まず、7年分の数字をそのまま並べます。

左の列と右の列の伸び方を比べてください。桁が違います。

攻撃の量が44倍になっているのに、実際に抜かれた金額は1.86倍。もし攻撃が増えた分だけ被害も増えていたなら、カードの被害額はいまごろ1兆2,000億円になっていた計算です。実際は510億円でした。

攻撃が増えたのに被害が増えないということは、攻撃1回あたりの成果が落ちているということです。それを乱暴に数字にしてみます。カード被害額を、その年のフィッシング報告件数で割ってみます。

49万円から2万円へ。およそ23分の1です。攻撃の手数がどれだけ増えても、1回あたりに換算した「実り」は落ち続けています。

もうひとつ、はっきり終わった手口があります。偽造カードです。

カードの磁気を読み取って複製する「スキミング」の時代は、ICチップ化でほぼ終わりました。いま被害の93.1%は番号盗用──カードそのものではなく、番号だけを盗んでネットで使う手口です。攻撃の主戦場が、店頭からネット通販へ完全に移ったことを、この内訳が示しています。

その結果、導入率がはっきり動きました。全国のEC事業者550社への調査結果です。

そして効果を裏づける数字が2つあります。ひとつは実際の不正注文の発生率です。不正検知サービスを導入している12万サイト以上のデータから集計されています。

もうひとつが欧州の先例です。日本より早く同様の本人認証を義務化した欧州では、移行期にあたる2020年から2021年にかけて、カード決済の不正利用発生率（金額ベース）が4〜6割減少したと欧州銀行監督局が報告しています。日本でも同じ仕組みが働いていると考えられる、というのがレポートの見立てです。

被害額が減ったからといって、攻撃者が諦めたわけではありません。同じレポートの中に、攻撃側の適応がはっきり記録されています。

ここまでカードの話をしてきましたが、銀行の口座はまるで違う経過をたどりました。

銀行の不正送金は、令和3年の8.2億円を底にして、令和7年には104.0億円まで12.7倍に膨らみました。しかも過去最悪の更新です。同じ7年間、同じフィッシングという入口から始まっているのに、カードは押し返し、銀行は押し込まれたことになります。

ここまで見てきたことを、もう一度まとめます。

セキュリティの記事は、たいてい「こんなに危ない」で終わります。この記事はそうなりませんでした。数字は、対策が効いたことをはっきり示していたからです。ルールを決め、期限を切り、全事業者に導入させる。地味で、面倒で、評判の悪いやり方が、7年かけて44倍の攻撃を押し返しました。

ただし、押し返した先で終わりではありません。攻撃は消えるのではなく、守りの薄いほうへ移動します。いまその移動先になっているのが、銀行口座と、通販サイトのアカウントです。