楽天カードを不正利用された際の対処法 【重要】楽天カードから緊急のご連絡が届いたら

去る、5月31日（日）に何者かによって楽天カードを不正利用されてしまいました。

幸いにして実質的な被害は発生しませんでしたが、同様の被害の抑制に繋がればと思い、一連の状況を備忘録としてメモしておきます。

事件の内容と手口

今回の件のあらましを簡単にまとめておきます。

まず、原因は不明ですが、私が利用している「楽天市場」のアカウント情報（ログイン時のIDとパスワード）が何者かに漏れてしまいました。

そこで犯人は、私の名前で勝手にショッピングサイト「楽天市場」にログインし登録していたクレジットカードを利用して、不正に買い物をしました。

以後の説明で「楽天市場」「楽天カード」という名前が頻出しますが、両者は同じ楽天グループではありますが 基本的にベツモノなので そのへん混同しないように読み進んでください。ご存知とは思いますが「楽天市場」はショッピングサイト。「楽天カード」はクレジットカード会社になります。

詳細な内容に関しては この後で詳しく説明しますが、はじめに 私が行った一連の流れをまとめておきます。

今回の事件の一連の流れ

6月1日（日）朝。メールを確認していると、前日夜に楽天からメールが2通届いているのに気づきました。

1通は「楽天市場」からのメールで「[楽●天]会員情報変更のお知らせ」（図1）。　

もう1通は、クレジットカード会社である楽天カードから「【重要】楽天カードから緊急のご連絡」というもの（図2）。

事件の発覚

とりあえず、緊急性の高そうな楽天カードのメールを読んでみると、以下のような文面が･･･

本メールは、現在お客様がお持ちのクレジットカードのご利用内容について、第三者により不正利用された可能性が高いと、弊社の不正利用検知システムにより判断いたしましたので、緊急でお送りさせていただいております。
カードのご利用内容について、至急確認したいことがございますので、下記連絡先までお電話でご連絡をいただきますようお願いいたします。
なお、ご契約のカードは、第三者による不正利用の可能性が高いため、カードのご利用を一旦停止する対応をとらせていただいております。

楽天カード株式会社 セキュリティセンター
電話番号 092-303-5631

正直、この時点ではまだ「あ～ また新手のフィッシング（詐欺）メールかな～」くらいにしか考えていませんでした。

以前も紹介したように、最近は金融機関などを装う巧妙なメールが多く、「まあ このメール自体が嘘（詐欺）メールだろうな」と思っていたわけです。

通知メール自体の真偽を確かめてみた

とはいえ、一応、まずは以下の2点を確認してみました。

まず、1に関しては、以下のように同様のメールを受け取った方のブログが多数ヒット（事例1／事例2／事例3）！

いずれも 私同様、楽天カードを不正利用されて被害にあわれているらしく、メールの差出人も楽天カード正規のものと考えて良さそうです。

とはいえ、犯人が用意周到で事前に大量の嘘ブログを作成していた可能性がないとはいえないため、この時点ではまだ半信半疑でした（引用させていただいた皆さんすみません！）

続いて、連絡先として、メールに記載されていた電話番号（092-303-5631）を検索してみましたが、こちらもやはり「楽天カード正規」の電話番号と考えて大丈夫なようです。

楽天カードに電話してみた

とりあえず、届いた通知メールは信頼してよさそうだったので、メール記載の電話番号（092-303-5631）に電話してみました。

楽天カード側から電話がかかってくる場合もあるようなのですが、急いだほうがよいかと思い、コチラから電話。

氏名・生年月日などの情報を照会して本人確認後、「コチラからかけなおします」とのことで、一度電話を切ります（※電話代がかかるので…といっていましたが本人確認の意味もあるのだと思う）。

指示に従い、一度電話を切ると10分ほどで、家電話に「楽天カード」から着信。

今度は、年配（と思う）男性が電話で対応してくれました。

「昨晩、不正と思われる購入があったので、念のため確認のメールをしました」とのこと。

楽天「昨晩23時くらいに、デジタルカメラ、11万円のものと、15万9千円のもの購入されましたか？」

その買い物には まったく身に覚えが無いことを伝えると、男性から以下のような説明を受けました。

また、「楽天市場」のアカウントも不正にのっとられていることを伝えると、「楽天市場」ヘルプへの連絡先電話番号も教えてくれました。

とりあえず、わたしに実被害はなさそうなので一安心。

新規カードの発行に関して念のため、ということで、現住所などを確認して電話は終了しました。

※追記1：私には「カード会社がキャンセルするからね」と聞こえましたが、後述するように、結論から言うとカード会社が注文をキャンセルしてくれたりはしませんでした。記憶が曖昧ですが「カード決済を行わないのでキャンセル同様になるよ」という意味だったかもしれません。

楽天市場サポートに連絡する

そもそも、今回の不正利用の原因は「楽天市場（ショッピング）」のログイン情報がなんらかの形で漏れ出してしまい、犯人に侵入されてしまったのが原因でした。

それが判明したのは、冒頭で書いたように「[楽●天]会員情報変更のお知らせ」のメール。

私のアカウントで「楽天市場」に侵入した犯人は、IDおよびメールアドレスを自分のものに変更。

楽天市場では、メールアドレスを変更する際には、変更通知が古いアドレスにも同時に送信される仕組になっているため、旧アドレスにあたるわたくしの本来のメールにも変更通知が届いたわけです。

電話連絡は休日は無理!

