クレジットカードのスキミング対策｜ICチップが複製されにくい理由を仕組みから解説

スキミングとは、カードに記録された情報を盗み取り、その情報でコピーカードを作って使う手口です。カード自体は手元にあるため、被害に気づくのは明細を見たときになります。

この記事のいちばんの結論を先に書きます。スキミング対策の中心はICチップです。磁気ストライプは「記録されている情報を読み出せば同じものが作れる」構造ですが、ICチップは中で計算をして毎回異なるデータを返すため、読み取った情報をそのまま複製しても使えません。日本クレジット協会の用語説明でも、ICカードについて「構造上ICカードの複製は極めて困難」と明記されています。

ここでは磁気とICの違いを仕組みから整理したうえで、国内で進んできたIC対応の経緯、そして海外のATMや店頭で気をつけたい具体的なポイントまで見ていきます。記載している内容は記事執筆時点で公表されているものです。

スキミングはどうやって起きるのか

スキミングは、カードの情報を読み取る装置（スキマー）を使って行われます。典型的なのは次のような場面です。

• ATMのカード挿入口に、薄い読み取り装置を重ねて設置する
• 店員がカードを預かり、正規の端末とは別の小型読み取り機に通す
• ATMの上部に小型カメラを仕込み、暗証番号の入力を撮影する

ここで重要なのは、スキミングは「読み取る」だけでは完結しないという点です。読み取った情報でカードを作り直して初めて被害になります。だからこそ、複製できるかどうかを決めるカードの構造が決定的に効いてきます。

持ち歩きの面では、非接触の読み取りを遮る素材を使ったスキミング防止カードケースに入れておくのも、リスクを減らす工夫のひとつです。すべての手口を防げるわけではありませんが、日常でできる備えとして取り入れる方もいます。

磁気ストライプとICチップは、何がどう違うのか

磁気ストライプは「書いてあることを読むだけ」

カード裏面の黒い帯が磁気ストライプです。ここには会員番号や有効期限などの情報が、磁気のパターンとして記録されています。読み取り機を通すと、その情報がそのまま出てきます。

問題は、読み出した情報と同じものを別のカードに書き込めば、機械から見て同じカードになってしまうことです。情報が静的であること、つまり毎回同じ内容が出てくることが、そのまま複製のしやすさにつながっています。

ICチップは「その場で計算して答える」

一方、券面に埋め込まれた金色の四角がICチップです。日本クレジット協会が公表している「クレジットカード・セキュリティガイドライン」の用語集は、IC化について次のように説明しています。

キーワードは「演算機能」です。ICチップは単なる記憶媒体ではなく、小さなコンピュータとして中で計算を行います。決済のたびに、その取引に固有のデータを生成して端末に返す仕組みになっているため、通信内容を丸ごと記録して再送しても、次の取引では通用しません。

比較項目	磁気ストライプ	ICチップ（EMV）
情報の持ち方	磁気パターンとして静的に記録	ICチップ内に暗号化して格納
取引ごとのデータ	毎回ほぼ同じ	演算により取引ごとに生成
複製のしやすさ	読み取れば複製が可能	複製は極めて困難とされる
店頭での本人確認	サイン（署名）	原則として暗証番号（PIN）の入力
端末での操作	スワイプ（通す）	差し込む、またはかざす

磁気とICの構造そのものについてはクレジットカードの磁気ストライプとICチップの違いを解説した記事でも扱っています。この記事では、そこから一歩進んで「では利用者は何をすればいいのか」に焦点を当てます。

国内のIC対応は、どこまで進んできたのか

日本のIC対応は、法律と業界の取り決めが両輪で進めてきました。事実関係を、公表されている資料に沿って整理します。

まず割賦販売法の改正があった

割賦販売法 第35条の17の15は、クレジットカードの加盟店にあたる事業者に対し、経済産業省令で定める基準に従って「利用者によるクレジットカード番号等の不正な利用を防止するために必要な措置」を講じることを義務づけています。条文はe-Gov法令検索の割賦販売法のページで確認できます。

