図書カードNEXTのセキュリティは大丈夫？？？

図書カードが2016年6月から磁気式の図書カードが廃止され、QRコード方式の図書カードNEXTになっていました。

残高がサーバーで管理されることから、ネットで利用者が残高や利用履歴がわかるというメリットが生まれています。また、ネットギフトに対応しており、メールアドレスだけで図書カードNEXTを送ることができるようになります。

ただし、有効期限が発行から10年になり、カードを見ただけでは未使用かどうか判断できない、紙カードになり洗濯や汗、雨などに弱くなったなどのデメリットがあります。これらの理由から、金券ショップでの取り扱いを行わないところが多く存在するというデメリットもあります。

図書カードNEXTのシステム

凸版印刷株式会社と富士通エフ・アイ・ピー株式会社が共同で提供・運営する「サーバ管理型プリペイドASP サービス」で構築されています。

カード裏面に印字されたQR コードを書店設置の専用端末で読み取り、リアルタイムで残高の減算が行われます。また、QR コードには複製を防止する特殊加工が施されています。

専用カードの場合はこの複製防止特殊加工でセキュリティが担保されるのかもしれませんが、図書カードNEXTにはネットギフトも存在します。ネットギフトの場合、各自で印刷する紙もしくはスマートフォン画面になるのですが、この場合特殊加工は難しいと思います。

不正利用が気になっているケース

きっと次に記載するようなケースは何か対策が施されているはずですので、どのようにしてセキュリティが担保されているのか今後調べていきたいと思います。

1. 悪意ある書店員が図書カードNEXTを受け取る
2. 図書カードNEXTの決済時にスマホ等でQRコードの盗み読み
3. 図書カードNEXTを客に返却
4. しばらく時間を空ける。
5. 悪意ある書店員が図書カードNEXTネットギフトの紙に盗み読みしたQRコードを張り付ける。
6. 悪意ある書店員が図書カードNEXTネットギフトの紙を使って買い物を行う。

3の時点で悪意ある書店員は、図書カードNEXTの残高やこれまでの利用履歴がわかります。そこで、高額の残高があるカードで、3の時点より前に利用実績があり、利用間隔の空いている図書カードNEXTはは不正利用のターゲットになりやすいと思います。
（図書カードNEXT販売時は、QRコードが読み取れないように加工されています。）

4のように不正利用のタイミングをずらされたりすると、利用者も注意が及ばない可能性があります。どのタイミングで情報が抜き取られたのか判断するのが難しくなります。

クレジットカードもスキミング被害が多発したりして、接触型IC搭載などを進めてきました。クレジットカードのスキミングは専用の機械が必要ですが、QRコードの読み取りであれば、専用の機材は不要でスマホでもできてしまいます。

Amazonのギフト券も図書カードNEXTと同様にメールでギフト券が送れます。しかし、Amazonのギフト券の場合、ギフト券を受け取ったタイミングでウォレットに登録してしまえば、他のユーザーからの使用はできなくなります。図書カードNEXTは悪意ある人にQRコードをコピーされてしまうと、いつ不正使用されるかわからない状態がずっと続きます。

参考

図書カードが新しく「図書カードNEXT」へ : 富士通エフ・アイ・ピー http://www.fujitsu.com/jp/group/fip/resources/news/press-releases/2016/0530.html

図書カードネットギフト ご利用方法 | 図書カードNEXT http://www.toshocard.com/netgift/userguide.html