クレジットカードの「BINアタック」：ダークウェブで検証される有効期限

クレジットカードの不正利用というと、カード番号や有効期限などが盗まれ、その情報を使って誰かが買い物をする。そんなイメージが一般的ではないでしょうか。実際には、もう少し複雑です。犯罪者は、手に入れたカード情報をすぐに使うとは限りません。まず「このカードはまだ使えるのか」を確かめることがあります。

カード番号は合っているのか。有効期限は現在も有効なのか。セキュリティコードとの組み合わせは正しいのか。こうした確認作業を大量に行い、利用できるカード情報だけを選び出す。そのために使われる手法の一つが「BINアタック」です。

BINはBank Identification Numberの略称で、クレジットカード番号の先頭部分を指します。現在はIIN（Issuer Identification Number）という呼び方もありますが、セキュリティ業界ではBINという言葉が今も一般的です。BINアタックでは、この先頭部分を手掛かりにカード番号を推測したり、すでに入手したカード情報について有効期限などの組み合わせを試したりします。

Visaは、このような攻撃を「enumeration attack（列挙攻撃）」や「account testing」として説明しています。カード番号（PAN）や有効期限、CVV2などを自動的に試行し、利用できる情報を探す攻撃です。

ここで見落としたくないのが、その先です。攻撃者にとって価値があるのは、単なるカード番号のリストではありません。「今も使える」と確認されたカード情報のほうが、はるかに価値があります。そして、こうして確認された情報が犯罪者同士の取引に回ることがあります。

BINアタックを考えるときは、決済画面で何が起きているかだけを見るのではなく、その裏側にある「情報の流通」に目を向ける必要があります。

BINアタックはカード番号を「探す」攻撃

クレジットカード番号は、完全にランダムな数字の並びではありません。先頭部分には、カードを発行した金融機関などを識別するための番号が含まれています。それがBINです。

たとえば、あるカード発行会社のBINが分かれば、攻撃者はそこを起点としてカード番号を推測できます。もちろん、思いついた数字を並べればカードが作れるわけではありません。カード番号にはチェックの仕組みもあります。

それでも、コンピューターを使って大量の候補を作り、オンラインの決済システムなどで試していけば、実在するカード番号に当たる可能性があります。人間が一枚ずつカード番号を入力するのであれば、試せる数には限界があります。しかし、プログラムなら大量のリクエストを短時間で送ることができます。

攻撃者は決済システムから返ってくる結果を見ながら、使えそうなカード情報を絞り込んでいきます。Visaが説明しているenumeration攻撃でも、特定のBINを起点としてカード番号や有効期限、CVV2などの組み合わせを繰り返し試す手法が紹介されています。

ここで注意したいのは、BINアタックと「カードテスティング」は完全に同じではないことです。BINアタックは、BINなどを手掛かりにカード情報を推測する側面があります。一方、カードテスティングは、すでに入手しているカード情報が実際に利用できるかを確認する攻撃です。現実の攻撃では、この二つが組み合わされることもあります。

有効期限をなぜ試すのか

カード番号だけ分かっても、オンライン決済ですぐに使えるとは限りません。決済時に有効期限やセキュリティコードの入力が必要なケースがあるからです。そこで攻撃者は、カード番号と有効期限などの組み合わせを試します。

「この番号は存在するのか」「この有効期限で合っているのか」「このカードは現在も使えるのか」。こうした情報を、決済システムの応答から探ろうとします。Stripeもカードテスティングについて、盗まれたカード番号や有効期限、CVCなどを使って決済を試し、カード情報が有効かどうかを確認する手口だと説明しています。

攻撃者からすれば、実際に商品を購入する必要はありません。知りたいのは「使えるカードなのか」という一点です。そのため、少額の決済やオーソリなどが、カード情報を確認するための手段として悪用されることがあります。

現在の決済サービスには、このような異常な試行を自動的に検知する仕組みがすでにあります。機械学習やレート制限などを利用し、大量のカードテスティングをブロックする仕組みも一般的になっています。企業が担当者を置いて、一件ずつ決済ログを眺めながら止めるという話ではありません。

むしろ現在の実務では、決済基盤側でどこまで自動的に異常を検知できるかが重要になります。ただ、それでも攻撃が起きる可能性そのものをなくすことはできません。そして、企業にとってもう一つ重要なのが「攻撃者側では何が起きているのか」という視点です。

「使えるカード情報」は犯罪者にとって価値がある

大量に盗まれたカード情報があったとしても、すべてが現在も使えるとは限りません。カードが停止されているかもしれません。有効期限が切れているかもしれません。情報の一部が間違っている可能性もあります。

