JP7000799B2 - 決済端末管理装置、決済端末管理方法、および決済端末管理プログラム - Google Patents

Description

この発明は、取引の決済に使用する決済カードに記録されているカードデータを読み取る決済端末を管理する技術に関する。

従来、店舗では、取引金額を決済カード（クレジットカード、デビットカード等）で決済するカード取引（クレジット取引、デビット取引等）が行われている。クレジット取引を処理する決済端末における、店員等による不正な操作を防止する技術が特許文献１に記載されている。この特許文献１の決済端末は、開封されたことをセンサで検知すると、決済動作を停止する構成である。決済端末を開封することは、スキミング等によるカード番号の漏洩を防止するため、通常の使用において禁止している行為である。

特許文献１の決済端末は、停止した決済動作を再開する場合、端末管理サーバに対して決済開始を要求し、端末管理サーバから決済開始許可を受ける構成である。また、端末管理サーバは、決済開始を要求してきた決済端末について、登録情報や決済開始要求の履歴情報等を参照し、当該決済端末に対して決済開始を許可するか、拒否するかを判断する構成である。

なお、決済端末は、端末管理サーバによって決済開始が許可されなければ（拒否されれば）、停止した決済動作を再開しない。

特開２００４－ ８６３２６号公報

しかしながら、特許文献１に記載された決済端末は、端末本体の物理的な状態の変化によって、通常の使用において禁止されている行為（例えば、開封）が行われたことを検知すると、決済動作を停止する構成である。すなわち、特許文献１に記載された決済端末は、端末本体の状態が物理的に変化しない行為であれば、その行為が不正なものであっても、決済動作を停止させることができない。例えば、多数の偽造カード（不正に入手したカードデータを記録させたカード等）を準備した者（例えば、店員）が、決済端末において、これらの偽造カードを順番に使用して決済にかかる操作を繰り返しても、決済動作を停止させることができない。また、この者（不正操作者）は、適当に入力した暗証番号で決済に成功すると、そのときに使用した偽造カードで不正に決済を行えるようになる。

クレジットカード会社等は、カードの不正使用に対するセキュリティを確保するために、適正でない暗証番号が所定回数（例えば、３回）連続して入力されたクレジットカードの使用を停止させる対策をとっている。しかしながら、この対策は、特定のカードに対するセキュリティ対策であり、上述した不特定多数の偽造カードを使用して、いずれかの偽造カードについて、決済が不正に行えるようになる暗証番号を取得するという行為に対して、セキュリティを確保することができない。

なお、上記の不正行為は、決済端末を自由に操作できる立場にある者によって行われる可能性が高い。

この発明の目的は、取引の決済に使用する決済カードのカードデータを読み取る決済端末での不正な操作によるセキュリティの低下を防止する技術を提供することにある。

この発明の端末管理装置は、上記目的を達するために、以下のように構成している。

端末管理装置は、通信部において、決済端末で読み取った取引の決済に使用する決済カードのカードデータを含む取引の認証要求を受信する。通信部は、決済端末と直接通信する構成であってもよいし、決済端末が読み取ったカードデータを取得し、このカードデータを含む認証要求を通知する装置（例えば、ＰＯＳ端末）と通信する構成であってもよい。

認証結果取得部は、通信部で受信した認証要求に応じて実行された認証処理の認証結果を取得する。端末管理装置は、この認証処理を行う構成を備えていてもよいし、備えていなくてもよい。すなわち、端末管理装置は、認証要求に応じて実行された認証処理の処理結果を取得できる構成であればよい。

また、判定部は、決済端末において不正な操作が行われている可能性が高いかどうかを判定する。認証要求には、暗証番号が含まれている。また、判定部は、暗証番号が適正でない認証要求の発生状況に基づき、決済端末において不正な操作が行われている可能性が高いかどうかを判定する。例えば、判定部は、設定時間（例えば、１０分）の間に、暗証番号が適正でない認証要求の発生回数が第１の設定回数（例えば、５回）を超えている決済端末を、その決済端末において不正な操作が行われている可能性が高いと判定する。また、判定部は、暗証番号が適正でない認証要求が第２の設定回数（例えば、３回）を超えて連続している決済端末を、その決済端末において不正な操作が行われている可能性が高いと判定する。

処理制限部は、判定部において不正な操作が行われている可能性が高いと判定された決済端末について、その決済端末が決済カードから読み取ったカードデータを含む認証要求に応じた認証処理の実行を制限する。

このように、判定部が、不正な操作が行われている可能性が高いと判定した決済端末については、その決済端末からの認証要求に応じた認証処理が制限される。すなわち、判定部が、不正な操作が行われている可能性が高いと判定した決済端末については、その決済端末からの認証要求に含まれている暗証番号が適正であるかどうかについての認証が行われない。したがって、店員等は、決済端末で多数の偽造カードを順番に使用して決済にかかる操作を繰り返しても、その偽造カードで決済するための暗証番号を不正に取得することができない。これにより、取引の決済に使用する決済カードのカードデータを読み取る決済端末での不正な操作によるセキュリティの低下を防止できる。

