クレジットカード不正利用の新しい手口「2段階方式」とは｜情報漏えいから二次被害までの仕組みと今すぐやること

情報漏えいのニュースが続くと「カード番号は漏れていないから大丈夫」と思いがちですが、実はそれだけでは済みません。テレビ朝日系(ANN)は2026年10月15日、氏名・電話番号・メールアドレスといった情報の漏えいだけでも、少額決済から始まる「2段階方式」という手口でクレジットカードの不正利用につながっていると報じました。仕組みを知り、利用明細を確認する習慣をつけることが対策の中心です。

何が起きたか（時系列）

テレビ朝日系(ANN)は2026年10月15日16時、「不正アクセスで情報漏洩 クレカ不正利用『二次被害』も 最新手口は“2段階方式”」として次の内容を報じました。

大阪のIT関連会社「アルカディア」は、自治体・官公庁と2,000件以上の契約を持ち、防犯情報の配信などを提供しています。この会社で10月11日、自社システムへの不正アクセスの疑いが確認されました。ANNの報道によると、全国111の自治体などでメールアドレス・電話番号が漏えいした可能性があるとされています。確定した総人数は、2026年10月16日時点の報道では明記されていません。

神奈川県横須賀市では、情報が漏れた可能性のある住民に向けて、カード会社を名乗り「利用内容の確認」を求める不審なメールが届いたとANNは報じています。これは、漏えいした連絡先情報が、なりすましメールの送り先として使われたとみられる動きです。

ANNが伝えた被害事例は次の2つです。

• 東京都内の20代男性：カーシェア会社など3社から情報漏えいの連絡を受けた2日後、利用している動画配信サービスのポイントが不正に使われていたことが発覚。大阪にいる何者かが、本人の契約でアウトロー系の映画を視聴していた。サービス側は「当社以外のどこかで流出したIDとパスワード」が使われた可能性が高いと説明
• 兵庫県の40代男性：カード会社からの通知で確認したところ、Amazonで4回に分けて計72,000円分の身に覚えのない買い物があった。普段使っていないカードで、最後に使ったのは6月だったという。カード会社に申請し、引き落とし前に取り消された。カードは一時停止後、再発行した

出典：テレビ朝日系(ANN)・Yahoo!ニュース「不正アクセスで情報漏洩 クレカ不正利用『二次被害』も 最新手口は"2段階方式"」2026年10月15日16:00配信（確認日：2026年10月16日）

この「情報漏えい→不審な連絡や不正ログイン→不正利用」という流れは、ANNの報道だけでなく、FNNプライムオンライン（フジテレビ系「ノンストップ!」2026年10月13日19:52配信）も同様の構造を伝えています。FNNの記事では、2026年9月以降だけで、可能性を含めて1億500万件以上の情報が漏えいしたと報じられており、元警察庁サイバー捜査課長の棚瀬誠氏は「もう我々の情報が漏れるという前提に立った方がいい」とコメントしています。2社の報道で、情報漏えいの規模の大きさと、その先の不正利用リスクという大きな構造は一致しています。

「2段階方式」の仕組み

ANNの報道で、日本プルーフポイントの増田幸美氏が解説した手口は次の2段階です。

第1段階は、犯罪者がカード情報を使い、数百円から数千円程度の少額決済を行う段階です。オンラインゲームへの課金や、国際ボランティア団体への寄付など、利用者が気づきにくい支払い先が選ばれるとされています。目的は、カード所有者が不正利用に気づくタイプかどうかを確かめることです。

第2段階は、気づかれていないと判断された場合に進みます。同じカードで高額な商品を購入する、あるいは「不正利用しやすい」と判定したカード番号をまとめて第三者に転売する、という2つの進み方があるとANNは報じています。

ANNの報道によると、クレジットカードの不正利用による被害額は3年連続で500億円を超えており、10年前と比べて約3.6倍に増えています。ここ3年で急増しているのが「1万円未満」の少額決済で、2025年は不正利用全体の約29.8%、3割近くを占めるとされています。この数字は、まさに「2段階方式」の第1段階にあたる少額決済が増えていることを示しています。

なお、漏えいした個人情報がどのように取引されているかについては、PRESIDENT Online（山野祐介氏、2026年10月15日8:00配信）が、ダークウェブの出品例として、日本発行のクレジットカード10件セットが約23,700円（1件あたり約2,370円）で取引されていたと報じています。ただしこの記事内でも、出品されている情報の真贋(しんがん)自体は確認できないと指摘されており、売買の実態そのものが詐欺である可能性も残ります。この数字は「〜と報じられている」段階の情報として、確定した事実とは区別して受け取ってください。

対象になる人・ならない人

カード番号そのものが漏れていなくても、氏名・電話番号・メールアドレスが漏れただけで、「2段階方式」の入り口になり得ます。2026年に報じられた主な漏えい事案のうち、カード情報に関わる項目が対象だったものと、そうでないものを整理しました。

事案	発表時期	対象項目	クレジットカード情報
タイムズカー（パーク24）	2026年9月25日発表	氏名・住所・生年月日・電話番号・メール、運転免許証画像など本人確認書類（最大約160万件）	含まれない
JR東日本・ビューカード（大人の休日倶楽部）	2026年10月9日発表	メールアドレス・会員番号・カードの有効期限・生年月日（約39万件）	カードの有効期限は対象（カード番号は対象外）
JR東日本（えきねっと・VIEW’s NET）	2026年10月9日発表	メールアドレスのみ	含まれない
ブックオフグループHD	2026年10月発表	氏名・生年月日・性別・メール・電話番号・住所・パスワードのハッシュ値・会員番号など（最大約643万件）	含まれない
アルカディア（全国111自治体への防犯情報配信）	2026年10月11日に不正アクセス確認	メールアドレス・電話番号（確定件数は未公表）	含まれない

