こんにちは。風読珈琲店のカエデです。
「バーチャルカードならネットで使っても安全」と思っていませんか？ たしかにバーチャルカードは、プラスチックのカードがない分、盗み見やスキミングには強い仕組みです。ただ、最近の詐欺はカードそのものではなく「番号」と「認証コード」を狙うものが中心で、ここはバーチャルカードでも普通のカードと同じように狙われます。
この記事では、バーチャルカードにまつわる代表的な詐欺の手口と、20代の学生・社会人がすぐにできる注意点を、日本クレジット協会や報道で確認できたデータをもとに整理しました。
バーチャルカードとは？「安全そう」に見える理由
バーチャルカードは、券面（プラスチックのカード）を発行せず、カード番号・有効期限・セキュリティコードだけをアプリやWeb上で発行して使うカードです。大きく分けると次の2タイプがあります。
- クレジットカード型：カード会社が本カードとは別番号のネット専用番号を発行するもの。利用分は本カードと合わせて請求される
- プリペイド型：Vプリカ、バンドルカード、Kyashなど、先にチャージした金額の範囲で使えるもの。コンビニで「コード」を買って発行するタイプもある
「安全そう」と言われるのは、物理カードがないので落とす・盗まれる・スキミングされる心配がないこと、そしてプリペイド型なら被害額がチャージ残高までに限られることが理由です。番号をアプリから再発行できるサービスも多く、「怪しいと思ったらすぐ番号を変えられる」のも強みです。
ただし裏を返せば、バーチャルカードは「番号がすべて」のカードです。番号・有効期限・セキュリティコードを知られた時点で、ネット上では本人と区別がつきません。
不正利用の9割超は「番号盗用」という現実
日本クレジット協会の集計（報道ベース）によると、2025年1〜12月のクレジットカード不正利用被害額は510.5億円。前年より8%減ったものの、依然として高い水準です。
- 番号盗用被害：475.4億円（前年比7.4%減）
- 偽造カード被害：7.2億円（前年比22.0%増）
- その他の不正利用：27.9億円（前年比21.6%減）
注目したいのは、被害額の9割超が「番号盗用」だという点です。カード現物を偽造されるより、フィッシングや通販サイトからの情報流出で番号を抜かれ、ネットで使われる被害が圧倒的に多いのです。
つまり「物理カードがないから安全」というバーチャルカードの強みは、被害の大部分を占める手口に対しては効きません。番号の扱い方こそが防御の中心になります。情報流出の最新動向は下記記事も併せてご確認ください。
バーチャルカードで気をつけたい詐欺の手口4つ
1. カード会社をかたるフィッシング
もっとも多いのが、カード会社や決済アプリを装った「利用確認のお願い」「お支払い方法に問題があります」といったメール・SMSです。リンク先の偽サイトでカード番号・有効期限・セキュリティコードを入力させます。最近は正規メールをそっくりコピーしたものや、生成AIで自然な日本語にした文面も増えていて、見た目で見抜くのはかなり難しくなっています。
さらに厄介なのが、偽サイトに入力させたワンタイムパスワードを、犯人がその場で本物のサイトに転送する手口です。本人認証（3Dセキュア）を設定していても、コードを自分で渡してしまえば突破されます。
2. 盗んだ番号をスマホ決済に登録される
バーチャルカードの番号も、Apple PayやGoogle Payに登録すれば実店舗でタッチ決済に使えます。2024年にはイオンカードで、フィッシングなどで入手したカード情報を犯行グループがApple Payに登録し、換金性の高い商品を買う被害が相次いだと報じられました。登録時にはカード会社から認証コードが届きますが、そのコードを聞き出されたり、別の宛先に送らせたりして突破されたケースがあります。
「ネット専用のつもりだった番号が、知らないうちに他人のスマホでお店の買い物に使われていた」ということが起こりうるわけです。「ウォレット登録のための認証コード」がSMSで届いたら、自分で操作していない限り絶対に誰にも伝えないことが大切です。
