かれている15桁の数字を照合。

違うんです。僕じゃなくて家族なんです。ということを説明する。

そもそも、僕がカードの本会員なのだから家族カード分の対応を僕がしちゃ駄目なのだろうか。

「僕が本会員なんですけど、僕が対応するんじゃ駄目ですか？」

まじかー。

まあ、そういう対応マニュアルなんだろうけどさ。

あんまし納得いかなかったが、家族カードを持つ本人に代わる。

そこから色々と今回の不正検知に関して質問攻めがされそうだったので、僕が電話を代わった———のですが、本人以外が対応するならば今度は僕の本人確認が必要とのこと。

家族の代わりに電話する場合、本会員の僕が答えなければいけなかったのはこちら。

・・・って、結局全部じゃん。

いや、セキュリティ的に大事なのは分かります。

分かるんですが、もしこれが偽物のセンターだったら、個人情報を抜かれまくりじゃないですか。
（今回はちゃんと公式の番号にかけています。念のため）

不正検知されていたのは「はぴ●すくらぶ」の決済

確認が終わると、オペレーターさんが詳しく教えてくれました。

この4点を教えてもらえます。

この情報から本人の利用か否かを答えなければいけません。

利用した覚えがなければ、不正アクセスということになります。

とりあえず、もらった情報をメモって「いったん確認してまた電話をかけ直します」と伝えました。

電話を切り、さっそく調べてみる&家族に聞いてみる。

しかし、「はぴ●すくらぶ」というサイトを利用したこともなく、オペレーターさんから聞いた日時にカードを使った覚えもない。

最近は会員にならなくてもネット通販で購入可能だから、買い物していればメールが飛んできていると思ったけど、メールの霊圧も感じません。

そうなると、やっぱり不正利用が濃厚だよなー。

しかしここで一点、気になったことがありました。

自分のクレジットカードもそうだけど、家族カードにも3Dセキュアを導入して、ワンタイムパスワードを設定していたはず。

不正利用ってことは、ワンタイムパスワードすら突破されたということ！？

そんなこと、あり得ないだろ・・・。

再度dカードセキュリティセンターに電話

ふつふつと沸きあがる疑問を解決するため、おそらく不正アクセスだと伝えるため、もう一度dカードセキュリティセンターに電話をする。

さっきとは違う人だ。

さきほど、電話を切る前にオペレーターさんに聞いたことがありました。

「かけ直したら、また一連の本人確認をしないといけないのか？」

ということです。

答えは、「本会員様だと伝えてもらえれば、家族カードの分も本会員様として対応してもらえるので大丈夫です。」とのことだった。

まあ、結局自分の情報を照合するんですけどね。

そして情報照合が終わり、さっそく質問してみる。

「不正利用があったということで、一点気になったことがあるんですが。カードには3Dセキュアを導入しててワンタイムパスワードを設定してあるんですが、それが突破されたってことですか？」

どうやら、カードの有効期限が間違って入力されていたため、不正として検知されたらしい。

つまり、相手はカード番号は知っていたけど、カードの有効期限で間違えたようだ。
そして3Dセキュアまではたどり着いていない。

その手前で利用停止処置になったみたいなので、決済もされていないとのこと。

なるほど、そういうことだったのか。

そうなるともう一点疑問が出てくる。

実はここ1～2週間くらいは、その家族カードでiD払いをしているのだ。

「iD払いは使えたんですけど・・・」

やっぱりそうか。以前どこかで聞いたことがあった。

「今日、普通に使ってしまったんですが・・・」

と鋭い声で言われた。

新しいカードがくるまでカードが使えなくなる、なんとも不便な。

「カードが届くまでの間、iD払いだけは・・・」

一蹴。

まあ、そりゃそうですよね。

カードの再発行で発生する問題

というわけで、カードは再発行。
新しいカードが届くまで座して待つしかない状況です。

で、ここからが本題なんですが・・・

新しいカードが届いたら、サブスクやカード情報を登録している会員サイトをすべて変更しないといけません。

今回は家族カードだったので、まだ良かったです。

そんなに登録してないので。

でも、もしこれが自分のカードだったら・・・と思うと嫌になってしまいます。

公共料金の引落し、サブスク、クレジット登録しているサイトがたんまり。全部変更対象です。

正直、この作業が一番面倒だなと思いました。

このまま使い続けてもいいのでは？

ここで、ふと思ってしまいました。

そんな手間をかけるくらいなら、このままカードを使い続けてもいいんじゃないだろうか、と。

だって、3Dセキュアとワンタイムパスワードは突破されていないわけだし。
今回止められたのも、有効期限を間違えたからだし。

もしオペレーターさんに、「最終セキュリティは突破されてないし、突破できるはずがないんで、このまま使い続けますわ」と言ったら、どうなっていたのだろうか。

なんてことになっていたのだろうか。

いや、それはないか。

【まとめ】dカードの不正検知で学んだこと

今回のカード不正利用は、組織的な手口で機械的に何枚ものカードを試したうちの1枚、という可能性がありますね。

大きすぎず小さすぎない今回の金額は、カードが使えるか確かめる「テスト決済」によくあるパターンみたいですし。

「数を打てば当たる」作戦で、相手側には失敗しても損はないので、気にせず試してる感じでしょう。

ほんと困ったものです。

ちなみに、家族のカード番号が漏れた心当たりは、先月にサブスクしているサイトから情報漏洩に関するお知らせが届いていまして、そのサイトが長い期間でメンテナンスしてたので、そこからなのかなーという予想。