また、判定部は、不正な操作が行われている可能性が高いと判定した決済端末を処理停止端末として登録するとともに、予め定めた解除条件を満足する登録解除の要求を受け付けた決済端末が処理停止端末として登録されていれば、その登録を解除する構成にしてもよい。このように構成すれば、判定部によって不正な操作が行われている可能性が高いと判定された決済端末を、決済動作が行える状態に簡単に復旧できる。

また、決済端末をグループに分類して管理するグループ管理部を備え、処理制限部が、判定部において不正な操作が行われている可能性が高いと判定された決済端末、および当該決済端末と同じグループに属する他の決済端末についても、その決済端末が決済カードから読み取ったカードデータを含む認証要求に応じた認証処理の実行を制限する、構成にしてもよい。例えば、決済端末を設置されている店舗でグループに分類することによって、店員等が決済端末を不正に操作している可能性が高い店舗に設置されている全ての決済端末について、その決済端末で読み取ったカードデータを含む処理要求に応じた処理の実行を制限することができる。このように構成すれば、取引の決済に使用する決済カードのカードデータを読み取る決済端末での不正な操作によるセキュリティの低下を一層防止できる。

この発明によれば、取引の決済に使用する決済カードのカードデータを読み取る決済端末での不正な操作によるセキュリティの低下を防止できる。

この例にかかる決済システムを示す概略図である。 端末管理装置の主要部の構成を示すブロック図である。 端末管理情報記憶ＤＢに記憶している端末管理情報を説明する図である。 ある決済端末から送信されてきた取引の認証要求の履歴を示す図である。 決済端末の主要部の構成を示すブロック図である。 決済端末の動作を示すフローチャートである。 また、図７は、端末管理装置の動作を示すフローチャートである。 ｓ１５にかかる処理停止端末登録判定処理を示すフローチャートである。 登録解除判定処理を示すフローチャートである。

以下、この発明の実施形態について説明する。

＜１．適用例＞
図１は、この発明の実施形態にかかる端末管理装置を用いた決済システムを示す概略図である。この決済システムは、端末管理装置１と、複数の決済端末２とを備える。端末管理装置１には、ネットワーク５を介して複数の決済端末２が接続されている。端末管理装置１は、決済端末２との間におけるデータ通信をネットワーク５を介して行う。この例の決済システムは、クレジット取引を処理するものである。この例では、端末管理装置１が、この発明にかかる決済端末管理装置の実施形態である。

この例では、端末管理装置１は、ペイメント・サービス・プロバイダ（ＰＳＰ）のサーバであるとして説明するが、クレジットカード会社のサーバであってもよいし、その他のサーバであってもよい。また、決済端末２は、取引金額の決済がクレジットカードで行える店舗に設置されている。

なお、この例のように、端末管理装置１がＰＳＰのサーバである場合、端末管理装置１（ＰＳＰのサーバ）とクレジットカード会社のサーバとはネットワークを介してデータ通信可能に接続される。この例では、図１において、クレジットカード会社のサーバの図示を省略している。

この決済システムでは、設置されている決済端末２が１台の店舗もあれば、複数台の店舗もある。この例では、決済端末２は、クレジットカードから読み取ったカードデータ、入力された暗証番号、取引金額等を含む取引の認証要求を端末管理装置１に送信する。端末管理装置１は、決済端末２から送信されてきた取引の認証要求に応じて実行された認証処理の認証結果を取得する。認証処理は、クレジットカードの有効／無効、暗証番号が適正であるかどうか、取引金額が与信限度額の範囲内であるかどうか等によって取引の可否を判定する処理である。決済システムは、この認証処理を、クレジットカード会社のサーバで実行する構成であってもよいし、クレジットカード会社のサーバ、およびＰＳＰのサーバで分担して実行する構成であってもよい。

決済端末２は、クレジットカード会社のサーバ、またはＰＳＰのサーバから認証結果が通知され、通知された認証結果に基づき、クレジット取引を処理する。

なお、この例では、端末管理装置１がＰＳＰのサーバであるとしているので、決済端末２は、ＰＳＰのサーバから認証結果が通知される。

クレジットカードには、少なくともカードを識別するカード番号がカードデータとして記録されている。暗証番号は、セキュリティの観点から、クレジットカードに記録されていない。クレジットカードは、カードデータを磁気データで記録した磁気カードであってもよいし、カードデータをＩＣに記録した接触式のＩＣカード（ＩＣ接点をカード表面に露出形成したＩＣカード）であってもよいし、カードデータをＩＣに記録した非接触式のＩＣカード（近距離無線機能を有するＩＣカード）であってもよい。また、カードは、例えば磁気カードと接触式のＩＣカードの複合カードであってもよいし、その他の組合せによる複合カードであってもよい。この例では、クレジットカードが、この発明で言う決済カードに相当する。

