競合他社を潰したいなら？ 盗難クレジットカードを使った決済詐欺攻撃
(oppositeinvictus.com)- 競合企業の決済プロセッサに盗難クレジットカードで決済を繰り返させる手口の詐欺攻撃が、実際に小規模SaaS事業者で発生している
- PayPalとは10年、Stripeとは7年間の取引関係を維持し、合計50万ドル以上の売上を記録していたにもかかわらず、事前連絡なしにアカウントが制限された
- 大手決済プラットフォームは数十億ドルの収益を上げている一方で、実質的なカスタマーサポート要員を備えていない
- 一人SaaS開発者として、このような環境で事業の安定性を確保することがますます難しくなっている
- Hacker NewsやRedditでも決済プラットフォームへの不満が頻繁に提起されており、小規模事業者のプラットフォーム依存リスクが浮き彫りになった事例
盗難クレジットカードを使った競合他社への攻撃手法
- 競合企業の決済プロセッサに盗難クレジットカードを使い、スキャマーに費用を支払って反復決済を発生させる手口
- これにより対象事業者の決済アカウントに**不正取引（fraud）**の記録が蓄積され、アカウントが制限される結果を招く
実際の被害状況
- PayPalとは10年、Stripeとは7年間維持してきた取引関係があり、両プラットフォーム合算の総売上は50万ドル以上
- それにもかかわらず、プラットフォーム側は事前連絡なしにアカウントを制限した
- 現在もこの攻撃は進行中で、事業運営に深刻な打撃を受けている
大手決済プラットフォームにおけるカスタマーサポートの不在
- 数十億ドルの収益を上げる大企業であるにもかかわらず、実質的なサポート要員がいない
- Hacker NewsやRedditでは、こうしたプラットフォームへの不満が頻繁に提起されている
一人SaaS事業者の不安定さ
- ソロSaaSビルダーとして事業の安定性（job security）を維持することがますます難しくなっている
- プラットフォーム側の一方的な判断によって、長期の取引関係が一瞬で断たれ得る構造的脆弱性が存在する
1件のコメント
Hacker Newsのコメント
こうしたプラットフォームを避ける手段がないことに、いつも不安を感じる。今営業しているベーカリーがGoogle Mapsで突然停止されてしまい、人々がうちを見つける主な経路なので大きな打撃だ。
7日前に突然「ビジネス ガイドラインに従っていないためアカウントが停止された」と通知されたが、最近変更したのは営業時間だけだった。2年間問題なく掲載されていたのに、何が問題なのかは教えられず、修正してから復旧を申請しろと言われるだけだった。
最大2週間かかるそうだが、すでに7日が過ぎており、却下されたら掲載を削除する以外に方法がない。そうなると、2年間かけて積み上げたレビューも消えてしまう。
停止の前日に韓国人観光客が来て、うちが偽の店舗だと主張していたと従業員から聞いた。英語があまり通じず、実在する場所だと納得してもらえなかったようだ。あるいは、そもそも別の場所を探していたのかもしれない。おそらく否定的なレビューを残し、場所を偽装だと報告した可能性が高い。
結局のところ、2年分、評価4.9と100件を超える好意的なレビューが、混乱した観光客1人のせいなのか、営業時間の修正のせいなのか、自動スパム検査のせいなのかも分からない理由で吹き飛んだわけだ。次のEU法案では個人情報よりもこうした問題を扱ってほしい。小規模事業者にとってはそれほど大きな問題だ。
問題の「エキゾチックアニマル」はAphelandra Squarrosa、つまりシマウマ模様の葉を持つ植物だった。この制裁を取り消す方法も、人間に直接審査させる方法もなく、顧客基盤とのコミュニケーション能力に今も影響が出ている。
Googleのようなプラットフォームが立証もなく掲載を削除するのは違法であるべきで、立証できないのに削除したなら発生した被害を法的に補償させるべきだ。そうして初めて真剣に受け止めるだろう。
弁護士に相談してみるとよく、EUのほとんどの国にも似た制度がある可能性が高い。ただし、Google Europe本社のあるダブリン／アイルランドと、自国のGoogleオフィスの両方を相手取って申し立てる必要があるかもしれない。
