IPAは11月の大型セール前に決済端末のファームウェアとチェックアウトページの脚本を点検するよう小売り・中堅ECに通達した。8〜10月に14店でMagecart型スキマーを確認し、関西のカード不正が増えた。

手口

CDNやチャットウィジェット経由で12行の脚本を挿入し、CVVと番号を窃取。8件は古いカートプラグイン、6件はSRI未設定。

対策

脚本一覧、ゲートウェイ鍵のローテ、店頭端末の認証を推奨。YARAルールとPCI DSS v4.0向けチェックリストを公開。

業界

日本小売業協会は説明会を設定。コンビニはQR決済を推す一方、QRフィッシングにも注意。決済代行は管理画面のIP制限を案内。

消費者

アプリ通知を有効化し、共有PCではカード保存を避ける。仮想カード番号が使えるなら年末ギフトで有効。