顧客は、店舗でクレジット取引を行うときに、クレジットカードを使用する。店員は、顧客のクレジットカードに記録されているカード番号を含むカードデータを決済端末２に読み取らせる。また、店員は、ＰＩＮパッド等の操作部において、取引に使用するクレジットカードの暗証番号を顧客に入力させる。決済端末２が、クレジットカードから読み取ったカード番号、顧客が入力した暗証番号、今回の取引に付与した取引番号、今回の取引にかかる取引金額、決済端末２の識別コード等を含む取引の認証要求を生成し、端末管理装置１に送信する。取引番号は、この例では、取引毎にインクリメント（プラス１）される番号であり、取引の識別に用いることができるとともに、取引が処理された順番の確認も行える。

端末管理装置１は、決済端末２毎に、その決済端末２から送信されてきた取引の認証要求に基づき、その決済端末２において不正な操作が行われている可能性が高いかどうかを判定する。例えば、端末管理装置１は、決済端末２毎に、暗証番号が適正でない認証要求の発生状況に基づき、その決済端末２において不正な操作が行われている可能性が高いかどうかを判定する。端末管理装置１は、不正な操作が行われている可能性が高いと判定した決済端末２を処理停止端末として登録する。また、端末管理装置１は、処理停止端末として登録している決済端末２について、予め定めた解除条件を満足する登録解除要求を受け付けると、処理停止端末としての登録を解除する。端末管理装置１は、例えば決済端末２に対して予め定めた登録解除端末（不図示）から、適正な暗証番号を含む登録解除要求を受け付けたときに、予め定めた解除条件を満足する登録解除要求であると判断する。

この登録解除端末は、決済端末２が設置されている店舗以外の場所に設置するのが好ましい。すなわち、決済端末２、および登録解除端末が、同じ場所で操作できないように設置するのが好ましい。

また、端末管理装置１は、処理停止端末として登録している決済端末２については、その決済端末２から送信されてきた取引の認証要求に対する認証処理の実行を制限し、当該決済端末２に対して、クレジット取引を規制していることを通知する。反対に、端末管理装置１は、処理停止端末として登録していない決済端末２から送信されてきた取引の認証要求については、その認証要求に対して実行された認証処理の認証結果を決済端末２に返信する。したがって、この決済システムでは、取引の決済に使用する決済カードのカードデータを読み取る決済端末２での不正な操作によるセキュリティの低下を防止できる。

＜２．構成例＞
図２は、この例にかかる端末管理装置の主要部の構成を示すブロック図である。端末管理装置１は、制御ユニット１１と、通信部１２と、端末管理情報記憶データベース１３（端末管理情報記憶ＤＢ１３）と、履歴情報記憶データベース１４（履歴情報記憶ＤＢ１４）とを備えている。

なお、端末管理装置１が、クレジットカード会社のサーバである場合、クレジットカード毎に、カード管理情報を登録したデータベースを備えている。カード管理情報には、カード番号、暗証番号、顧客の住所、氏名、生年月日、連絡先電話番号、連絡先メールアドレス等が含まれている。

なお、この例では、端末管理装置１がＰＳＰのサーバであるとしているので、カード管理情報を登録したデータベースを備えていない。

制御ユニット１１は、端末管理装置１本体各部の動作を制御する。また、制御ユニット１１は、判定部１１ａ、処理停止端末記憶部１１ｂ、処理制限部１１ｃ、および認証結果取得部１１ｄを有する。判定部１１ａ、処理停止端末記憶部１１ｂ、処理制限部１１ｃ、および認証結果取得部１１ｄの詳細については、後述する。

通信部１２は、ネットワーク５を介して、店舗に設置されている決済端末２との間でデータ通信を行う。また、端末管理装置１がＰＳＰのサーバである場合、通信部１２は、図１に示していないカード会社のサーバを含む、他の装置との間におけるデータ通信も行う。

端末管理情報記憶ＤＢ１３は、決済端末２の管理に用いる端末管理情報を記憶する。図３は、端末管理情報記憶ＤＢに記憶している端末管理情報を説明する図である。端末管理情報は、図３に示すように、決済端末２毎に、識別コード、ＩＰアドレス、店舗コード、営業時間、通知先アドレス、解除端末識別コード、および解除用暗証番号等を対応付けて登録した情報である。識別コードは、決済端末２固有のコードであり、決済端末２を特定できる。ＩＰアドレスは、決済端末２に割り当てられているＩＰアドレスを示す。店舗コードは、決済端末２が設置されている店舗を識別するコードである。営業時間は、決済端末２が設置されている店舗の営業時間を示す。通知先アドレスは、決済端末２を処理停止端末として登録したときに、その旨を通知する連絡先のメールアドレスである。解除端末識別コードは、登録解除端末を識別するコードである。登録解除端末は、通知先アドレスに送信された電子メールを受信できるように設定されていてもよいし、設定されていなくてもよい。解除用暗証番号は、決済端末２について、処理停止端末の登録解除に用いるものである（解除用暗証番号は、クレジットカードの暗証番号ではない。）。