似た名前のレストランが別の場所のURLを先に取ってしまうのも見た。Googleが事業者確認なしにこうした情報を掲載するのはおかしく、被害も大きく、詐欺師にとって都合のいい環境を作っているように思える。
長く慎重に書いたレビューで、良い点やおすすめまで含めていたのに丸ごと消えて、本当に腹が立った。さらに悪いことに、そのレストランはかなりひどいのに4.5点を維持しており、最近の低評価レビューはどれもその点数が人為的だと疑っている。
悪意ある競合相手のせいにもできるが、本当の問題はクレジットカードがインターネット上の見知らぬ相手に支払うための道具として向いていないことだと思う。
クレジットカードで取引するたびに、相手に自分の名前でどの加盟店でも好きなだけ高額取引を作れる情報を渡しているようなもので、理にかなっていない。
最近はWebサイトでApple Payの利用が増えているが、普段のApple Payのように動作するなら、暗号学的に安全で検証可能なワンタイムトークンの交換なので、技術的にはより安全だ。Appleにこれ以上力を与えるのは嫌だが。
PayPalも誰もが好きというわけではないが、少なくともクレジットカード番号そのものを渡すことはない。もっとも、PayPalも多数の加盟店を締め出しているように見える。
消費者の立場でもクレジットカードは良くない。同じ街の中を移動して、普段行かない加盟店で20ドルほど使っただけでカードが止められたこともあるし、すでに2か月連続で確認されていた5ドルのWebサービス月額課金でも止められたことがある。
加盟店はそのトークンで他のことはできない。加盟店のトークンデータベースが漏えいすれば面目はつぶれるだろうが被害は限定的で、PSPのカード番号データベースが侵害されればカード保有者には不便だが、PSPにとってはPCI DSS https://en.wikipedia.org/wiki/Payment_Card_Industry_Data_Sec... 準拠が破綻し、事業をたたまなければならないレベルの事件だ。
要するに、通常のカード決済もApple Payと同じくらい本質的には安全だ。違いは、一方では2014年から決済の副業をしている巨大テックブランドを信頼し、もう一方ではAdyen、Braintree、WePay、Worldlineのように、あまり知られていないかもしれないが、はるかに長く安全な決済処理を本業としてきた企業を信頼することだ。
だから「AI支援の不正検知」、さらに言えば「AI支援のセキュリティ」といった言葉を聞くたびにこのことを思い出す。他のクレジットカードがなければ、どの取引でもランダムに拒否されるのではないかとずっと不安に暮らしていたと思う。私の銀行は10年分の記録を持っているのに、支払い周期を知らないかのように振る舞っている。
きっと私の記録を一番高く売れる相手に売っているだけで、私を助けるためには使っていないのだろう。この点では、Gmailの正確な部分文字列検索でさえGoogleのWeb検索と同じくらいひどいのも似ている。私たちを索引化して高解像度の消費者モデルから「価値」を生み出すと言っていた企業が、あらゆる監視をしながら基本的なことすらできない。
プライバシーが壊れるのは現代性の一部だとして、もはやほぼ予想しているが、最近さらに驚くのは、その代償としてごくささやかな利便性すら得られないことだ。
取引の向きは逆であるべきだった。加盟店は支払いの詳細だけを渡す単純な側で、顧客のスマートフォンがそれを検証して支払いを開始すべきだった。これがいまだに標準ではないのは理にかなわないし、インターネット決済がずっと前に同じ転換をしなかったのはなおさら奇妙だ。
怪しい取引なら、当座預金にひも付いたものよりクレジットカードを使うほうがよいと思う。カード番号が結局盗まれれば面倒ではあるが、NFC決済などがこの問題を少しずつ解決している。
クレジットカードを誤解している人は多い。毎月全額返済すれば通常は特典も得られ、個人財務と不正利用の間に大きな防波堤ができる。もちろん、より安全なクレジットカードシステムが広く普及するのを待っている。