3. プリペイド型の「コードを買わせる」詐欺
プリペイド型ならではの手口が、「料金が未納です」「税金を滞納しています」などと不安をあおり、コンビニでVプリカなどを購入させて、その発行コードを偽サイトに入力させるものです。官公庁や電力会社をかたる詐欺サイトが急増した時期もありました。
役所・電力会社・通販サイトなどが、支払い手段としてプリペイドカードのコードを要求することは基本的にありません。「コンビニでプリペイドを買って番号を教えて」と言われた時点で詐欺と考えてください。コードを渡したお金は、取り戻すのが非常に難しくなります。
4. 少額決済で「生きている番号か」を試される
2026年に公表されたEC事業者向けのレポートでは、1万円以下の不正注文の割合が2023年の19.3%から2025年には29.8%に増えたとされています。盗んだ番号が使えるかどうかを、数百円〜数千円の少額決済で試すためだと見られています。明細に見覚えのない少額の請求があったら、「このくらいならいいか」で済ませず、本格的な不正利用の前触れと考えて対応しましょう。
今日からできる6つの注意点
- メール・SMSのリンクからカード情報を入力しない：確認はブックマークや公式アプリから自分で開く
- 認証コード・ワンタイムパスワードを人に伝えない：カード会社やApple・Googleの社員が電話やメールでコードを聞くことはない
- 利用通知をオンにする：アプリのプッシュ通知で、決済のたびにすぐ気づける状態にしておく
- 用途ごとに番号を分ける：初めて使う通販サイトやサブスクの無料体験は、残高を抑えたプリペイド型やネット専用番号で払う
- 利用限度額・チャージ額を小さくする：アプリで限度額を設定できるなら、必要最低限にしておく
- 怪しいと思ったら番号を再発行する：バーチャルカードの最大の強み。アプリから即座に番号を変更・停止できるか事前に確認しておく
私自身、普段の買い物ではカードの利用通知を必ずオンにしていて、見覚えのない通知が来たらすぐアプリで確認するようにしています。地味ですが、「すぐ気づける状態にしておくこと」が被害を最小限にする一番の近道です。パスキーなど、パスワードに頼らない認証の話は下記記事も参考にしてください。
もし被害に遭ったら？すぐやること
- カード（番号）を止める：アプリで利用停止・番号再発行をし、カード会社・発行元のサポートに連絡する
- 明細のスクリーンショットを残す：不正利用の日時・金額・加盟店名を記録しておく
- パスワードを変える：カード会社や決済アプリのログインパスワードを変更し、同じパスワードを使い回しているサービスも変更する
- 警察に相談する：警察相談専用電話「#9110」や最寄りの警察署へ。補償の手続きで被害届の受理番号を求められることもある
クレジットカード型なら、多くのカード会社に不正利用の補償制度があります。ただし「届け出から60日前まで」など期限が決まっていることが多く、また自分で暗証番号や認証コードを教えてしまった場合は補償の対象外になることもあります。プリペイド型は補償の範囲がサービスによって異なるため、使っているサービスの規約を一度確認しておくと安心です。
警視庁もクレジットカードの不正利用対策をまとめているので、あわせて確認しておくと安心です。
まとめ
- バーチャルカードは物理カードの盗難・スキミングに強いが、番号と認証コードを盗まれれば普通のカードと同じく悪用される
- 2025年の不正利用被害510.5億円のうち、9割超が番号盗用
- 手口はフィッシング、スマホ決済への不正登録、プリペイドのコードを買わせる詐欺、少額の「お試し決済」が代表的
- リンクから入力しない・コードを渡さない・通知をオンにする・怪しければ番号を再発行する、の4つが基本
バーチャルカードは、正しく使えばネット決済のリスクをぐっと下げてくれる便利な道具です。「安全なカードだから大丈夫」ではなく、「番号を守るための道具」として上手に使っていきましょう。
