クレジットカード不正利用を防ぐ設定｜利用通知・バーチャルカード・限度額

日常の買い物からWebサービスの決済まで、生活に欠かせないクレジットカードですが、不正利用被害は高水準で推移しています。

一般社団法人日本クレジット協会の統計によると、クレジットカードの不正利用被害額のうち90%以上を「番号盗用被害」が占めています。カードの物理的な盗難や磁気ストライプの偽造ではなく、ECサイトからの情報漏洩やフィッシング詐欺によってカード番号が盗まれ、ネット通販などで不正に使われる事例が圧倒的大半です。

「不正利用されてもカード会社が全額補償してくれるから大丈夫」と考えている方も多いですが、補償には「申出期限（60日ルール等）」や「会員の重大な過失がないこと」といった厳格な条件が存在します。

本記事では、日本クレジット協会・経済産業省の公表資料および主要カード会社の公式規約に基づき、不正利用被害を予防し、万が一遭った場合でも早期に検知して被害を抑えるための防御設定を詳しく解説します。

なお、情報漏洩やアカウント乗っ取りから個人データを守る全体像については、個人でできるセキュリティ対策まとめ｜情報漏洩から身を守る完全ガイドをご覧ください。

この記事で行うこと
前提条件・対象読者
1. クレジットカード不正利用の最新実態と補償の落とし穴
1. 1-1. 被害の大半は「番号盗用」によるオンライン不正決済
2. 1-2. 「補償制度」には厳しい条件と期限（60日ルール）がある
2. カード会社アプリで設定すべき3大必須防御策
3. EMV 3-Dセキュア（本人認証サービス）の登録とブラウザ設定
1. 3-1. EMV 3-Dセキュア（3Dセキュア2.0）の仕組みと連絡先点検
2. 3-2. ブラウザへのカード情報保存に関する注意点
4. よくある間違い・注意点（アンチパターン）
1. 4-1. ❌ 少額（数百円）の不審な通知を「誤差・勘違い」として放置する
2. 4-2. ❌ 1枚のメインカードをあらゆる海外サイトや小規模サイトに登録する
5. 不正利用の通知が届いた場合の緊急対応フロー
6. よくある質問（FAQ）
1. Q1. ネット通販で一度も使っていないカードなのに不正利用されるのはなぜですか？
2. Q2. カードを再発行すると手数料はかかりますか？
7. まとめ
次に読むおすすめ記事
参考情報

この記事で行うこと

クレジットカード不正利用の主流である「番号盗用」の経路と、補償制度の条件（60日ルール等）を理解する
カード会社アプリで今すぐ設定すべき3大防御策（即時利用通知・バーチャルカード・利用制限）を把握する
EMV 3-Dセキュア（本人認証サービス）の仕組みと連絡先情報の点検方法を確認する
ブラウザへのカード番号保存リスクなど、日常運用で陥りやすい注意点を把握する
身に覚えのない利用通知や明細を見つけた際の緊急対応フロー（一時停止・カード会社連絡・警察届出）を確認する

前提条件・対象読者

ネット通販やサブスクリプションでクレジットカードを日常的に利用している方
情報漏洩ニュースを見て、自分のカードが不正利用されないか不安を感じている方
カード会社のアプリを入れたまま、通知や利用制限を初期設定のままにしている方
情報の基準日：2026年11月（日本クレジット協会、経済産業省、主要クレジットカード会社の公式案内・規約に基づきます。補償条件や機能名称はカード会社ごとに異なるため、必ずご自身の契約規約をご確認ください）

1. クレジットカード不正利用の最新実態と補償の落とし穴

設定を見直す前に、まずは不正利用の現状と補償制度の仕組みを把握しておきましょう。

1-1. 被害の大半は「番号盗用」によるオンライン不正決済

かつての不正利用は、カードの盗難やスキミングによる店舗決済が主流でした。しかし現在では、以下の経路で盗まれたカード情報が悪用され、オンラインショッピングやデジタルコンテンツ決済で使われるケースが主流となっています。

通販サイトの脆弱性を突いた不正アクセス・ペイメントアプリケーションの改ざんによるカード情報の流出
宅配業者、カード会社、公的機関を装った偽メール・偽SMS（フィッシング詐欺）
パソコンやスマートフォンに侵入した情報窃取型マルウェア（インフォスティーラー）によるブラウザ保存情報の窃取
規則的にカード番号と有効期限の組み合わせを生成して決済を試みる「クレジットマスター（クレマス）攻撃」