EUのように決済手数料に上限がある地域でも、クレジットカード手数料の上限はデビットカードやSEPAの手数料より高く、決済チェーンの誰もがクレジットカード利用を後押しする誘因を持っているのは明らかだ。発行銀行は金利でも大きく稼ぐため、クレジットカード利用を奨励する動機はさらに強い。
ここで実際にどんな活動があったのか情報がないので、サービス提供者の行動に焦点を当てる
有料サービス会社なのに、消費者サポートといえばソーシャルメディアで話題になるのを期待するだけ、という状況が急増している以上、「コンピュータがダメだと言ったのだから新しいアカウントを作って、二度と引っかからないことを祈れ」式の代案を法でどう強制できるのか考える必要がある。これは 消費者保護機関 が積極的に扱うべき領域に見える
オーストラリアの消費者保護機関はこうした問題でかなり積極的に権利を執行している。アメリカには似たような機関がないのか、それとも規制すべき企業に取り込まれているのか気になる
こういう会社は巨額の利益を上げていながら、普通の企業なら備えているべきサポートやコミュニケーション手続きを「規模が大きいから不可能だ」と言って無視する。消費者救済の観点からは、そんな返答は認められるべきではない
不幸なことに政府は、面倒な適正手続きなしに気に入らない相手の生計を破壊できる手段をかなり気に入っているようだ
既存の法概念を執行すればいいと言うこともできるが、メディアが政治家の関心を引くには、特定の現象を指す短く具体的な言葉が必要だ
swatting、phishing、slamming、gaslighting、boofing のように、誰もが知っていて記事にしやすく SEO にも向いた言葉があるように、この21世紀的な振る舞いを何と呼べば、ブログや記事を書き、政治家に行動を求められるのか気になる
さまざまな訴訟や規則が整理される20〜30年後には機能するかもしれないが、今はまだ幼年期で、みんなが赤ん坊を突き倒せるか試している段階のように見える
問題は大企業を相手に行動を起こすのが本当に難しいことだ。消費者として携帯電話の防水性能の虚偽広告のような問題で救済を求めるだけでも、法的費用が数十万ドルかかることがある
十分な資金がなければ個人が企業に責任を取らせるのはほぼ不可能で、これを執行すべき機関も法を執行していないか、執行できていない
絶え間ない不便や技術的ノイズが、生体 ID のようなものでより簡単かつ魅力的に解決できるなら、こうした問題を直すインセンティブがあるのか疑わしい
正直なところ、オーストラリア政府は企業を取り締まることはできても、結局は同じゲームをしており、長期的には誰の反対もそれほど気にしていない
非倫理的に振る舞うつもりなら、できることはたくさんある
直接個人を狙うのが効果的な場合もある。配偶者に不倫疑惑を示す匿名の手紙を送れば、役員の出張を妨げ、私生活に大きなストレスを与えられるし、かかるのは切手代だけだ。スウェーデンのように住所や同居情報が公開されている場所では特に簡単だ
また、会社や製品に関連する 人種差別的な工作物 を作り、ボットアカウントを何百も買って、会社や製品への言及に付きまとわせることもできる
競争が激しくない業界にいて有名人でもないのに、私もその両方をやられたことがある
こうした攻撃がもっと流行ってほしいと心から願う
そうすれば、私たちが「決済処理業者」と呼んでいる 金融寄生虫 に対して、規制当局が何かせざるを得なくなるからだ。公益事業のように振る舞わない決済処理システムは壊れており、修正されるべきだ
今、公益事業に近い形で動作するデジタル決済システムが暗号資産くらいしかないというのは実に皮肉だ
完全な解決策ではないが、顧客が暗号資産や銀行振込のような別の方法で支払えるようにすれば、多少は緩和できるかもしれない。ポルノ業界や他の合法的な事業が最終的にこうした状況に追い込まれれば、そうするだろう
顧客が製品を十分に欲しているなら、その一部はこうした支払い方法を学ぶだろうし、事業者はその一部だけで持ちこたえる術を学ばなければならないかもしれない
Algorand はそうした役割を担える位置にいたと感じていたが、成功するにはあらゆる構成要素がそろっている必要があった。0.001 ALGO の取引手数料は無意味な取引を減らしつつ、0.1 ALGO の取引を可能にし、ステーブルコインや中央銀行デジタル通貨の取引が活性化すればそれも支えられる