履歴情報記憶ＤＢ１４は、送信されてきた取引の認証要求の履歴を記憶する。具体的には、送信されてきた取引の認証要求を、その取引の認証要求に含まれていた決済端末２の識別コードで分類して、履歴を記憶する。図４は、識別コードがＡＡ００１２３であった決済端末２から送信されてきた取引の認証要求の履歴を示す図である。この履歴は、送信されてきた取引の認証要求毎に、その認証要求の受信時刻、その認証要求を送信してきた決済端末２のＩＰアドレス、その認証要求に含まれていた取引番号、およびその認証要求に含まれていたカード番号、その認証要求に含まれていた暗証番号（クレジットカードの暗証番号）が適正または不適正であったかの判定結果等を対応付けて登録したものである。この例では、履歴情報記憶ＤＢ１４が、この発明で言う履歴情報記憶部に相当する。

なお、識別コードがＡＡ００１２３であった取引の認証要求の履歴には、識別コードがＡＡ００１２３である決済端末２になりすました端末（以下、なりすまし端末と言う。）から取引の認証要求が送信されてきている場合、このなりすまし端末から送信されてきた取引の認証要求が含まれる。

次に、制御ユニット１１が有する判定部１１ａ、処理停止端末記憶部１１ｂ、処理制限部１１ｃ、および認証結果取得部１１ｄについて説明する。判定部１１ａは、決済端末２毎に、その決済端末２から送信されてくる取引の認証要求が、その決済端末２等における不正な操作によるものである可能性が高いかどうかを判定する。判定部１１ａは、例えば、以下に示す（１）～（６）の判定項目について判定し、少なくともいずれか１つについて該当すると判定した場合に、その決済端末２から送信されてくる認証要求が、その決済端末２等における不正な操作によるものである可能性が高いと判定する。

（１）クレジットカードの暗証番号が不適正であった取引の認証要求を、設定時間（例えば、１０分）の間に第１の設定回数（例えば、５回）を超えて送信してきている。
（２）クレジットカードの暗証番号が不適正であった取引の認証要求を、第２の設定回数（例えば、３回）連続して送信してきている。
（３）今回の取引の認証要求の受信時刻が設置されている店舗の営業時間外である。
（４）取引の認証要求を送信してきた決済端末２のＩＰアドレスが、登録されているＩＰアドレスと異なる。
（５）時間的に連続する取引の認証要求に含まれている取引番号の差が所定値（例えば、２０程度）よりも大きい。
（６）時間的に連続する取引の認証要求に含まれている取引番号が減少している。

上記（１）～（３）は、主に決済端末２において不正な操作が行われているかどうかを判定するための判定項目であり、（４）～（６）は、主になりすまし端末から取引の認証要求が不正に送信されてきているかどうかを判定するための判定項目である。

なお、上記（１）～（６）にかかる判定項目は、あくまでも例示である。取引の認証要求が、その決済端末２等における不正な操作によるものである可能性が高いかどうかの判定に用いる判定項目は、上記以外の判定項目（他の判定項目）を用いてもよい。また、取引の認証要求が、その決済端末２等における不正な操作によるものである可能性が高いかどうかの判定に用いる判定項目は、上記（１）～（６）の一部であってもよいし、上記（１）～（６）の一部と他の判定項目とを組み合わせたものであってもよい。

判定部１１ａは、送信されてくる取引の認証要求が不正な操作によるものである可能性が高いと判定した決済端末２の識別コードを処理停止端末記憶部１１ｂに登録（記憶）する。処理停止端末記憶部１１ｂは、例えば不揮発性のメモリで構成される。処理停止端末記憶部１１ｂが識別コードを記憶している決済端末２が処理停止端末である。

処理制限部１１ｃは、取引の認証要求に含まれている決済端末２の識別コードが、処理停止端末記憶部１１ｂに処理停止端末として登録されているかどうかを判定する。処理制限部１１ｃは、処理停止端末として登録されていると、今回の取引の認証要求に応じた認証処理の実行を禁止する。一方、処理制限部１１ｃは、処理停止端末として登録されていなければ、今回の取引の認証要求に応じた認証処理の実行を許可する。

認証結果取得部１１ｄは、処理制限部１１ｃによって許可された認証要求に対して実行された認証処理の結果を取得する。認証結果取得部１１ｄは、認証処理の一部、または全部を実行する構成であってもよいし、カード会社のサーバ等の装置で実行された認証処理の処理結果を取得するだけの構成であってもよい。

この例にかかる端末管理装置１の制御ユニット１１は、ハードウェアＣＰＵ、メモリ、その他の電子回路によって構成されている。ハードウェアＣＰＵが、この発明にかかる端末管理プログラムを実行したときに、判定部１１ａ、処理制限部１１ｃ、および認証結果取得部１１ｄとして動作する。また、メモリは、この発明にかかる端末管理プログラムを展開する領域、処理停止端末記憶部１１ｂとして利用する領域、および端末管理プログラムの実行時に生じたデータ等を一時記憶する領域を有している。制御ユニット１１は、ハードウェアＣＰＵ、メモリ等を一体化したＬＳＩであってもよい。また、ハードウェアＣＰＵが、この発明にかかる端末管理方法を実行するコンピュータである。

