EC事業者を狙うポイント不正・クーポン不正の手口と事業者が受けるリスクを解説。制度設計の見直しからシステムによる不正検知まで、具体的な対策を紹介します。
ポイント不正・クーポン不正とは
ポイント不正・クーポン不正とは、EC事業者が実施しているポイント施策やクーポン施策の仕組みを悪用し、本来受け取れないはずの経済的利益を不正に得る行為です。本記事では、利用規約、キャンペーン規約、クーポンの利用条件に反して特典を取得・利用する行為を「ポイント不正・クーポン不正」と呼びます。個別の行為が法令違反に当たるかどうかは、具体的な事実関係や規約内容によって異なります。
個人による小規模な不正に加え、複数アカウントの作成や自動化ツールの利用によって、短期間に多数の特典を取得しようとする手口も想定する必要があります。特典を転売ヤーの仕入れや不正注文と組み合わせるケースもあり、単なる「ポイントのかすめ取り」にとどまらず、キャンペーン施策全体の収益性や公平性を損なうおそれがあります。
ポイント不正の特徴
ECで特に注意したいポイント不正には、主に「不正取得」と「不正利用」があります。前者は注文キャンセルや商品返品を悪用してポイントだけを得る手口、後者はアカウント乗っ取りによって他人が貯めたポイントを使い切る手口です。それぞれ発生するタイミングや対策の方向性が異なるため、区別して理解しておく必要があります。
クーポン不正の特徴
クーポン不正は、主に複数アカウントを使った多重取得を中心に発生します。「初回限定」「1人1回まで」といった、新規顧客向けの施策が主な標的になりやすく、ポイント不正と同じ「複数アカウントの作成」という手口で発生するケースが多く見られます。
EC事業者が受けるリスク
ポイント不正・クーポン不正を放置すると、EC事業者は次のようなリスクを抱えることになります。
金銭損失とマーケティング原資の枯渇
クーポン1件あたりの損失額は小さく見えても、自動化ツールを用いて多数のアカウントで繰り返された場合、累積損失が大きくなる可能性があります。特に、ポイントを利用可能にするタイミングが早いサイトほど、キャンセル・返品による不正取得の標的になりやすい傾向があります。結果として、本来であれば優良顧客に還元されるはずだったマーケティング予算が不正者に奪われ、施策の投資対効果（ROI）が悪化するおそれがあります。
運営コストと業務負荷の増大
キャンペーンの種類や実施頻度が増えるほど、不正判定ロジックの改修や、疑わしい注文を確認するオペレーターの工数も比例して増加します。人的な目視審査には限界があり、キャンペーンの規模が大きくなるほど、審査体制のひずみが不正の温床になりやすくなります。加えて、不正取得された分のポイント・クーポンを事後的に取り消す対応や、クレームを含む顧客対応の負荷も見過ごせないコストです。
ポイント不正の主な手口
ポイント不正には、次のような手口があります。
キャンセルを利用した不正取得
ポイントを利用可能にするタイミングが、決済確認や出荷・受取に先行している場合、注文をキャンセルし、商品を受け取らないままポイントだけを得ようとする手口が発生し得ます。たとえば、支払い確認前にポイントを利用可能にする設計では、未払い注文の取り消しと組み合わせて悪用されるおそれがあります。この手口は自社のポイント付与条件に依存するため、すべてのECで同じように発生するとは限りません。
アカウント乗っ取りによる不正利用
フィッシング詐欺やパスワードリスト攻撃で入手したIDを使い、他人が貯めたポイントを使い切る手口です。被害が発覚する前にポイントが利用されるおそれがあるため、ログイン後のポイント利用や登録情報変更などの重要操作を監視することが重要です。高額商品や換金性の高い商品（デジタルギフト券など）への引き換えが典型的なパターンです。
複数アカウントを使った不正取得
架空の名義や複数のメールアドレス・電話番号を使って別人を装い、初回限定特典などを繰り返し取得する手口です。家族による正規の複数利用との判別が難しく、正確な不正判定が難しい点が対策上の課題になります。自動化ツールを用いて多数のアカウントを作成・利用された場合、少額の特典でも累積損失が大きくなる可能性があります。
クーポン不正の主な手口
クーポン不正には、次のような手口があります。
別アカウントによる多重登録
メールアドレスや電話番号を複数用意し、別人を装って新規登録を繰り返す手口です。フリーメールを使えばメールアドレスの取得はほぼ無制限に行えるほか、SMS認証を導入していても、複数の電話番号やSMS認証代行サービスを利用される可能性があります。警察も、SMS認証代行を使ってアカウント作成時の匿名性を高める動きに注意を呼びかけています。