出典：各社公式発表、テレビ朝日系(ANN)の報道（確認日：2026年10月16日）。タイムズカー・JR東日本/ビューカードの詳細は下記の関連記事を参照

このうちカード情報が直接含まれるのはJR東日本/ビューカード（大人の休日倶楽部会員のカード有効期限）だけですが、ANNの報道が示すとおり、メールアドレスや電話番号だけの漏えいでも、なりすましメールを送る手がかりになり、そこから不正利用につながるケースがあります。「カード番号が漏れていないから対象外」とは言い切れません。

自分が対象か確かめる方法

次の3つを順番に確かめてください。

1. 利用しているサービスから、漏えいの通知が届いていないか確認する。登録しているメールアドレス（迷惑メールフォルダも含む）と、サービスの公式サイトの「お知らせ」「重要なお知らせ」のページを見る
2. 通知が来ていなくても、利用している企業名を思い出す。アルカディアのように、自治体・官公庁経由で防犯情報の配信を受けている人は、契約の相手(自治体)が気づいていない可能性もあります。お住まいの自治体の公式サイトで「個人情報漏えい」に関する発表がないかを確認する
3. クレジットカードの利用明細を、直近3か月分までさかのぼって確認する。数百円の見覚えのない支払いがあれば、それが「2段階方式」の第1段階である可能性があります

今すぐやること

1. クレジットカードの利用通知を設定する。多くのカード会社は、スマホアプリやメールで決済のたびに通知する機能を無料で提供しています。少額の決済にもすぐ気づけるようにしておきます
2. 身に覚えのない支払いがあれば、少額でもすぐカード会社に連絡する。ANNの報道で増田氏は「少額でもすぐにカード会社に連絡をすべき」とコメントしています。不正利用から60日以内に申告すれば、多くのカード会社で原則全額補償を受けられるとされています（補償の具体的な条件は各カード会社の規約によるため、自分のカードの規約・公式サイトで確認してください)
3. カード会社を名乗るメール・SMSのリンクは踏まない。「利用内容の確認」を求める連絡が来たら、メール内のリンクではなく、公式アプリやブックマークしている公式サイトから自分でログインして確認します
4. パスワードの使い回しをやめる。FNNプライムオンラインの記事でも、複数のサービスで同じパスワードを使わないことが対策として挙げられています
5. 可能なサービスで多要素認証(2段階認証)を設定する。パスワードだけでなく、もう1つの確認手段を加えることで、不正ログインのリスクを下げられます

お金への影響

ANNの報道にある兵庫県の40代男性の事例では、Amazonでの不正利用4回分、合計72,000円が発覚しましたが、引き落とし前に取り消されました。これは「気づいて、すぐにカード会社に連絡した」ことで実害が出なかったケースです。

一方、気づくのが遅れた場合、報道で紹介された補償の目安は「不正利用から60日以内の申告」です。この期間を過ぎてから気づいた場合、補償の対象外になる可能性があります。カード会社ごとに規約の詳細は異なるため、実際の補償範囲・申告期限は、自分が使っているカードの公式サイトやカード裏面に記載された連絡先で確認してください。

代わりの選択肢・比べるときのポイント

情報漏えい・不正利用が気になる場合に、あわせて確認しておきたいポイントです。

• すでに不正利用に気づいている人は、クレジットカードの不正利用に気づいたら｜最初にやることの順番と補償の条件で、カード会社への連絡から補償の条件までの手順を確認できます
• 自分のカードや口座が実際にどの事案の対象になっているかを一覧で確かめたい人は、情報漏えいが相次ぐ2026年秋｜会社ごとの一覧とクレジットカード情報の有無で確認できます
• 情報漏えいで金銭の補償を受けられるかどうかが気になる人は、個人情報漏えいが起きたら、お金はもらえる？で過去の判例と各社の対応を整理しています
• タイムズカーの漏えいについて詳しく知りたい人は、タイムズカー情報漏えい、クレジットカード情報は流出した？を参照してください
• JR東日本・ビューカードの漏えいについて詳しく知りたい人は、JR東日本・ビューカード不正アクセス、クレジットカードの有効期限も対象を参照してください
• どのカードを使うか見直したい人は、カードを探すから年会費・還元率などの条件で比較できます

よくある質問

まとめ・出典

情報漏えいは「カード番号が漏れていなければ大丈夫」というものではありません。氏名・電話番号・メールアドレスだけでも、なりすましの連絡や不正ログインを経て、少額決済から始まる「2段階方式」でクレジットカードの不正利用につながる場合があります。利用通知の設定、明細のこまめな確認、そして身に覚えのない支払いへの早めの連絡が、被害を防ぐ・小さく抑えるための具体的な手段です。

出典：
テレビ朝日系(ANN)・Yahoo!ニュース「不正アクセスで情報漏洩 クレカ不正利用『二次被害』も 最新手口は"2段階方式"」2026年10月15日16:00配信（確認日：2026年10月16日）
FNNプライムオンライン「情報漏えい被害1億件超か…なぜ日本で相次ぐ?対策は?専門家『個人情報は"流出を前提"に』」2026年10月13日19:52配信（Yahoo!ニュース配信記事は削除済み。確認日：2026年11月2日）
PRESIDENT Online「免許証画像は1枚20円、クレカ情報は1件2370円…個人情報が流出→二次被害を招く"危険なSNS投稿"とは」2026年10月15日8:00配信（確認日：2026年10月16日）
日本クレジット協会「守ろうクレカ 防ごう不正利用」（確認日：2026年10月16日）