[上大崎権之助]

土曜日の昼下がり、出先でふとスマホを見ると、アマゾンペイの利用がありましたメールが何通も来ている。最近はこの手のメールはたくさん来るので気にしていないが、アマゾンペイはあまり見たことがないなあ、と思いつつ、放っておいた。

翌日曜日、アマゾンに結び付けている(後述するが、「アマゾンペイに結び付けている」のではない)楽天カードの速報版が届き、アマゾンペイの利用がずらっと並んでいる。楽天カードの「速報版」は速報しているかどうかはともかく(!)経験的にほぼ確定版に一致するので、これはやられたか、と思って、アマゾンのアカウントを確認した。

アマゾンペイによって、日本最大手の外資系おもちゃ会社T社の通販を17件利用して、うち14件が支払い完了になっている。ちなみに日本最大手の日系スポーツシューズ会社も一件試みているが、アマゾンペイが拒否している。要は18件の不正利用があり、うち14件が「通って」いる。やられたか・・・まずはアマゾンのアカウントのPWを変更して、やってなかった二段階認証(金融関係はやれるところはすべて二段階認証にしているが、お金の異動に直接関係しないサイトはあまりしていない)にしたうえで、アマゾンのお勧めに従い、T社のインフォメーションセンターに取引番号一件を伝えて、「以下、計14件すべて不正なので取り消してほしい」とメールしたみた。

日曜日の夕方、という最悪の時間帯(?)なのにT社の対応は早くて、その日の夜遅く、14件すべて取り消した旨、取引番号の明細を添えてメールの返信が来た。ヤマト運輸で発送直前だったものも止めた、とのことで、先方にもとりあえず物的被害はなかった模様。T社の通販は今まで利用したことがないし、これからも利用することはないだろうが、この対応はすごいので、安心できる通販会社(?)として、お勧めしたいものである。

翌月曜日、アマゾン側に対応すべくメールやチャットを試みたがうまくいかず、電話したらあっさりつながった。不正利用対応としてはこちらは何をすべきか、と聞くと、楽天カードと相談してほしい、という。ここで私が主張したのは、
1.そもそもアマゾンに登録しているクレカはアマゾンで買い物するために登録しているのであり、それ以外で買うことを許可した覚えはない。
2.アマゾンペイで買っている、となっている以上、それに何が結びついていようが(クレジットカード、QRコード決済、キャリア決済等)まずはアマゾンペイ側が対応すべきではないのか。
先方はオペレーターから、責任者に代わったが、その返事は
3.「アマゾンペイでの購入」は「アマゾンドットシーオージェーピーで登録クレカで購入」と同じことなので、楽天カードが不正利用されたとの同じことになる。
4.現時点で、「アマゾンペイで他のサイトで購入できないようにする。」という制限はかけられない。アマゾンペイが使える他社サイトでは引き続き、アカウント保有者の了解なく購入可能であるが、制限できるようにすべきというご意見は承っておく。
とのこと。これ以上議論しても仕方ないので、楽天カードに連絡をすることにした。

これが一番の難関だ・・・と思ったら、案外、簡単に電話がつながった。事情を説明すると、カード再発行になった。アマゾンペイとして利用されているならば、カード番号等は不正利用者に知られているわけではないのでは(今回の原因は「アマゾンのアカウントに不正ログインされたこと」でそれはみんな一致(!)している)と聞いてみたら、「正確な不正利用の方法(?)」が分からない以上、カード番号が流出していると考えざるを得ない、とのことで、再発行決定。

こういうのがあるので、通販サイトには極力カード登録も避けているのだけど、アマゾンはプライムやミュージックのサブスクがあるので、登録せざるを得ない。また不正ログインした方法ももちろん不明である。・・・・対応が難しい、とちょこっと悩んでいる。

書込番号：25901154

[mini*2]

＞上大崎権之助さん

いやはや、恐ろしいですね。
Amazonには余計なクレカを登録するのは危険だと再認識しました。
私が今、登録してあるのはエポスのプリペイドカードだけです。

書込番号：25901285

[とーりすがりさん]

＞上大崎権之助さん
＞mini*2さん

不正利用の被害は本当にお気の毒です。

ん〜、しかし、Amazonに何か非がありますかね？
いや、当然当事者としては頭にくるのは分かるんですけど、
Amazonは二段階認証の仕組みもちゃんと提供しているわけで、
それを使わずに不正利用された時にAmazonを責めるのは
ちょっと筋が違うのでは？と思ったりもしました。

正規の利用者のログインと正しいIDとPWを使った不正ログインは
Amazonには判別しようがありません。その状態でAmazonに
どんな対策が取れますかね？

というか、未だに二段階認証の仕組みすら提供しない楽天は・・・。

書込番号：25901549

[上大崎権之助]

＞mini*2さん
おっしゃる通り、「上限の決まった決済方法」を登録するしかないのか、と思います。

＞とーりすがりさんさん
要は4で記載している通り、「アマゾンペイは本人が許可しない限り使えない。」とすればいい、ということです。
https://www.aboutamazon.jp/news/guide/easy-and-convenient-online-shopping-with-amazon-pay