架空申込と本人確認の抜け穴
実在しない住所や氏名、あるいは無関係な他人の個人情報を偽装して複数のアカウントを作成する手口です。登録時に本人確認の仕組みがなければ、システム上はこうした架空アカウントを防ぐことができません。特に「初回限定」「新規登録者向け」といった、新規顧客の獲得を目的とした施策ほど、こうした架空申込の標的になりやすい傾向があります。
SNS流出クーポンの転用
会員限定・配布対象限定のクーポンコードがSNSや掲示板で共有され、想定していない利用者に使用されるケースです。共通コード（例：「WELCOME10」など）を配布するだけでは、コードの転載や共有を技術的に防ぎにくいため、対象会員IDへの紐付け、利用回数・利用期間・対象商品の制限などを組み合わせる必要があります。なお、この場合の「不正利用」は、利用者側の問題というより、事業者側の配布・利用制御の設計が不十分であることに起因する部分もあります。
EC事業者が取るべき不正対策
ポイント不正・クーポン不正への対策は、制度設計の見直しと、システムによる検知の両面から取り組む必要があります。
ポイント付与タイミングとルールの見直し（制度設計）
ポイントを利用可能にするタイミングを、少なくとも決済確認後・出荷後など、未払い注文や即時キャンセルのリスクが低下する段階まで遅らせることで、不正取得の機会を減らせます。返品・キャンセルが可能な期間は、付与済みポイントを一時的に保留する、未使用分を取り消せる設計にするなど、事業モデルに応じたルールも必要です。加えて、初回購入特典や高還元ポイントには一定期間の利用制限を設ける、換金性の高い商品への交換に上限を設定する、キャンセル・返品・チャージバック確定時の失効・返還ルールを規約と画面に明示するといった対応も有効です。クーポンについても、共通コードでの一斉配布をやめ、会員ごとに異なるユニークコードを発行する運用への切り替えが、転用リスクの抑制につながります。
認証の強化（入口対策）
会員登録時にSMS認証やメール認証を導入すると、メールアドレスだけでの機械的な登録を難しくできます。ただし、電話番号認証だけでは「1人1アカウント」を保証できないため、デバイス情報や登録・購入行動、配送先、決済情報、利用頻度などを組み合わせ、リスクに応じて追加認証や利用制限を行う設計が重要です。ログイン時の多要素認証（MFA）は、ID・パスワードが漏えいした場合でも不正ログインのリスクを下げる対策として有効ですが、SMSを使う方式にはSIMスワップなどのリスクもあるため、管理者アカウントや高リスク操作には認証アプリやパスキーなども検討します。
リスクに応じた利用制限設計（システム設定）
クーポンコードを特定の会員IDに紐づけ、発行対象者以外が入力してもエラーになる仕様は有効です。一方、同一デバイスや同一IPアドレスからの複数利用については、家庭内の複数利用や、企業・学校・モバイル回線などでの共有IPを不当にブロックしてしまう可能性があるため、一律に拒否するのではなく、リスク評価の材料の一つとしてスコアリングや追加確認に用いる設計がより適切です。
不正検知サービスの導入（動的対策）
端末・ネットワーク・登録情報・注文内容・利用履歴・操作パターンなどを分析し、複数アカウントによる特典取得や不審なポイント利用を検知する方法があります。検知結果に応じて、追加認証、クーポンの利用保留、注文保留、目視審査、アカウント制限などの対応を設計します。導入時は、会員登録・ログイン・クーポン適用・注文・ポイント利用のどの段階で判定できるか、既存のECカートやCRM・決済基盤と連携できるか、誤検知時の解除フローを用意できるかを確認することが重要です。なお、端末識別子やデバイス情報は、個人情報そのものでない場合でも「個人関連情報」に該当し得るため、利用目的やプライバシーポリシー、委託先とのデータ取扱いを確認しておく必要があります。
これらの対策は、制度設計の見直しを土台にしながら、認証強化と不正検知サービスを組み合わせる多層防御にすることで、キャンペーンの規模が大きくなっても運用負荷を抑えたまま不正リスクを抑制できます。
まとめ
ポイント不正・クーポン不正は、少額の特典であっても、複数アカウントや自動化を用いて繰り返されると、EC事業者に累積的な損失と運用負荷をもたらします。対策では、ポイントを利用可能にする時期、キャンセル・返品時の取り消し、クーポンの対象会員・利用回数・有効期限を適切に設計することが基本です。そのうえで、認証強化と、端末・行動・注文情報を活用したリスク検知を組み合わせ、正規顧客の利便性との両立を図ることが重要です。