ホリデー小売詐欺：返金・ギフトカードを悪用する手口

小売業者は1件の注文で二重に損失を被ることがあります。まず代替品を発送し、さらに不正な返金を承認してしまうケースです。

Flashpointは11月2日の分析で、ホリデー商戦を前に、地下フォーラムで返金悪用、ギフトカード詐欺、小売業者へのなりすまし、侵害されたオンラインストアへのアクセス販売といった活動が確認されたと説明しました。

小売業のセキュリティ責任者にとって実務上の課題は、サポート、決済、サイバーセキュリティの各チームが不審な動きを結び付けられるかどうかです。次の返金が承認される前、あるいは顧客情報がさらに流出する前に連携できなければなりません。

Flashpointが地下コミュニティーで確認したこと

小売詐欺に関する分析で、Flashpointは重なり合う複数のリスクを挙げています。

• 返金悪用：未着、空の梱包、誤った商品などと偽って申告する手口。代替品と返金の両方を狙う例もある
• サポートの操作：本人確認の回避を試みる行為や、買い物客を外部チャネルへ誘導する偽のカスタマーサービスアカウント
• ギフトカード詐欺：盗んだ決済情報でギフトカードを購入。商品の購入や換金を担う参加者も募集される
• ストアへのアクセス販売：Shopify、Magento、OpenCartなどを使うECサイトへのアクセスを謳う広告

これらの掲載内容は、各プラットフォームに脆弱性があることを裏付けるものではありません。Flashpointによると、初期アクセスの手法は一貫して明かされていませんでした。分析が説明しているのは観察された議論や広告であり、詐欺の成功件数が業界全体で増加したかどうかは定量化していません。

例外対応を確認する仕組みをサポート担当者に

小売業者は、顧客が配送に異議を唱えたり、代替品を求めたり、アカウント変更を依頼したりした際に、従業員が下せる判断を見直すべきです。各対応には、明確な本人確認の手順と、証拠が食い違う場合の明確なエスカレーション経路が必要です。

ソーシャルエンジニアリング攻撃に関する研修は、こうした日常的な場面を題材にするとよいでしょう。担当者は、緊急性や感情に訴える依頼に対応しながらも、返金やアカウント復旧に必要な確認を維持する練習が必要です。

従業員の判断が操作された場合の影響は、小売業にとどまりません。 Baker McKenzieとTroutman Pepper Lockeで発生したソーシャルエンジニアリング事案では、個人情報を含むファイルが漏えいしました。

小売業者にとって有効な確認ポイントは、同じ注文に対して別のチームがすでに代替品や返金を実施したことを、担当者が把握できるかどうかです。システム上でその履歴をまとめて表示できない場合は、新たな例外を承認する前に、文書化した確認手順を設けてください。

顧客が公式のサポート窓口を容易に見分けられることも重要です。窓口を分かりやすく公開し、なりすましアカウントの疑いを報告できる手順も用意しましょう。

取引だけでなくストアフロントも点検

一見普通のチェックアウトに、決済情報の窃取が隠れていることがあります。Microsoftは 2022年5月に公開した調査で、攻撃者が不正なコードを隠し、JavaScriptを見慣れたアナリティクス用スクリプトに偽装していたことを明らかにしました。

このため、ストアフロントの完全性は、個々の購入が不正検知を通過するかどうかとは別に考えるべき問題です。

小売業のIT部門は、管理者アカウントの見直し、不要になったアクセス権の削除、対応している範囲での多要素認証の徹底を進めてください。あわせて、チェックアウトページや導入済みの連携機能に想定外の変更がないか調査する必要があります。より広範な データ侵害の防止策では、これらのアカウントからアクセスできる顧客記録や注文履歴も対象に含めるべきです。

ギフトカードについては、購入と利用（換金）の動きをあわせて確認してください。不審と判定された決済の直後に素早く利用された場合は調査に値します。一方で、大口の購入というだけで、自動的に不正の証拠と見なすべきではありません。

チームが証拠を結び付けられるかを検証

繁忙期の前に、カスタマーサービス、不正対策、ECの管理者、セキュリティの各担当が参加する短い演習を実施してください。配送トラブル、代替品の依頼、不審なアカウント変更を含む架空の注文を使います。

各チームに次の点を尋ねます。

• どの注文、決済、アカウントのイベントを確認できるか
• 調査のためにどの記録を保全するか
• 返金、代替品の発送、アカウント変更を一時停止する権限は誰にあるか

この演習では、サポート担当者が決済アラートを見られない、セキュリティアナリストがアカウント変更を評価するための注文情報を持っていないといった、連携上の穴が明らかになるはずです。

成果は実務的な指標で測定します。関連するイベントを特定するまでの時間、権限を持つ意思決定者に到達するまでの時間、そして正当な顧客が本当の問題を引き続き解決できるかどうかです。対策を強化した結果、そのコストが買い物客やサポートチームに転嫁されるだけにならないよう、確認された損失と並べて誤検知も検証してください。

最も効果的な改善策は、共有のケース記録と、エスカレーションの責任者を明確にすることかもしれません。小売業者は、返金、利用、アカウント変更をなぜ承認したのかを説明できなければなりません。新たな証拠が出てきたときには、その判断を再構成できる必要もあります。

関連記事：小売業者へのなりすましは、攻撃者が信頼を悪用する手口の一つです。 偽の裁判所通知が同様の手口でLodaRATを配布する仕組みと、セキュリティチームが確認すべき点を解説します。