クレジットカード番号が流出したら？全桁と一部、セキュリティコード漏えいの対処法

クレジットカード番号の全桁が流出した、偽サイトに入力した、身に覚えのない利用がある。
この場合は、カードの発行会社へ速やかに連絡し、利用停止と番号を変更する再発行の手続きを進めます。
セキュリティコードが漏れていなくても、不正利用の心配がなくなるわけではありません。

一方、レシートに印字された末尾4桁など、伏字付きの一部の番号だけが漏れたケースは、全桁流出と区別して考えます。
漏れた桁の範囲と、有効期限、氏名、ログイン情報なども一緒に漏れていないかによって、確認すべきことが変わります。

最初に確認する3点

全桁が漏れたのか、伏字付きの一部だけなのか、まだ不明なのか。
セキュリティコードや暗証番号、会員サイトのパスワードも漏れていないか。
利用明細や通知に、身に覚えのない取引がないか。

連絡先は、普段使っている公式アプリ、カード裏面、発行会社の公式サイトから調べます。
流出を知らせるメールやSMSのリンクから、カード番号や認証コードを入力し直すのは避けましょう。

漏れた情報によって変わる対処

カード番号は、カードを識別する番号です。
セキュリティコードは、ネット決済などで使う確認用のコードで、店頭やATMで入力する暗証番号とは別のものです。

カード情報の流出範囲と最初の対応
漏れた情報	判断のポイント	最初にすること
カード番号の全桁	番号が第三者に知られた状態。コードが漏れていないことを理由に放置しない。	発行会社に連絡し、利用停止と番号変更を伴う再発行を進める。
全桁に加えて有効期限や氏名	決済に使われる情報が増えている。明細に被害が出るまで待たない。	漏れた項目を伝え、停止と再発行を進める。
全桁に加えてセキュリティコード	コードを使う決済でも悪用されるおそれがある。	速やかに停止手続き。不審な利用も確認し、該当分を届け出る。
末尾4桁など、伏字付きの一部だけ	全桁流出と同じ情報量ではない。ただし、他の情報の流出や偽の連絡に注意する。	公式発表で桁の範囲と同時に漏れた項目を確認。明細を見て、必要な対応を発行会社へ相談する。
ほぼ全桁、または流出範囲が不明	「一部」という言葉だけでは危険度を判断できない。	自分のカードが対象かを確認し、分かっている範囲で発行会社へ相談する。
暗証番号やログイン情報、認証コードも流出	カード以外に、会員サイトへのアクセスや本人認証も悪用されるおそれがある。	カードの対応に加え、漏れた認証情報や承認した取引を発行会社へ伝える。パスワード変更などの案内に従う。

この表は、手元で分かっている情報から対応を選ぶ目安です。
発行会社から個別に停止や差し替えの案内が来ている場合は、公式アプリや公式窓口で本物の案内かを確かめ、その手続きに従います。

全桁が漏れたらセキュリティコードの有無で安心しない

ネット決済の認証方法は、取引や加盟店によって異なります。
JCBも、セキュリティコードはネットショッピングで必要になる場合があると案内しています。
コードが毎回必須とは限らないため、「番号だけなら使われない」とは判断できません。

三井住友カードは、偽サイトにカード番号を入力した場合、速やかな利用停止を案内しています。
全桁の流出が分かったときは、漏えい元の調査結果や不正利用の発生を待つより、発行会社へ連絡する方が被害を防ぐ対応につながります。

一部の番号しか見えないことと一部しか漏れていないことは違う

レシートや画面で番号の中央が伏字になっていれば、その表示から見えるのは一部だけです。
ただし、画面に伏字で表示するマスキングと、保存する番号の一部を削る処理は別のものです。
画面で隠れていても、サービス側には全桁が保存されていることがあります。

事業者の事故なら、「画面では末尾4桁しか見えないから大丈夫」と考えず、公式の流出項目を読みます。
「カード情報の一部」とだけ書かれている場合も、全利用者の一部なのか、番号の一部なのか、有効期限など一部の項目なのかを確認しましょう。

先頭の6〜8桁には、発行元などを識別するBIN（IIN）が含まれます。
この部分と末尾だけが漏れたケースでは、全桁流出と区別しつつ、氏名や連絡先と組み合わせた偽の連絡にも注意します。
何桁隠れていれば絶対に安全、という共通の線引きはできません。

番号の構造や桁数は、次の記事で説明しています。
末尾のチェックディジットは入力ミスなどを検出する仕組みで、本人認証用の秘密の番号ではありません。

クレジットカード番号の桁数や法則とは？最初の6〜8桁（BIN）の意味やチェックディジットの仕組みを解説クレジットカード番号は、発行会社を識別する先頭部分、会員口座を識別する部分、入力ミスを検知する末尾の数字で構成されています。先頭...

