シンガポールのクレジットカード・デビットカード保有者、ChatGPTおよびAppleからの不正請求を報告

Tl;DR 要約

• シンガポールのクレジットカードおよびデビットカード保有者が、これらのサービスに登録していないにもかかわらず、ChatGPTおよびAppleからの不正請求を報告している。
• Palo Alto Networksは、ChatGPTをテーマとした攻撃やフィッシング試みの急増を観察しており、詐欺活動の増加を浮き彫りにしている。
• カード保有者は、取引アラートを設定し、明細を監視し、不正取引を発見した場合は速やかに銀行に報告することで自身を守るべきである。

最近の数ヶ月間、シンガポールおよび海外の多数のクレジットカードおよびデビットカード保有者が、OpenAIのChatGPTやAppleなどの正規企業による不正請求の被害に遭っている。これらの無防備な個人は、OpenAIの有料版に登録したこともなく、ChatGPTに関連する取引を承認したこともない。私たちはこれらの事件の詳細、ChatGPTをテーマとした攻撃の急増、潜在的なリスク、そしてカード保有者が自身を守るために取ることができる措置について詳しく見ていく。

不正請求となりすまし試行

OpenAIの人工知能プログラム発売以来、ChatGPTのサブスクリプションに関連する不正取引の複数の報告が表面化している。顧客は、無料のChatGPTアカウントに登録しただけにもかかわらず、登録していないサービスに対して請求されていると苦情を訴えている。サイバーセキュリティ企業Palo Alto Networksもまた、公式OpenAIサイトを装う悪意のあるURLやフィッシング試行を含む、ChatGPTをテーマとした攻撃の大幅な増加を観察している。

詐欺師は、正規企業になりすましてクレジットカードおよびデビットカードの詳細情報にアクセスしようと、さまざまな戦術を用いることが多い。多くのユーザーに気づかれずに見過ごされるこれらの小額の不正取引は、サイバー犯罪者がより大規模な詐欺取引を実行する前にカード情報を検証または特定するための手段となり得る。シンガポールサイバーセキュリティ庁（CSA）はChatGPTのサブスクリプションに関連する詐欺取引の報告を受けていないが、そのような事件に関連する潜在的なリスクは大きい。

サイバー犯罪者が悪用する脆弱性

セキュリティ専門家らは、銀行識別番号（BIN）攻撃が、詐欺師がクレジットカードの詳細情報を取得するために使用する可能性のある方法として特定している。クレジットカードの先頭6桁を用いて、犯罪者は専門ソフトウェアを使用して、カード検証値（CVV）や有効期限を含む残りの数字を生成できる。これらの完全に生成されたカード番号は、その真正性を検証するために実際の取引に対してテストされる。

多くの場合、オンラインの商人は、物理的なカードを伴わない取引において、ユーザーに複数の認証要素を提供することを要求しない。ユーザーの利便性を高めるために意図されたこの厳格なセキュリティ対策の欠如は、サイバー犯罪者が脆弱性を悪用する余地を残している。報酬マシンは、成功した取引が行われるまで、カード番号の多数の組み合わせを生成し、各取引ごとに個別の承認を行う必要を回避する。

BIN攻撃に加え、サイバー犯罪者はデータ漏洩や、保護されていないウェブサイトから顧客データが盗まれた場合にもカード詳細情報を取得できる。カード詳細情報が取得されると、それらは詐欺取引の実行に使用される。公衆は、不審な活動や詐欺行為に遭遇した場合、直ちに金融機関および警察に通知するよう強く推奨される。

不正請求からの保護

金融機関は、顧客を不正請求から保護する上で重要な役割を果たしている。商人がワンタイムパスワードなどの二段階認証を実装していない場合、顧客は通常、そのような取引に対して責任を負わない。しかし、3D Secure（3DS）認証を有効化する責任は商人にあり、これは支払いを完了する前に顧客が電話に送信されたパスワードまたはコードを入力する必要がある追加のステップである。

顧客の予防策と監視

詐欺的な請求から身を守るために、顧客は積極的な措置を講じるべきである。アイデンティティ窃盗防止サービスを使用してアカウントを監視し、アイデンティティ窃盗が発生した場合の補償オプションを提供する。銀行アプリを通じて、0.01ドルのような最小限の金額でも取引アラートを設定する。最後に、カードの明細を定期的に監視し、不正取引を発見した場合は速やかに銀行に報告する。