私も今回初めて知ったのですが、アマゾンのアカウント保有者は「自動的に」アマゾンペイが利用できる他社サイトで決済ができる仕組みになっている、ということです。これがアマゾンドットシーオージェーピーだけの話であれば、例えば買った品物の送り先は一時的にでも不正ログインした先で登録しなければいけないですし、アマゾンで買ったものは瞬時に(?)連絡が届きますし、まだ、仕方ないな(?)感がありますが、決済だけ使われると購入者、送付先、全て匿名で物事が進められます。今後、アマゾンペイが使えるECサイトが増えれば増えるほど、「まず、アマゾンのアカウントを乗っ取ろう。」という「悪い人」が増えるのでは・・・

極めつけは「アマゾンペイの初めてのご利用ありがとうございました。」というお礼メールが本物からやってきました。・・・

書込番号：25901620

[とーりすがりさん]

＞上大崎権之助さん
＞要は4で記載している通り、「アマゾンペイは本人が許可しない限り使えない。」とすればいい、ということです。

Amazonのアカウントを乗っ取られればその「本人」に成りすまして「許可」できてしまうのでは？
結局、Amazonのアカウントを乗っ取られた時点で終わりでしょう。

なので、Amazonのアカウントを乗っ取られないように二段階認証を設定すれば
根本的な対策になると思いますし、Amazonはその手段を既に用意しています。
それを使うかどうかは利用者の判断ですね。

書込番号：25901624

[上大崎権之助]

＞とーりすがりさんさん

今回は情報提供がメインなので、あまり詳しく書いてないのですが、アマゾンとの責任者とのやりとりをもう少し書くと、おっしゃる通りで不正ログインされると、今の仕組みだとそのまま「許可」されるので、特定の「決済方法=資金移動」が使えるようにするには、少なくとも、ログイン後にもう一度「二段階認証」して、その決済方法(アマゾンペイ)に関する本人確認をしてから「許可」をするのが筋じゃないの、という話までしました。(二回目以降二段階認証するかどうかはまた別問題ですが、普通のクレカで決済する場合、毎回二段階認証を求めるところもあるので、それは個々人の判断になるでしょうが・・・)

いずれにしろ今の段階では、アマゾンに不正ログインされないようにしなければなりません。ドットコムとシーオーユーケー(UK)は実際に不正に入ろうとされたので(妙なところでログインに失敗すると、これも連絡が来ます。)PWは変えましたし、こちらはクレカの登録はないので、まあ不正利用はないかなという感じです。

楽天カードはVISAやマスターカードの決済は二段階認証が導入されていると思いますが、提供してないというのは「市場」のことでしょうか。

書込番号：25901693

[とーりすがりさん]

＞上大崎権之助さん

Amazonのアカウントを乗っ取られた時点で個人情報はダダ漏れになってますからね。
Amazon Payに関する「許可」にだけ二段階認証をかけるっていうのは意味は無くは
ないでしょうけど、だったらログイン時に二段階認証を掛けた方が効果は高いと思いますよ。

楽天市場に限らず、楽天IDを使ったログインには今のところログイン通知はあっても
二段階認証は無いんじゃないかと思います。「楽天認証アプリ」って奴があって一部の
サイトでは導入されてたりもしたんですけど、これはもう止めるって通知が来ていたような。

楽天ID全体として別の二段階認証が導入されるって話なら嬉しいんですけど。

書込番号：25902300

[上大崎権之助]

とりあえず今月末のの楽天カード引き落としに影響しないように返金作業が終わった・・・一時期8万近い金額が上がっていました。・・・ということで終了しました。アマゾン側も14件分さっさと解約、返金作業をしてくれたので案外慣れているというか・・・。結果として、楽天カードが更新されたのと、アマゾンに入るときは二段階認証にした、・・・くらいが変更点です。特に後者は今まで購買サイトで二段階認証でログインすることはしていなかったので、ひと手間増えることになったのが面倒です。購入したものも、結果的に送付先を登録せずに(もしくは本人に知られずに)第三者に送れる、というサイトはあまりないと思いますが、それは注意が必要ですね。・・・

私は知らなかったのですが、楽天カードは今は利用すると即時にスマホに通知が来るのですね。新カードが来た時にどこかで設定を変えたようなのですが・・・今までメールで来ていた利用「速報版」と「確報版」はいまいちだったので(とは言っても、今回は気づくきっかけの一つは「速報版」ですが)ちょっとは楽天カードも考えているのか、と思いました。

書込番号：25936432

[mini*2]

＞上大崎権之助さん
＞楽天カードが更新された

カード番号は変わりましたよね？
携帯代や公共料金の引き落としに使っていると、変更が面倒ですね。
（楽天カードは公共料金のポイント還元率が0.2％と低いので、使っていないと思いますが）

書込番号：25936458