かっこ株式会社と株式会社リンクは、クレジットカード情報流出事件に関する統計とECにおける不正利用傾向に関する年次版レポート「キャッシュレスセキュリティレポート2026（2026年10月発行）」を公開しました。2025年の不正利用被害額は10年ぶりに前年を下回ったものの依然として500億円を超える高水準にあるほか、ランサムウェア攻撃による国内初のカード大量流出事例などが報告されています。両社はレポートを通じて、変化する不正手口やセキュリティ対策の動向をまとめています。

レポートによると、2025年のカード情報流出事件数は21件（前年比約43%減）、流出件数は246,474件（前年比約54%減）となり、2020年以降で最も低い水準となりました。

一方で、スーパーマーケット運営会社がランサムウェア攻撃を受け、自社発行のポイントカード一体型クレジットカードの情報約12万7千件が不正に閲覧された可能性を公表した事案が発生しました。これはランサムウェア攻撃により有効なカード情報の流出の可能性が報告された国内初の事案です。流出元はEC決済システムではなく会員・ポイント管理システムであり、決済システム以外の場所に残るカード情報の洗い出しとPCI DSS準拠状況の点検が求められるとしています。

不正利用被害額は10年ぶりに減少も500億円超の高止まり

クレジットカードの不正利用被害額は510.5億円となり、10年ぶりに前年（555.0億円）を下回りました。2025年3月末を期限とした「EMV 3-Dセキュア」導入義務化の効果が表れ始めている一方、認証を迂回する未導入加盟店への攻撃集中や、フィッシングによるワンタイムパスワードのリアルタイム詐取（中間者攻撃）が横行していると指摘しています。

また、注文金額の低額化も進んでおり、1万円以下の不正注文割合が2023年の19.3%から2025年には29.8%へと上昇しました。カードの有効性確認（オーソリ試行）や、初回限定割引商品を狙った悪質転売が背景にあると分析しています。さらに、EMV 3-Dセキュア導入後にカゴ落ちやカード会社判断による決済否認が増加し、売上機会の損失が発生するケースが増えている点についても触れています。

その他のトピックとして、2025年12月以降に経営者を騙るメールからLINE等のSNSグループへ誘導して緊急の送金を指示する「ニセ社長詐欺」被害が全国で相次いでいることが挙げられています。これに対しては、例外的な振込処理やメッセージングアプリ経由の指示に対する独立した本人確認フローの整備が必要とされています。

政策動向では、2026年度末に申請受付開始が予定されている「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の概要や実務上の影響が大きいと考えられる要求事項を解説しています。また、生成AIの進化に伴いフィッシング等の手口が量産化・精密化する一方、防御側の脆弱性発見能力が向上している点や、AIエージェントが購入まで行う「エージェンティックコマース」の登場がもたらす影響についても言及しています。

会社概要

株式会社リンク

• 住所：東京都港区北青山 2-14-4　アーガイル青山 14階
• 代表者：岡田　元治
• 設立：1987年11月18日
• URL：https://www.link.co.jp/
• 事業内容：クラウド・ホスティング事業、セキュリティプラットフォーム事業、テレフォニー事業、農系事業

かっこ株式会社

• 住所：東京都港区元赤坂一丁目5番31号
• 代表者：代表取締役社長　岩井　裕之
• 設立：2011年1月28日
• URL：https://cacco.co.jp/
• 事業内容：SaaS型アルゴリズム提供事業（不正検知サービス、 決済コンサルティングサービス、データサイエンスサービス）

本記事はかっこ株式会社および株式会社リンクの発表をもとに作成しました。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。