なお、この例のように、端末管理装置１がＰＳＰのサーバである場合、取引の認証処理にかかる判定項目の中に、端末管理装置１で実行できない判定項目（入力されたクレジットカードの暗証番号の適正、または不適正の判定等）があるが、このような判定項目については、端末管理装置１はカード会社のサーバで実行された判定結果を取得する。

次に、決済端末２について説明する。図５は、決済端末の主要部の構成を示すブロック図である。決済端末２は、制御部２１と、通信部２２と、カード処理部２３と、操作部２４と、表示部２５と、入出力部２６とを備えている。制御部２１は、決済端末２本体各部の動作を制御する。

通信部２２は、ネットワーク５を介して、上述した端末管理装置１との間でデータ通信を行う。カード処理部２３は、クレジットカードに記録されているカード番号を含むカードデータを読み取る。操作部２４は、決済端末２本体に対する入力操作を行うテンキー等を有する。また、取引金額をクレジットカードで決済する顧客は、操作部２４のテンキーを操作して、クレジットカードの暗証番号を入力する。表示部２５は、決済端末２本体を操作している店員に対するメッセージ等を表示する。入出力部２６は、商品の登録や取引金額の精算等にかかる処理を実行し、取引を処理するＰＯＳ端末（不図示）との間でデータを入出力するインタフェースである。

なお、決済端末２は、有線や無線でＰＯＳ端末に接続される構成に限らず、ＰＯＳ端末に組み込まれたものであってもよい。

＜３．動作例＞
図６は、決済端末の動作を示すフローチャートである。また、図７は、端末管理装置の動作を示すフローチャートである。ここでは、クレジット取引における決済端末２の動作を説明する。

決済端末２は、カード処理部２３において、取引金額の決済に使用するクレジットカードに記録されているカードデータの読み取りが行われるのを待つ（ｓ１）。取引に使用されるクレジットカードの種類は、上述したように、磁気カード、接触式のＩＣカード、非接触式のＩＣカード等である。

決済端末２は、カード処理部２３がカードデータを読み取ると、取引データを習得する（ｓ２）。また、決済端末２は、取引金額の決済に使用するクレジットカードの暗証番号の入力操作を、操作部２４において受け付ける（ｓ３）。ｓ２とｓ３にかかる処理は、どちらを先に実行してもよいし、並行して実行する構成であってもよい。ｓ１で読み取ったカードデータには、少なくともカードを識別するカード番号が含まれている。また、ｓ２では、決済端末２は、今回の取引にかかる商品やサービスを登録したＰＯＳ端末から少なくとも、今回の取引の取引金額を含む取引データを取得する。決済端末２は、入出力部２６に接続されているＰＯＳ端末から取引データを取得する。決済端末２は、通信部２２において、取引の認証要求を端末管理装置１に送信する（ｓ４）。

決済端末２が、ｓ４で端末管理装置１に送信する取引の認証要求には、自端末の識別コード、自端末に割り当てられているＩＰアドレス、ｓ１で読み取ったカード番号、ｓ２で取得した今回の取引の取引金額、およびｓ３で入力されたクレジットカードの暗証番号が含まれている。決済端末２は、ｓ４で取引の認証要求を端末管理装置１に送信すると、この端末管理装置１から今回送信した認証要求の処理結果（取引の可否を示す認証結果）を受信するのを待つ（ｓ５）。

なお、ＰＯＳ端末が端末管理装置１に対して取引の認証要求を送信するシステムであれば、決済端末２は、ｓ１で読み取ったカードデータ、およびｓ３で入力されたクレジットカードの暗証番号をＰＯＳ端末に出力する。ＰＯＳ端末が、決済端末２から入力されたカードデータ、および暗証番号を含む認証要求を生成し、端末管理装置１に送信する。

端末管理装置１は、図７に示すように、ネットワーク５を介して送信されてきた、取引の認証要求、または登録解除要求を受信するのを待つ（ｓ１１、ｓ１２）。取引の認証要求は、上述したように、この例では決済端末２（またはなりすまし端末）から送信されてくる。また、登録解除要求は、登録解除端末から送信されてくる。

端末管理装置１は、通信部１２において取引の認証要求を受信すると、今回受信した取引の認証要求を該当する決済端末２の識別コード（今回受信した認証要求に含まれている識別コード）の履歴として履歴情報記憶ＤＢ１４に記憶する（ｓ１３）。また、端末管理装置１は、今回送信されてきた取引の認証要求に含まれていた識別コードが処理停止端末として登録されているかどうかを判定する（ｓ１４）。ｓ１４は、今回送信されてきた取引の認証要求に含まれていた識別コードが、処理停止端末記憶部１１ｂに記憶されているかどうかを判定する処理である。この例では、処理制限部１１ｃが、ｓ１４にかかる処理を実行する。

