第３３回
クレジットカード番号の不思議
マイナンバーも？
現在でも個人情報の漏えいは様々なサイバー犯罪だけでなく、振り込め詐欺を含む様々な詐欺の温床、そして犯罪に巻き込まれなくとも、必要のないメールやSNSでの勧誘、それに身に覚えのない誹謗中傷と言った迷惑行為の原因となっています。
個人情報とは、文字どおり氏名、住所、電話番号、メールアドレス、それにSNS（ソーシャルネットワークサービス）のアカウント等です。さらに最も重要な個人情報はパスワードです。以前からパスワードが洩れる可能性がどのような細心の注意を払ったとしても漏れることがあり得ることから、銀行やモール等、資産やその利用に関するサイトでは、2要素認証やワンタイムパスワードの利用が進められています。もう一つ重要な個人情報はクレジットカードの番号です。メールアドレスやパスワードの漏えい以上にクレジットカード番号の漏えいが問題視される理由は、その利用が直接的に商品の購入や決済に結びつくからです。ネット決済では多くがカード番号と有効期限、それに3桁の数字（セキュリティコード）を入力するだけで成立します。カード番号の漏えいは不正利用に結びつき、損失を被る可能性があるのです。それほど秘匿性のクレジットカード番号ですが、どのような仕組みで作られているのでしょうか。ある人は、「銀行の暗証番号が４ケタに対して、クレジットカード番号は１４ケタから１６ケタもあるので安全だ！」と言います。これは大きな間違いです。まだ暗証番号は自由に、すなわちランダムに付けることが可能です。対してクレジットカード番号はある規則に基づいて作られているのです。今回はこの規則について説明します。
原則として、１４ケタから１６ケタで構成されるクレジットカード番号は国際的な取り決めがあります。番号はかならず３つの部分に分けられます。
最初の６ケタはＢＩＮと呼ばれる発行元の識別番号です。最後の１ケタはチェックデジットと呼ばれるものです。残りのケタが利用者個人を識別する番号です。最初が４で始まれば、必ずＶＩＳＡカードです。最初が３４、あるいは３７で始まれば必ずアメリカンエクスプレスカードです。ＪＣＢは３５から始まっていますが、３５から始まればかならずＪＣＢとは保証されていません。
プレフィックスと呼ばれる接頭符号が用いられており、最初のケタが４であれば、ＶＩＳＡが残りの５ケタを自由に使えることができるのです。ＪＣＢの場合、最初の４ケタが３５２８から３５８９までの連番については残りの２ケタを自由に使えます。つまりＪＣＢのカードが発行できる銀行や組織は最大６２００となるわけです。ＶＩＳＡであれば１０万となります。それぞれの発行元がほぼ10億以上の会員を有することが可能です。この方法はＩＰアドレスの割り当て方法と同等です。ＩＰｖ４のＩＰアドレスでは、利用するネットワーク大きさに基づいて、クラスＡ、クラスＢ，クラスＣという割り当て方法が取られていました。
アドレス枯渇が叫ばれてからは、有名無実ですが、インターネットの教科書では必ず説明されています。３２ビットのＩＰアドレスで最初のビットが０であれば、クラスＡであり、ＶＩＳＡのカードと同様、多くのホスト（発行元）を識別できます。つまり発行元や会員を有することが出来るのです。
カード番号の最後のケタはどのようにして決まるのでしょうか。これはチェックデジットと言って、カード番号の記入間違い等を発見するために用います。この１ケタは以下の規則を満足するように与えられています。
最後のチェックデジットから数えて偶数番目のケタを2倍します。そしてすべてのケタの数を足し合わせます。２倍した偶数番目のケタが１０を超え、２ケタになっている場合はそれぞれのケタを足し合わせます。その合計が１０で割り切れるようにチェックデジットを与えます。
チェックデジットはその名の通り、番号の間違いを検出（チェック）するものです。どのケタでの数字の間違いを検出することができます。先ほどの規則通り、１０で割って余りが０にならなければどこかのケタが間違っていることになります。また、０９あるいは９０以外のケタの順序間違い（入れ換わり）も検出できます。このようなチェックデジットはクレジットカード番号だけでなく、いたる所で使われています。バーコードにも使われ ていて、バーコードの読み取り間違いを防いでいます。コンピューターメモリにも使われていて、メモリアクセスでの間違いを防いでいます。限界まで高速に動作するメモリでは読み取り間違いが起こりえるのです。現在では間違いを検知するだけでなく、チェックデジットの機能を進化させて、間違いを自動的に訂正するまでになっています。これを誤り訂正符号と呼び、数学での数論や代数曲線を利用した高度な符号が設計され、利用に具されています。
ＢＩＮとチェックデジット以外が個人の利用者を識別する番号になります。ＶＩＳＡやＪＣＢのように１６ケタである場合、９ケタがそれに当たります。９ケタすべてを使えば１０億人を識別できますが、９ケタすべてを使っているわけではありません。すべてを使うと利用可能なカード番号が容易に作れてしまうからです。一つのＢＩＮに対して６ケタ程度しか利用していないと考えられます。それでもランダムに千通りの番号を作れば正しいカード番号にたどり着く可能性があります。実際には９ケタをランダムに選んでいるわけではなく、組織的に作っています。この方法は公表されていませんが、「クレジットマスター」とか「カードジェネレーター」と呼ばれる方法や装置が出回っていると言われています。
少なくとも有効なカード番号を推定することは、暗証番号を推定するよりも簡単なのです。カード番号をいくら秘匿していたとしても、そカード番号が不正に利用される可能性があるのです。クレジットカードに対する最大の防御法は毎月の明細を確認することです。クレジットカード会社では最初から不正に利用される可能性を考慮しています。そのためにクレジットカードには必ず保険が掛けられているのです。早期に不正な利用が確認されれば保険によって保証されるのです。