日本クレジット協会は、この規定を含む改正割賦販売法が平成30年6月1日に施行されたと公表しています。法律が「必要な措置を講じよ」と定め、その具体的な中身を業界の文書が示すという関係になっています。

実行計画からセキュリティガイドラインへ

その具体的な中身を担ってきたのが、「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」です。クレジットカード・セキュリティガイドライン【6.1版】の第1章には、次のように記されています。

実行計画は実施期限である2020年3月末に終了し、関係事業者が実施すべきセキュリティ対策は2020年3月にまとめられた「クレジットカード・セキュリティガイドライン」に引き継がれました。6.1版は、そこから数えて6回目の改訂にあたり、2026年3月に公表されています。事務局は一般社団法人日本クレジット協会です。

いま求められているのは「原則PIN入力」

ガイドライン6.1版が現在求めている運用は明確です。

• 対面取引では、紛失・盗難カードによる不正利用を防止するため、原則「PINの入力」による本人確認を行う
• 従来行われていた「サインの取得」は、各国際ブランドのルールにおいて本人確認としての有効性は認められていない（加盟店の業務上必要な場合に行うことを妨げるものではない）
• 暗証番号を忘れた会員にPIN入力をスキップさせる「PINバイパス」は、紛失・盗難カードの不正利用を防止する観点から運用が認められていない

この3点は覚えておく価値があります。「暗証番号を忘れたのでサインで」が通らなくなっているということだからです。日本クレジット協会が公表しているIC取引の啓発資料も、本人確認方法がサインから暗証番号に変わることを案内しています。

もし暗証番号が思い出せない状態のままなら、旅行や大きな買い物の前に照会しておいてください。手続きから通知が届くまで1週間ほどかかるのが一般的です。暗証番号を忘れたときの確認・変更方法をまとめた記事で手順を解説しています。

店頭でできるスキミング対策

財布を買い替えるタイミングなら、カードポケットに読み取りを遮る素材を使ったスキミング防止財布を選ぶという方法もあります。実際の仕様やレビューは各ショップで確認できます。

海外でカードを使うときの注意点

海外では日本と事情が異なるため、意識するポイントも変わります。

ATMは場所を選ぶ

路上に単独で設置されたATMや、人目につきにくい場所のATMは、装置を仕込まれても発見されにくい環境です。銀行の建物内や空港など、管理されている場所のATMを選んでください。

挿入口が不自然に厚い、周囲にわずかな隙間や接着剤の跡がある、キーパッドが浮いている、といった違和感があれば使わずに離れるのが安全です。

その日のうちに明細を見る

海外滞在中は、カード会社のアプリで利用状況を確認する習慣をつけてください。日本クレジット協会は「クレジットカード不正利用5つの対策」の一つとして、カード利用明細の確認を挙げています。

これは前の記事で扱った補償の話とも直結します。カードの盗難補償は届出日から一定期間さかのぼった範囲が対象になるため、気づくのが早いほど守れる金額が増えます。

利用通知をオンにしておく

決済のたびにプッシュ通知やメールが届く設定にしておけば、寝ている間に海外で使われた場合でも朝には気づけます。設定はカード会社のアプリから数分で完了します。

渡航前に緊急連絡先を控えておく

カードが使えなくなったとき、現地から日本のカード会社にどうつなぐかを事前に確認しておきます。カード裏面の番号は日本国内向けのことがあるため、海外専用の受付番号をメモかスクリーンショットで持っておくと安心です。

緊急連絡先のメモや予備のカードは、服の下に身につけられるセキュリティポーチに分けて入れておくと、メインの財布をなくしたときにも慌てずに済みます。

いま被害の中心は、実はスキミングではない

最後に、対策の優先順位を考えるうえで欠かせない事実にも触れておきます。

日本クレジット協会によると、2024年のクレジットカード不正利用被害額は555.0億円で過去最多となり、その92.5%がインターネット取引における「番号盗用」でした。2025年の被害額は510.5億円となり、前年に比べて被害額・不正発生率ともに減少傾向がみられると同協会は説明しています。