そのため犯罪者側では、手に入れた情報をそのまま扱うのではなく、使える情報を選別しようとします。この「選別」が終わると、情報の価値が変わります。単なる漏洩データではなく、「利用できることが確認されたカード情報」として扱われるようになるからです。

MasterCardも、カードテスティングによって確認されたカード情報が、地下フォーラムやマーケットプレイス、メッセージングチャネルなどで取引される可能性について説明しています。

ここにダークウェブ監視の意味があります。企業が見たいのは、単に「カード番号が漏れたか」だけではありません。自社に関係する情報が、犯罪者のコミュニティで話題になっていないか。自社のブランドやサービスを悪用した情報が出回っていないか。過去に漏洩した情報が、別の場所で再び流通していないか。こうした変化を追っていくことが、外部から自社のリスクを見る手掛かりになります。

「自社から漏れていないから大丈夫」ではない

ここは企業にとって、意外と重要なポイントです。ダークウェブに自社関連情報が出ていたとしても、それが必ずしも「自社システムから漏れた」という意味ではありません。

従業員が利用していた外部サービスから漏れた可能性もあります。フィッシングサイト経由で取得された情報かもしれません。別の企業から流出した情報と組み合わせられているケースも考えられます。つまり、情報の出所と現在のリスクは分けて考える必要があります。

たとえば、自社ドメインのメールアドレスとパスワードが犯罪者側で確認されたとします。その情報が自社から直接流出したとは限りません。しかし、「そのアカウント情報を第三者が持っている」という事実は変わりません。

そこで企業側がアカウントを確認し、パスワード変更や多要素認証の状況を確認する。こうした対応につなげることができます。ダークウェブ監視は、漏洩元を特定するためだけのものではありません。「外から見たとき、自社に関係する危険な情報が何として存在しているのか」を把握するためのものでもあります。

カード情報だけを監視すればいいわけではない

ダークウェブ監視というと、カード番号などの決済情報を探すことを想像するかもしれません。しかし、企業が監視すべき情報はそれだけではありません。

むしろ、多くの企業にとって現実的な監視対象になるのは、メールアドレスやパスワード、VPNの認証情報、クラウドサービスのアカウント情報などです。これらが攻撃者の手に渡れば、社内ネットワークやクラウド環境への侵入につながる可能性があります。

さらに最近は、企業名やブランド名そのものが監視対象になります。偽サイトが作られていないか。自社を装ったフィッシングサイトが出ていないか。犯罪者のコミュニティで、自社のサービスについて話題になっていないか。こうした情報を拾うことで、通常のセキュリティ製品とは違った角度から自社への攻撃を捉えられます。

BINアタックの記事であっても、最終的にはここにつながります。カード情報は突然、犯罪者の手元に現れるわけではありません。どこかから流出し、入手され、検証され、選別され、場合によっては別の犯罪者へ渡っていきます。その過程を追うには、決済システムの内側だけを見ていても限界があります。

ダークウェブでは「古い情報」が再利用されることもある

ダークウェブ監視で注意したいのが、古い情報の扱いです。ある日、漏洩情報が見つかったからといって、それが必ずしも新しいインシデントとは限りません。

数年前の情報が再び販売されていることもあります。一度流出した認証情報が、別のデータセットに組み込まれて再登場することもあります。そのため、監視では「見つかったか、見つからなかったか」だけではなく、いつ流出した情報なのか、以前にも確認されていたものなのか、新しい情報が追加されているのか、といった変化を見る必要があります。

ここは、人が単発で検索するだけでは判断しにくい部分です。継続的に監視していれば、「以前から存在していた情報」と「新たに確認された情報」を区別しやすくなります。

企業のセキュリティ担当者にとっては、この違いが意外に大きいのです。

決済監視とダークウェブ監視は別の仕事

BINアタックへの対策を考えるとき、決済監視とダークウェブ監視を混同しないことも大切です。

決済監視は、基本的に自社の決済環境で何が起きているかを見るものです。大量の決済要求が発生していないか。不自然なカードテスティングが起きていないか。通常とは違う取引パターンがないか。こうした異常を検知して、必要に応じて自動的にブロックします。

一方、ダークウェブ監視は、その外側を見るものです。攻撃者がどのような情報を持っているのか。自社関連の情報がどこで流通しているのか。過去に漏れた情報が現在も利用されているのか。自社ブランドを狙った動きが出ていないか。こちらは、決済システムのログからは分からない情報です。

たとえるなら、決済監視が「店の中を見る仕組み」だとすれば、ダークウェブ監視は「店の外で何が話されているかを見る仕組み」に近いでしょう。どちらも目的が違います。だからこそ、両方を見る意味があります。