なお、ｓ１３にかかる処理と、ｓ１４にかかる処理の順番は、上記の説明と逆の順番で実行してもよい。

端末管理装置１は、処理制限部１１ｃがｓ１４で処理停止端末であると判定すると、現時点において取引の認証処理が行えないことを決済端末２に通知する通知処理を行い（ｓ１８）、ｓ１１に戻る。このとき、処理制限部１１ｃは、今回受信した取引の認証要求にかかる認証処理の実行を制限する。したがって、処理制限部１１ｃがｓ１４で処理停止端末であると判定すると、今回受信した取引の認証要求にかかる認証処理は実行されない。このため、今回の取引で使用されたクレジットカードの暗証番号が、ｓ３で入力された暗証番号であるかどうかの判定は行われない。すなわち、決済端末２を操作した操作者は、今回の取引で使用されたクレジットカードの暗証番号が、ｓ３で入力された暗証番号であるかどうか確認できない。

また、端末管理装置１は、処理制限部１１ｃがｓ１４で処理停止端末でないと判定すると、判定部１１ａが処理停止端末登録判定処理を実行する（ｓ１５）。ｓ１５にかかる処理停止端末登録判定処理は、不正な操作が行われている可能性が高い決済端末２、および認証要求を送信してくるなりすまし端末が存在している決済端末２の識別コードを処理停止端末記憶部１１ｂに登録する処理である。

図８は、ｓ１５にかかる処理停止端末登録判定処理を示すフローチャートである。この例では、判定部１１ａは、今回受信した取引の認証要求の送信元である決済端末２について、上述した（１）～（６）の判定項目のそれぞれについて、該当するかどうかを判定する。判定部１１ａは、今回の取引の認証要求が上記（１）～（６）のいずれかの判定項目に該当すると（ｓ３２）、処理停止端末であると判定し（ｓ３３）、本処理を終了する。また、判定部１１ａは、今回の取引の認証要求が上記（１）～（６）のいずれの判定項目にも該当しなければ（ｓ３２）、処理停止端末でないと判定し（ｓ３４）、本処理を終了する。

図７に戻って、端末管理装置１は、ｓ１５にかかる処理停止端末登録判定処理で処理停止端末であると判定すると、今回取引の認証要求に含まれていた決済端末２の識別コードを処理停止端末記憶部１１ｂに記憶させる登録処理を行う（ｓ１６、ｓ１７）。また、ｓ１７では、今回処理停止端末として登録した識別コードの決済端末２について、登録されている通知先アドレスを宛先とした電子メールで、決済端末２を処理停止端末に登録したことを通知する。さらに、端末管理装置１は、ｓ１８で現時点においてクレジットカードによる取引の決済が行えないことを決済端末２に通知する通知処理を行い、ｓ１１に戻る。

また、端末管理装置１は、ｓ１５にかかる処理停止端末登録判定処理で処理停止端末でないと判定すると、今回送信されてきた取引の認証要求に対する認証処理を許可する（ｓ１６、ｓ１９）。この認証処理は、クレジットカードの有効／無効、暗証番号が適正であるかどうか、取引金額が与信限度額の範囲内であるかどうか等の判定項目について判定する。判定項目の中には、ＰＳＰのサーバである端末管理装置１において判定する項目もあれば、端末管理装置１がカード会社のサーバに要求し、カード会社のサーバから判定結果のみを取得する項目もある。また、端末管理装置１は、この認証処理において、ｓ１３で履歴情報記憶ＤＢ１４に記憶した今回の取引の認証要求に対して、ｓ３で入力されたクレジットカードの暗証番号が適正であったかどうかの判定結果を追加する。

端末管理装置１は、ｓ１９における認証処理の処理結果を決済端末２に出力し（ｓ２０）、ｓ１１に戻る。

また、端末管理装置１は、ｓ１２で登録解除要求を受信したと判定すると、登録解除判定処理を実行し（ｓ２１）、ｓ１１に戻る。図９は、登録解除判定処理を示すフローチャートである。

上述したように、端末管理装置１は、ｓ１７における登録処理において、通知先アドレスを送信先とした電子メールによって、決済端末２を処理停止端末として登録したことを通知している。すなわち、店舗の管理者は、端末管理装置１から送信されてきた電子メールによって、決済端末２が処理停止端末に設定されたことを認識している。店舗の管理者は、店員による不正な操作が行われていないことを確認すると、予め定めた登録解除端末を操作して、登録解除要求を端末管理装置１に送信する。この登録解除要求には、処理停止端末の登録解除を要求する決済端末２の識別コード、登録解除端末の識別コード、および解除用暗証番号が含まれている。

なお、ここで言う店舗の管理者とは、当該店舗の責任者であってもよいし、ＰＳＰサービスを提供している会社、またはカード会社の担当者であってもよい。

端末管理装置１は、受信した登録解除要求に含まれている、処理停止端末の登録解除を要求する決済端末２の識別コードが、処理停止端末記憶部１１ｂに記憶されているかどうかを判定する（ｓ４１）。すなわち、ｓ４１では、今回受信した登録解除要求が、その時点において処理停止端末として登録されている識別コードの決済端末２に対するものであるかどうかを判定している。端末管理装置１は、今回受信した登録解除要求が、その時点において処理停止端末として登録されていない識別コードの決済端末２に対するものであれば、本処理を終了する。