先述のようにカード自体は既に停止しているので、カードの悪用はできなくなっていますが、アカウントをのっとられている以上、モロモロの個人情報が犯人側に筒抜け状態。

そこで、現状を伝えるべく「楽天市場」にコンタクトをとることにしました。

ところがココで少し問題が･･･

楽天カードの方に「楽天市場」サポートの電話番号をきいた際に、説明を受けていはいたのですが、なんとこのサポート休日は「電話がつながらない」のです。

こうしている間にも、私の個人情報が犯人にばれ放題･･･途方にくれて、ネットを見ていると楽天市場のIDが不正ログインされた方の事例を発見。

記事内で紹介されていたのを真似て、ヘルプの投稿フォームから、現状を伝えるメールを送ってみました。

私が送ったのは以下のような文面です。

犯人のIDでログインしてみる

で、サポートに、メールを送ってはみたものの「返事はスグにはこないよな～」ということも簡単に予想できまして（ちなみに、サポートから返信がきたのは5時間後）。

なんとか、ならないもんかと悶々としておりました。

と、ここで「犯人の変更したIDでログインできないかな？」と思い至りました。

先述の「[楽●天]会員情報変更のお知らせ」のメールで、犯人が変更したIDは分かっていますので、問題はパスワード。

「もしかして、パスワードはそのままかも･･･」との淡い期待を抱いて、自分のパスワードを打ち込んでみると･･･

なんと、無事にログインできました!!

さっそく、すぐさまIDとパスワード、登録アドレスを変更しにかかります。

犯人がどの程度まで、私の個人情報を入手しているのか不明ですので（というか全て筒抜けだと思ったほうがよいでしょうね）、とにかく類推されないような新しいID・パスワードに変更しました。

ちなみに、この変更は、当然犯人側にも通知されるわけで（旧アドレスにも変更が通知されるので）、もしかすると、犯人があえてパスワードまで変更しないのは、この通知を受け取ることで引き際のタイミングにしているのかも･･･。

サポートにメールした時点の状態を変更することは少し抵抗がありましたが（状況説明が煩雑になりそう）、背に腹は変えられぬということで、勝手に（というのもおかしいが）変更に踏み切りました。後でサポートからメールが届いた際に「○時に会員情報が変更され、■時に商品を購入、さらに△時に再度会員情報が変更されていますが、心当たりありますか？」という確認がありました。そこで「○時の会員情報の変更と、■時の商品購入は犯人。△時の会員情報変更は自分」という風に返信しました。それで問題ありませんでした。

ひとまず、IDとパスワード、メールアドレスを変更して一安心です。

あらためて「購入履歴」を確認すると、高額なデジタル一眼カメラを2台も購入していました･･･

事後の確認と対応

さて、新規にパスワードなどを変更し終えたわたくし。

一息ついて休んでいると「楽天市場」サポートからようやく返信メールが届きました。

内容を要約すると「連絡先教えるから、注文された商品は自分で各店舗にキャンセルの連絡をしてくれ」とのこと。

今回、犯人が私名義で不正注文をしたのは以下の2つのお店。私がキャンセルの連絡を入れて初めて事態が発覚したようです。

1. A社：既に商品発送済み。私の電話で事情を知り 急遽配送屋さんにストップの号令をかけてくれることに。心配しましたが、後ほど、無事にストップできましたと電話をいただき ホッと一安心。
2. B社：こちらでは決済時点でエラーが出たため商品の出荷を見合わせてたようです。私が電話した際には、決済エラーが出たことを伝える確認メールを犯人におくって返答待ち･･･という状態でした。こちらも事情を説明して、ストップしてもらいました。

商品を発送済みだったA社さんには申し訳ありませんでしたが、それでも、いずれも大事には至らずに済みホッとしました。

注文のキャンセルは自分で行う!

要するに「カード会社がわたしに替わって注文をキャンセルしてくれることはない」ということですね。

まあ冷静に考えると当たり前といえば当たり前なんですが、カード会社が出来ることって「決済を止める」ことだけなんですよね。

カード会社の人が言っていたのは「決済は既に拒否してるからキャンセルしてるのと同じようなこと」「仮にキャンセルが間に合わなくても発生した代金は請求しないから安心してね」「だからあなた（＝わたし）はなにもしなくてよい、なにも被害は無いよ」ということですね。

たしかにカード会社の理屈としてはそれでいいんだけれども、ただし、実際に注文を受けてしまったお店にしてみれば、後で返金保障されるにしてもそれなりの手間はかかっているわけで「早く言ってよ（怒）！」ということでもあるでしょうから、確認の意味でも注文のキャンセルは自分で行ったほうが良いようです。

そのほかのアカウント情報も確認する

その後、楽天以外のカード、サイト会員登録情報などをチェックして、被害がないかチェック。

また、IDやパスワードなどは、類推されやすそうなものは全て変更をかけました。

結局、あたふたと丸1日つぶすことになりましたが、実被害がでなかったことが不幸中の幸いです。