Visa Directサンドボックスを装った詐欺

「Visa Direct Developer」サンドボックス詐欺の手口

この詐欺の全体は、根本的に異なる二つのもの、すなわち「Visa Direct Developer」のサンドボックス環境と、実際のVisa Directの本番決済ネットワークとを、意図的かつ欺瞞的に混同させることを前提としております。

詐欺師は「Visa Direct Developer」という用語(これは、Visaがソフトウェア開発者向けに提供している、無料で利用できる模擬テスト環境を指すにすぎません)を、実際のVisa Directのレールと同一であるかのように悪用します。実際のVisa Directのレールとは、銀行や決済機関がVisaNetシステムを通じて実際の資金を移動させるために用いる、免許を受け規制の下にあるインフラです。

実際には、Visa Direct Developer ポータルは VisaNet と技術面、財務面、運用面のいずれにおいても全く関係がありません。実際の資金にアクセスすることも、本物の取引を開始することも、実在の決済カードや銀行システムと連携することもできません。環境全体がサンドボックス、すなわちソフトウェア・シミュレーターであり、コードのテストのみを目的としております。この環境内で「送金」された取引はすべて、ソフトウェアの統合作業を支援する目的のみで、あらかじめ作成された架空の固定応答を JSON 形式で返します。

実際の資金が移動することはなく、取引が実在するカードや口座に到達することもありません。また、サンドボックス上に表示される識別子は、実在するVisaのいかなるシステムにも存在いたしません。

したがって、Visa Direct Developerを使用して既に「資金を送金した」と主張する者が、特に開発者ポータルの画面や「transactionIdentifier」などのフィールドを含むJSON出力を提示している場合、その者は明らかに虚偽の情報を提示しているものです。これは、実際には支払いが一切行われておらず、また行い得ないにもかかわらず、正規の資金移動を装うために仕組まれた詐欺的な手口です。サンドボックスが金融システムと接続されていないことは、電卓アプリがお客様の銀行口座と接続されていないのと変わりません。

以下では、詐欺師がこの誤解をどのように悪用するのかを、事案解明の観点から順を追って解説いたします。

真正性の確認方法(技術的チェックリスト)

1. 送金人側のアクワイアラーに対し、実際のオリジナル・クレジット・トランザクション(OCT)の記録を請求してください。そのような記録は存在しません。
2. 発行銀行に対し、稼働中のVisaネットワーク上に一致するVisa取引識別子が存在するかをご確認ください。サンドボックスの識別子は、本番ネットワーク上には存在しません。
3. acquiringBinフィールドのBINをご確認ください。408999、000000、または公開BINデータベースに該当しない値は、テストデータであることを示します。
4. 発行銀行、または送金人のアクワイアラーに対し、transactionIdentifierが稼働中のネットワーク上に存在するかどうかの確認をご依頼ください。

経営層向け一行要約

取引相手が「Visa Direct Developerを通じて送金した」と主張し、サンドボックスのスクリーンショットでこれを裏付けようとする場合は、前払手数料詐欺の決定的な証拠として扱ってください。サンドボックスはデモ用環境であって決済ネットワークではなく、資金が着金することはありません。