また、端末管理装置１は、今回受信した登録解除要求を送信してきた登録解除端末が適正であるかどうかを判定する（ｓ４２）。ｓ４２では、処理停止端末の登録解除を要求された決済端末２に対応付けられている登録解除端末であるかどうかを判定している。図３に示したように、端末管理情報には、決済端末２の識別コードと、登録解除端末の識別コードとが対応付けられている。端末管理装置１は、今回受信した登録解除要求を送信してきた登録解除端末が適正でないと判定すると、本処理を終了する。

また、端末管理装置１は、今回受信した登録解除要求を送信してきた登録解除端末が適正であると判定すると、解除用暗証番号が適正であるかどうかを判定する（ｓ４３）。ｓ４３では、店舗の管理者による適正な登録解除要求であるかどうかを判定している。図３に示したように、端末管理情報には、決済端末２の識別コードと、暗証番号とが対応付けられている。端末管理装置１は、解除用暗証番号が適正でない（今回受信した登録解除要求が店舗の管理者による適正な登録解除要求でない）と判定すると、本処理を終了する。

端末管理装置１は、ｓ４３で暗証番号が適正であると判定すると、処理停止端末記憶部１１ｂに記憶されている、今回処理停止端末の登録解除を要求された決済端末２の識別コードを削除する（ｓ４４）。これにより、決済端末２は、処理停止端末の登録が解除される。

なお、上述したｓ４１、ｓ４２、およびｓ４３にかかる処理の順番は、上記した順番に限らず、どのような順番で行われてもよい。

図６に戻って、決済端末２は、ｓ５で端末管理装置１からの認証結果を受信すると、処理結果を出力し（ｓ６）、ｓ１に戻る。ｓ６では、ＰＯＳ端末に対して、取引金額の決済可否等の通知を行う。

このように、この例にかかる端末管理装置１は、店員等によって不正な操作が行われている可能性が高い場合や、なりすまし端末による不正な取引の認証要求が送信されてきている可能性が高い場合に、決済端末２を処理停止端末として登録する。また、端末管理装置１は、処理停止端末として登録した決済端末２（この決済端末２になりすました端末を含む）からの取引の認証要求に対して認証処理を行わない。したがって、クレジットカードの暗証番号が不正に取得されるのを防止でき、クレジット取引にかかるセキュリティの向上が図れる。

また、登録解除端末において、処理停止端末の登録の解除が行える。

＜４．変形例＞
上記の例では、端末管理装置１は、不正な操作による取引の認証要求を送信してきている可能性が高いと判定した決済端末２を処理停止端末として登録する構成であった。この変形例にかかる端末管理装置１は、決済端末２をグループに分類して管理し、不正な操作による認証要求を送信してきている可能性が高いと判定した決済端末２があると、この決済端末２が属するグループの他の決済端末２についても、処理停止端末として登録する。

決済端末２を分類するグループは、例えば設置されている店舗にすればよい。例えば、図３に示した端末管理情報には、識別コードがＡＡ００１２３である決済端末２と、識別コードがＡＡ００１２４である決済端末２とは、同じ店舗（店舗コードがＸＸ１２３４である店舗）に設置されていることが登録されている。判定部１１ａは、識別コードがＡＡ００１２３である決済端末２、または識別コードがＡＡ００１２４である決済端末２の一方について、店員等によって不正な操作が行われている可能性が高いと判定すると、識別コードがＡＡ００１２３である決済端末２、および識別コードがＡＡ００１２４である決済端末２を処理停止端末として登録する。

したがって、店員等が決済端末２を不正に操作している可能性が高い店舗に設置されている全ての決済端末２について、その決済端末２から送信されてきた取引の認証要求に対する認証処理の実行を制限することができる。これにより、クレジットカードの暗証番号が不正に取得されるのを防止でき、クレジット取引にかかるセキュリティの一層の向上が図れる。

この変形例では、端末管理情報記憶ＤＢ１３が、この発明で言うグループ管理部に相当する。

また、上記の例では、不正な操作が行われている可能性が高いと判定した決済端末２だけでなく、なりすましが存在している可能性が高いと判定した決済端末２についても処理停止端末として登録するとしたが、なりすまし端末が存在している可能性が高いと判定した決済端末２については処理停止端末として登録しない構成にしてもよい。このように構成すれば、なりすましによって、店舗における取引処理に影響がでるのを抑えられる。ただし、この場合には、なりすまし端末からの取引の認証要求である可能性が高いと判定した認証要求については（上記の（４）～（６）の判定項目のいずれかに該当する認証要求については）、その認証要求に応じた認証処理の実行を禁止する構成にすればよい。これにより、なりすまし端末に対するセキュリティを低下させることはない。