SMSを用いたフィッシングの手口については、スミッシング・ビッシング・SIMスワップ対策｜SMSと電話を悪用した詐欺の防ぎ方で詳しく解説しています。

1-2. 「補償制度」には厳しい条件と期限（60日ルール）がある

多くのクレジットカード会社には、不正利用被害に遭った会員を保護する補償制度が用意されています。しかし、無条件にいつでも補償されるわけではありません。

主な補償条件と注意点は以下の通りです。

項目	一般的な規約内容の例	注意すべきポイント
申出期限（60日ルール）	届出日から遡って60日前まで（三井住友カード・楽天カード等）、または明細通知後60日以内（JCB等）	明細を確認せず数ヶ月放置すると、期限を過ぎた被害分が補償対象外（自己負担）になるおそれがある
管理責任	暗証番号の適切な管理、プラスチックカード裏面への署名（サインレス仕様を除く）	生年月日や電話番号等の推測されやすい暗証番号、署名欄があるカードの未署名は対象外となる場合がある
会員の過失・規約違反	第三者へのカード貸与禁止、認証コード等の開示禁止	家族を含む他人にカードを貸した、または重大な過失により暗証番号・認証コードを知られた場合は対象外
警察への届出	警察署への被害申告・届出	カード会社の調査手続きにおいて、警察への届出（受理番号等）の確認が求められる場合が多い

※補償の起算日（「届出日から遡って60日」か「明細通知後60日以内」か等）や免責事由は、各クレジットカード会社の会員規約によって異なります。必ずご自身が契約しているカード会社の公式規約をご確認ください。

2. カード会社アプリで設定すべき3大必須防御策

カード番号が万が一漏洩したり、クレジットマスター攻撃の標的になったりしても、カード会社の公式アプリや会員サイトで提供されているセキュリティ機能を設定しておけば、被害を未然に防いだり発生直後に検知したりしやすくなります。

2-1. 対策1：「即時利用通知（プッシュ通知・メール）」を有効化する

不正利用対策の中で最も優先度が高く、すぐに効果を発揮するのが「利用通知サービス」です。

カード決済（オーソリゼーション）が行われたタイミングで、スマートフォンアプリのプッシュ通知や登録メールアドレスへ「利用日時」「金額」「利用先」が通知されます。

メリット: 攻撃者がカード番号の有効性を確かめるために行う「数百円〜数千円の少額テスト決済」の段階で、すぐに異変に気づくことができます。
推奨設定: 通知条件の金額が選択できる場合は、可能な限り最低金額（例: 1円以上すべて）に設定します（カード会社によっては初期設定が「1万円以上のみ通知」や「オフ」になっている場合があります）。

利用明細を月1回の請求確定時だけ確認する運用では、発見が1ヶ月近く遅れてしまいます。即時通知を有効にしておくことで、不正利用の初期段階でカードを一時停止できます。

2-2. 対策2：オンライン決済用の「バーチャルカード」を活用する

三井住友カードの「バーチャルカード」、エポスカードの「エポスバーチャルカード」、各種プリペイド・デビットアプリのバーチャルカードなど、プラスチックの本カードとは別のカード番号を発行できるサービスが増えています。

本カードの番号をECサイトに入力せずに済むため、万が一ECサイト側からカード情報が流出しても本カードへの影響を防ぎやすい
サービスによっては、バーチャルカード単独で利用限度額を低く設定したり、使わない時はアプリ上で「一時停止（ロック）」にしておいたりできる
番号が漏洩した際も、バーチャルカードの番号のみを再発行・破棄すれば、本カードに紐づく公共料金や携帯電話料金の引き落とし設定を変更する手間がかからない

※利用枠の仕組み、一時停止機能の有無、再発行時の手数料、補償の適用条件は発行会社やカード種別によって異なります。

2-3. 対策3：「利用限度額の見直し」と「海外・ネット利用の制限スイッチ」

初期設定で付与された高額な利用可能枠（例: 100万円〜200万円）を普段使わないまま放置しておくと、万が一不正利用された際の被害額が大きくなります。

利用可能枠の引き下げ（減額）: 日常の決済に支障がない金額（またはカード会社ごとに設定可能な単位）に見直しておく
利用制限スイッチの活用: 一部のカード会社（三井住友カードの「あんしん利用制限サービス」、JCBの「MyJCB安心設定」など）では、「海外実店舗での利用停止」「ネットショッピング利用の制限」などをアプリから切り替えられます。海外渡航の予定がない期間は海外現地利用をオフにし、普段使わないサブカードは利用制限をかけておくと安全性が高まります。