つまり、いま被害の大半を占めているのは、店頭やATMでのスキミングではなく、ネット上で番号を盗まれる被害です。ICチップによる対策は対面取引を守るものであり、ネット取引を守るのは本人認証サービス（EMV 3-Dセキュア）やパスワードの管理です。両方をやって、はじめて守りが揃います。

よくある質問

Q1. ICチップ付きのカードなら、スキミングされないのですか？

読み取り自体を100%防げるわけではありませんが、日本クレジット協会は「構造上ICカードの複製は極めて困難」としています。ICチップで取引する限り、読み取ったデータから使えるコピーカードを作ることは難しいという整理です。ただし、カード券面に印字された番号・有効期限・氏名を目視や撮影で盗まれれば、ネット決済に悪用される可能性は残ります。

Q2. カードに磁気ストライプが付いているのはなぜですか？

IC非対応の端末や、一部の海外環境で使う必要があるためです。日本国内ではIC対応が進んでいますが、世界のすべての場所で使えるとは限りません。近年はナンバーレス化と合わせて券面の情報を減らしたカードも増えており、券面から情報を読み取られるリスクは下がる方向にあります。

Q3. 店員に「サインでお願いします」と言われました。断ってよいですか？

クレジットカード・セキュリティガイドライン6.1版は、対面取引では原則としてPIN入力による本人確認を求めており、PINバイパスの運用は認められていないとしています。端末の指示に従う運用になるため、暗証番号の入力を求められるのが通常です。ただし加盟店の業務オペレーション上、サインの取得を併せて行うことが妨げられているわけではありません。

Q4. 暗証番号を忘れてしまいました。どうすればよいですか？

カード会社の会員サイト・アプリ・電話から照会手続きを行います。セキュリティ上、暗証番号がその場で画面や電話口で伝えられることはなく、登録住所への郵送で通知されるのが一般的です。届くまでに1週間から10日程度かかることが多いため、旅行前などは早めに手続きしてください。

Q5. タッチ決済はスキミングの心配がありませんか？

タッチ決済もIC取引の一種で、券面内部のICチップの情報を非接触で読み取って処理します。カードを人に手渡さずに済む点は、預けている間に別の機械に通されるリスクをなくすという意味で有効です。なお一定金額を超える取引では、接触IC取引に切り替えて暗証番号を入力する運用や、スマートフォンの生体認証等による本人確認が求められる運用になっています。

Q6. スキミング被害に遭ったら、どう動けばよいですか？

すぐにカード会社へ連絡してカードを止め、警察に届け出て、カード会社の案内に従って書類を提出します。クレジットカードの不正利用に遭ったときの対処法をまとめた記事で流れを解説しています。届出が早いほど補償の対象になる範囲が広くなるため、判断を待たずに連絡してください。

まとめ

• 磁気ストライプは静的な情報を読むだけの構造で、読み取れば複製が可能
• ICチップは演算機能で取引ごとにデータを生成するため、複製は極めて困難とされる（日本クレジット協会）
• 割賦販売法 第35条の17の15が加盟店に不正利用防止措置を義務づけ、その具体的内容はクレジットカード・セキュリティガイドラインが示している
• 実行計画は2020年3月末に終了し、対策はガイドラインに引き継がれた（6.1版は2026年3月公表）
• 対面取引の本人確認は原則PIN入力。PINバイパスの運用は認められていない
• 海外ではATMの設置場所を選び、明細を毎日確認する
• いまの被害の中心はネット取引の番号盗用。IC対応とネット側の対策は両方必要

※この記事の情報は執筆時点のものです。制度・ガイドラインの内容は改訂される場合があります。最新の情報は日本クレジット協会および各カード会社の公式サイトでご確認ください。