また、本願発明は、上述したクレジット取引にかかる決済システムに限らず、取引時にデビットカードを使用する決済システム等にも適用できる。

なお、この発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

さらに、この発明にかかる構成と上述した実施形態にかかる構成との対応関係は、以下の付記のように記載できる。
＜付記＞
決済端末（２）で読み取った取引の決済に使用する決済カードのカードデータを含む取引の認証要求を受信する通信部（１２）と、
前記通信部（１２）で受信した前記認証要求に応じて実行された認証処理の認証結果を取得する認証結果取得部（１１ｄ）と、
前記決済端末（２）において不正な操作が行われている可能性が高いかどうかを判定する判定部（１１ａ）と、
前記判定部（１１ａ）において不正な操作が行われている可能性が高いと判定された前記決済端末（２）について、その決済端末（２）が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限する処理制限部（１１ｃ）と、を備え、
前記認証要求には、暗証番号が含まれ、
前記判定部（１１ａ）は、暗証番号が適正でない前記認証要求の発生状況に基づき、前記決済端末（２）において不正な操作が行われている可能性が高いかどうかを判定する、端末管理装置（１）。

１…端末管理装置
２…決済端末
５…ネットワーク
１１…制御ユニット
１１ａ…判定部
１１ｂ…処理停止端末記憶部
１１ｃ…処理制限部
１１ｄ…認証結果取得部
１２…通信部
１３…端末管理情報記憶データベース（端末管理情報記憶ＤＢ）
１４…履歴情報記憶データベース（履歴情報記憶ＤＢ）

Claims (6)

1. 決済端末で読み取った取引の決済に使用する決済カードのカードデータを含む取引の認証要求を受信する通信部と、
   前記通信部で受信した前記認証要求に応じて実行された認証処理の認証結果を取得する認証結果取得部と、
   前記決済端末において不正な操作が行われている可能性が高いかどうかを判定する判定部と、
   前記判定部において不正な操作が行われている可能性が高いと判定された前記決済端末について、その決済端末が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限する処理制限部と、
   前記決済端末をグループに分類して管理するグループ管理部と、を備え、
   前記認証要求には、暗証番号が含まれ、
   前記判定部は、暗証番号が適正でない前記認証要求の発生状況に基づき、前記決済端末において不正な操作が行われている可能性が高いかどうかを判定し、
   前記処理制限部は、前記判定部において不正な操作が行われている可能性が高いと判定された前記決済端末、および当該決済端末と同じグループに属する他の前記決済端末についても、その決済端末が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限する、決済端末管理装置。
2. 前記判定部は、不正な操作が行われている可能性が高いと判定した前記決済端末を処理停止端末として登録するとともに、予め定めた解除条件を満足する登録解除の要求を受け付けた前記決済端末が前記処理停止端末として登録されていれば、その登録を解除する、請求項１に記載の決済端末管理装置。
3. 前記判定部は、設定時間の間に、暗証番号が適正でない前記認証要求の発生回数が第１の設定回数を超えている前記決済端末を、その決済端末において不正な操作が行われている可能性が高いと判定する、請求項１、または２に記載の決済端末管理装置。
4. 前記判定部は、暗証番号が適正でない前記認証要求が第２の設定回数を超えて連続している前記決済端末を、その決済端末において不正な操作が行われている可能性が高いと判定する、請求項１～３のいずれかに記載の決済端末管理装置。
5. 通信部において受信した、決済端末で読み取った取引の決済に使用する決済カードのカードデータを含む取引の認証要求に応じて実行された認証処理の認証結果を取得する認証結果取得ステップと、
   前記決済端末において不正な操作が行われている可能性が高いかどうかを判定する判定ステップと、
   前記判定ステップにおいて不正な操作が行われている可能性が高いと判定された前記決済端末について、その決済端末が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限する処理制限ステップと、
   前記決済端末をグループに分類して管理するグループ管理ステップと、をコンピュータが実行する決済端末管理方法であって、
   前記認証要求には、暗証番号が含まれ、
   前記判定ステップは、暗証番号が適正でない前記認証要求の発生状況に基づき、前記決済端末において不正な操作が行われている可能性が高いかどうかを判定するステップであり、
   前記処理制限ステップは、前記判定ステップで不正な操作が行われている可能性が高いと判定した前記決済端末、および当該決済端末と同じグループに属する他の前記決済端末についても、その決済端末が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限するステップである、決済端末管理方法。
6. 通信部において受信した、決済端末で読み取った取引の決済に使用する決済カードのカードデータを含む取引の認証要求に応じて実行された認証処理の認証結果を取得する認証結果取得ステップと、
   前記決済端末において不正な操作が行われている可能性が高いかどうかを判定する判定ステップと、
   前記判定ステップにおいて不正な操作が行われている可能性が高いと判定された前記決済端末について、その決済端末が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限する処理制限ステップと、
   前記決済端末をグループに分類して管理するグループ管理ステップと、をコンピュータに実行させる決済端末管理プログラムであって、
   前記認証要求には、暗証番号が含まれ、
   前記判定ステップは、暗証番号が適正でない前記認証要求の発生状況に基づき、前記決済端末において不正な操作が行われている可能性が高いかどうかを判定するステップであり、
   前記処理制限ステップは、前記判定ステップで不正な操作が行われている可能性が高いと判定した前記決済端末、および当該決済端末と同じグループに属する他の前記決済端末についても、その決済端末が前記決済カードから読み取ったカードデータを含む前記認証要求に応じた前記認証処理の実行を制限するステップである、決済端末管理プログラム。

Images