3. EMV 3-Dセキュア（本人認証サービス）の登録とブラウザ設定

3-1. EMV 3-Dセキュア（3Dセキュア2.0）の仕組みと連絡先点検

オンラインショッピングにおける不正利用対策として、経済産業省が策定する「クレジットカード・セキュリティガイドライン」では、EC加盟店等に対して「EMV 3-Dセキュア（3Dセキュア2.0）」の導入を求めています。

EMV 3-Dセキュアでは、決済時の端末情報や取引履歴をもとにリスクベース認証が行われ、「普段と異なる環境や高額決済でリスクが高い」と判定された場合にのみ、ワンタイムパスワードや生体認証・アプリ承認などの追加認証が要求されます。

カード会社の会員サイトで、以下の2点を必ず確認してください。

本人認証サービス（3Dセキュア）が登録・有効化されているか
認証コードの受け取り先となる携帯電話番号やメールアドレスが最新のものになっているか

3-2. ブラウザへのカード情報保存に関する注意点

Google ChromeなどのWebブラウザには、一度入力したクレジットカード番号を保存して次回から自動入力する機能があります。

便利な反面、PCが情報窃取型マルウェア（インフォスティーラー）に感染した場合、ローカルに保存された情報が狙われるリスクがあります。対策やChrome側の設定手順については、Chromeのパスワードが盗まれる？情報窃取マルウェア対策と設定で詳しく解説しています。

4. よくある間違い・注意点（アンチパターン）

4-1. ❌ 少額（数百円）の不審な通知を「誤差・勘違い」として放置する

攻撃者は、盗んだカード番号が現在も有効かどうかを確かめるために、まず1円〜数百円程度の少額決済を試すことがあります。少額だからといって放置すると、その後に数十万円単位の高額な不正決済が行われるケースが多いため、1件でも身に覚えのない通知があれば直ちに確認・一時停止を行ってください。

4-2. ❌ 1枚のメインカードをあらゆる海外サイトや小規模サイトに登録する

公共料金や家賃、通信費などを引き落としているメインカードを、初めて利用する海外通販サイトや単発のサービスにそのまま登録すると、カード停止・再発行になった際の変更手続きに多大な労力がかかります。「固定費引き落とし用のメインカード」と「ネット通販・普段使い用のサブカード（またはバーチャルカード）」を分けて運用することをおすすめします。

5. 不正利用の通知が届いた場合の緊急対応フロー

もし「利用した覚えのない決済通知が届いた」「明細に見知らぬ請求がある」と判明した場合、以下の手順で対処してください。

ステップ1: 決済が自分の家族や定期更新でないか即座に確認する

カード会社の案内でも、まずは以下のケースに該当しないか確認することが推奨されています。

過去に契約した年払いサブスクリプション（Amazonプライム、セキュリティソフト、クラウドサービス等）の自動更新日ではないか
運営会社の社名（決済代行会社名や親会社名）で請求されており、店舗名と異なって見えているだけではないか
家族カードや、家族と共有しているアカウントでの購入ではないか

ステップ2: カードの「一時停止・利用停止」とカード会社への連絡

不正利用の疑いがある場合は、アプリの一時停止機能がある場合は即座にロックをかけた上で、カード会社の「紛失・盗難・不正利用受付窓口」またはアプリの専用申告フォームから連絡します。

不正利用が確認された場合、そのカード番号は無効化され、新しいカード番号での再発行手続きとなります。

ステップ3: 警察へ相談・届出を行う

カード会社の補償手続きにおいて、警察への被害届・相談の提出（受理番号等の控え）が求められる場合があります。カード会社の案内に従い、最寄りの警察署へ相談・届出を行ってください。

ステップ4: 定期支払いのカード情報を更新する

再発行によってカード番号が変わった場合、公共料金や携帯電話、サブスクリプションの引き落とし先として登録していたカード情報を新しい番号へ更新してください（一部の継続決済ではカード会社間で新番号が自動引き継ぎされる場合もあります）。

カード情報以外の個人情報（パスワードや住所等）も同時に漏洩している疑いがある場合の対応は、個人情報が流出したら？確認方法と今すぐやるべき対策｜パスワード・パスキー・カードを参照してください。

6. よくある質問（FAQ）

Q1. ネット通販で一度も使っていないカードなのに不正利用されるのはなぜですか？

主に「クレジットマスター（クレマス）攻撃」が原因として挙げられます。カード番号の先頭6桁（BIN / IIN：発行会社を示す番号）をもとに、残りの桁と有効期限の組み合わせをプログラムで大量に自動生成し、セキュリティの甘いECサイトで決済が通る番号を割り出す手口です。カードをタンスにしまって一度も使っていなくても被害に遭う可能性があるため、使わないカードの利用制限設定や明細・通知の確認が不可欠です。