攻撃者側の変化を追う

セキュリティ対策というと、どうしても「自社のシステムをどう守るか」という発想になりがちです。もちろん、それは必要です。

しかし、攻撃者側の情報を見ておくことで、別の手掛かりが得られることがあります。たとえば、自社ドメインの認証情報が犯罪者のコミュニティで確認された。その場合、まだ不正アクセスが発生していなくても、対象となるアカウントを調べるきっかけになります。

自社ブランドを使ったフィッシングサイトが登場した。それなら、従業員や顧客に対する注意喚起を検討できます。過去に漏洩した情報が新たなデータセットとして流通している。それなら、以前のインシデントについて再確認する必要があるかもしれません。

こうした情報は、必ずしも「すぐ重大インシデントが起きる」という意味ではありません。それでも、内部のログだけでは得られないヒントになります。ダークウェブ監視の価値は、ここにあります。

情報漏洩は「発生した瞬間」で終わらない

情報漏洩対策では、「漏らさないこと」が最も重要です。ただ、どれだけ対策をしていても、外部サービスや取引先、従業員の利用サービスなど、自社だけでは管理できない場所から情報が流出する可能性があります。

だからこそ、漏洩後の世界も見ておく必要があります。漏洩した情報はどこへ行ったのか。誰が持っているのか。再び販売されていないか。
自社の情報と別の情報が組み合わされていないか。そして、現在も利用可能な状態なのか。

BINアタックやカードテスティングが示しているのは、情報が「漏れた」というだけでは終わらないということです。攻撃者は、その情報を使えるものと使えないものに分けます。使える情報は、次の攻撃に利用されることがあります。その情報が犯罪者間で売買されることもあります。

企業側がそこまで追いかけようとすれば、社内のセキュリティログだけでは足りません。

ダークウェブ監視を情報漏洩対策の一部に

BINアタックは、クレジットカード番号を起点にした攻撃というだけではありません。その背景には、盗まれた情報を検証し、価値のある情報だけを選び出し、それをさらに犯罪に利用するという流れがあります。そして、その流れの一部がダークウェブや犯罪者コミュニティに現れます。

だからこそ、企業にとってダークウェブ監視は「漏洩情報を検索するだけのサービス」ではありません。自社の情報が外部でどのように扱われているのかを知るための、外部観測の手段です。

もちろん、ダークウェブ上で自社名が見つかったからといって、直ちに被害が発生しているとは限りません。古い情報である可能性もありますし、第三者が自社名を単に言及しているだけかもしれません。

重要なのは、情報を見つけること自体ではなく、その情報を社内のログやインシデント情報と照らし合わせ、必要な対応につなげることです。

決済システムでは自動的に不正なリクエストを検知する。そして、その外側ではダークウェブ監視によって、攻撃者がどのような情報を持ち、何を流通させているのかを把握する。この二つは役割が違います。

まとめ

BINアタックでは、クレジットカード番号の先頭部分であるBINを手掛かりにカード番号を推測したり、カード情報の組み合わせを試したりします。一方、カードテスティングでは、すでに入手したカード情報が現在も利用できるのかを確認します。

攻撃者が知りたいのは、単なるカード番号ではありません。実際に使えるカードなのか。有効期限は合っているのか。ほかの情報と組み合わせて利用できるのか。そうして選別された情報が、犯罪者間で取引されることがあります。

この構造を見ると、企業の対策を「決済時に不正利用を止める」だけで終わらせる理由はありません。決済サービス側では、不正な試行を自動的に検知・遮断する仕組みを整える。その一方で、企業側ではダークウェブなどの外部環境を監視し、自社に関係する情報が犯罪者側でどのように扱われているのかを把握する。この二つを分けて考えることが大切です。

特にダークウェブ監視では、自社のメールアドレスや認証情報だけでなく、ブランド名、サービス名、フィッシングサイト、犯罪者コミュニティでの言及など、企業を取り巻く情報全体を見ることができます。

「情報が漏れていないか」を確認するだけではなく、「漏れた情報が、その後どうなっているのか」を追う。BINアタックをきっかけにクレジットカード情報の流通を考えると、この視点の重要性がよく分かります。

サイバー攻撃は、企業のシステムの中だけで完結しているわけではありません。攻撃者が何を入手し、何を検証し、何を売買しているのか。その動きを外側から捉えておくことも、情報漏洩対策の一部です。

ダークウェブ監視を活用し、自社に関係する情報が犯罪者側でどのように扱われているのかを継続的に把握しておけば、社内のセキュリティ監視だけでは見つけにくいリスクに気づくきっかけを増やせます。

「被害が起きてから調べる」のではなく、「攻撃者側で何が起きているのかを普段から見ておく」。

これが、ダークウェブ監視を情報漏洩対策に取り入れる大きな意味の一つです。