取引はミリ秒単位で完了でき、中規模の参加者でもネットワーク全体の維持に容易に貢献できる。しかし traction を得られなかった。おそらく良い HODL 対象ではなかったからだろう
人工知能は定着するまでほぼ70年かかったが、暗号資産は10年で複数の分野に入り込み、大きな問題を解く可能性を持つ初期技術だ
「間違っているか愚かな」人たちが詐欺師と一緒に真っ先に飛び込んだせいで、賢い人たちには汚染されたものに見えるようになった事例だと思う。それでも私たちは良いものと悪いものを見分けられるはずだ
この話題をここで慎重に議論する能力が繰り返し欠けているのを見ると驚かされる。本当に面白くなり得る会話が、部族主義のせいで何度も押しのけられている
フランスの中規模メディアエージェンシーで働いていたとき、Google AdWords アカウントで似たことがあり、Google の直接サポートを受けて 法務チームが約2週間でアカウント を取り戻した
だいたいは法律書簡を何通か送り、「当方の法的代理人は Google France のオフィスでこの不幸な問題について喜んで協議したいと考えている」といった形で伝えたところ、Google がそのままアカウントを復旧したようだった
弁護士費用は 2,500〜5,000 ユーロほどで安くはなかったが、失っていた金額よりははるかに少なかった。アメリカ拠点の事業者にはこうした選択肢がないのか気になる。元記事のような恐怖譚は何度も見たが、似た道を追求した例はほとんど見たことがない
「PayPalと10年、Stripeと7年の取引関係」のような数字を重要だと勘違いしてはいけない。1973年のように銀行員と握手していた時代ではない
重要な数字は、あなたの事業によって StripeやPayPalを通過するドル額 だけだ
被害に遭ったことがある。競合相手かもしれないし、盗んだかフォーラムで買った使い物にならないクレジットカード番号の山で何かを無料で手に入れられるか試そうとする詐欺師かもしれない
マーケティングがこうした組織のレーダーに引っかかると、彼らは互いにサービス情報を回し合う。加盟店は独自の 不正審査手法 を作るか、誰かに費用を払わなければならない
被害者を責めるつもりはないが、業界の構造上、不正を検知して対処する責任は加盟店に最も重くのしかかっている。客観的に見て、完全に悪い判断とも言い切れないかもしれない。加盟店には、誰がこうしたことをしているのかを検知して止めるための方法がいくつもある
最初のスタートアップでこの問題が起きたとき、月5,000件を月50件まで減らしたし、この種の犯罪を本当に憎んでいる。だがクレジットカードの仲介業者は、リスクを加盟店に外部化したうえで、加盟店向けの漸進的なツール改善にはあまり関心がない
不正なリクエストを受けたとき、その疑いを信頼度つきで報告したり、他の加盟店の疑わしい記録と照合したりする第三者がいないことにもどかしさを感じていた。数年後にそういうサービスを見た気がするが、今は見つけられない
今調べてみると、当時は誰も教えてくれず自分で見つけ出し、かなり効果があった加盟店向け不正防止のコツがよくまとまった一覧がある: https://support.authorize.net/knowledgebase/Knowledgearticle...
幸運を祈る。連中はしつこい。自分のケースでは大半が貧しい国から来ていて、彼らにとって1ドルの詐欺でも、私たちよりずっと多くの時間をかける価値がある。完全に止めるまで来続けるだろう
Shopifyサイトのかなりの部分では、新規注文に対する 自動クレジットカード処理 をオフにしていると聞いた。実際の人間が注文を確認した後で、Stripeのようなところに回すためだ
不正注文は配送先住所を見るだけでもだいたい簡単に見分けられるし、すぐに勘がつく。ヒヨコの雌雄鑑別ほど難しい仕事ではない
もしかすると、自分の事業を潰すいちばん良い方法はクレジットカード処理を自動化することだ、というのが辛辣な結論なのかもしれない
ただし、AVSで配送先住所とカードの請求先住所が一致しないという意味なら、もっと厄介だ。特にB2Bでは、事業主が自宅住所にひもづいたクレジットカードで支払い、事業所に配送してもらうことがよくある