対応を決める分かれ道

全桁が流出
または不正利用がある

公式窓口へ速やかに連絡。
停止と番号変更を進める。

伏字付きの一部だけと確認

他の流出項目と明細を確認。
個別の案内に従い、必要なら相談。

範囲が不明、隠れている桁がわずか、認証情報も漏れた場合は、発行会社に状況を伝えて判断を相談します。

カード番号が流出したときの連絡と停止手順

発行会社へ伝える情報を手元でまとめる

連絡先は、VisaやMastercardなどのブランド名だけで選ばず、カードを発行した会社で確認します。
発行会社によって停止方法や補償の窓口が異なるためです。

連絡前に手元へ用意するもの

流出を知った日時と、利用したショップやサービスの名前。
事業者の公式発表、偽サイトへ入力した日時、漏れたと分かっている項目。
不審な明細がある場合は、その利用日、金額、表示された店舗名。
すでに行った停止、パスワード変更などの内容。

全部を調べ終えるまで連絡を待つ必要はありません。
分かる範囲を伝え、追加資料や本人確認は公式窓口の案内に従います。

問い合わせ履歴、受付番号、案内された手続きも保存すると、後の確認がしやすくなります。
カード写真やアプリ画面をSNSへ載せた場合は公開を止め、必要な記録は手元に保管します。
削除しても、すでに第三者がコピーした情報までは回収できません。

アプリの一時ロックで終わらせない

アプリに利用制限の機能があれば、発行会社に連絡するまでの対策として使えます。
ただし、制限できる取引の範囲はサービスごとに異なります。

たとえば三井住友カードの「あんしん利用制限サービス」では、公共料金などの継続課金やETCなど、制限の対象外となる取引があります。
紛失や盗難に伴う長期の利用停止の手続きとしては使えないとも案内されています。

情報が流出したカードは、一時ロックしたままにせず、無効化と番号変更が必要かを確認します。
磁気不良などの再発行は番号が変わらないこともあるため、「情報流出による番号変更を伴う再発行」として相談するのが確実です。

パスワードや認証コードまで渡した場合

カード番号を変えても、会員サイトのパスワードが漏れたままなら、そのアカウントにアクセスされるおそれが残ります。
公式アプリや公式サイトからパスワードを変更し、同じパスワードを使う他のサービスも変更します。
メールのアカウントも漏れた場合は、パスワードの再設定先として悪用されないよう保護が必要です。

ワンタイムパスワードを偽サイトに入力したり、身に覚えのない決済をアプリで承認したりした場合は、その日時と内容も発行会社へ伝えます。
本人認証が使われた取引では、補償の判断に影響することがあります。

全桁流出後の手順

① 公式窓口へ連絡
停止と番号変更を進める

② 不審な利用を
発行会社へ申告
調査資料を保存

③ 新しいカードへ切り替え
継続払いの登録を確認

停止後も明細を確認し、追加で見つかった不審な利用は発行会社へ届け出ます。

不正利用の補償で確認する期限と条件

不正利用には補償制度がありますが、発行会社の調査や会員規約に基づく条件があります。
「カード情報が漏れたら、すべて自動的に返金される」という仕組みではありません。

カード番号の不正利用に関する公式案内の例（2026年10月15日時点）
案内の対象	期限の考え方	注意点
三井住友カードの会員保障制度	不正利用の申告日から遡って60日前までの利用を、特別なケースを除いて補償。	補償には該当カードの停止が必要。家族などの利用や、故意や過失で知られた暗証番号を使う取引などは対象外。
JCBの案内で対象とされる、354または355で始まるカード	該当明細の通知後60日以内の届け出が必要。分割払いなどは初めて記載された明細の通知が基準。	第三者の不正利用と認められた場合に規約に基づき請求取消。認証情報が使われた場合などの対象外条件がある。