Making Leaked Card Data Harder to Use: The "Domestic Use Treated as Overseas" Problem and a Proposal Based on Shared Usage Region (Japan as a Case Study)

In recent years, unauthorized card use caused by stolen card numbers has remained at a high level in Japan. According to figures compiled by the Japan Consumer Credit Association, losses reached a record 55.5 billion yen in 2024 and were still 51.05 billion yen in 2025, more than 90% of which was card-number theft. The card industry has advanced countermeasures such as fraud detection, 3-D Secure, network tokens, and overseas-use restrictions that cardholders configure themselves. However, several card issuers officially state that domestic transactions may be treated as overseas transactions and restricted when an overseas-use restriction is turned on, which makes it hard for users to keep the restriction always on. This is thought to arise from a mismatch in the country information carried along the payment route and from the handling of services that overseas companies provide to users in Japan, but how the determination actually works cannot be confirmed from public information (hypothesis). This paper proposes a scheme in which the issuer automatically recognizes the user’s usual region of use, and transactions carry and share two pieces of information: the “actual country of the seller” and the “market served” (whether the service is aimed at Japan). Transactions that do not fit the usual region are not rejected but routed to step-up authentication, so that legitimate domestic purchases go through even with the restriction always on. The goal is not to eliminate fraud but to make leaked data harder to misuse. In the Association’s statistics, about 23% of card-number theft losses in 2025 were classified as overseas (the definition of the classification is not stated in the material); the paper states limitations, such as the fact that misuse at domestic merchants remains, and organizes the points to be confirmed with operators, the possibility of extending the approach to other countries and regions, and the unresolved issues. It is not a finished solution but a starting point intended to encourage consideration by operators and the industry. AI use disclosure: The idea and the responsibility for the content rest with the author. The initial outline was created with Google Gemini (Gemini 3.6 Flash), and research and writing support was provided by Claude (Claude Sonnet 5.5, Anthropic). See “Acknowledgments and AI Use Disclosure” in the paper. Version and cautions: English version v1.4 (information as of November 1, 2026). The effect of the proposal has not been verified. Card companies’ FAQs and explanations are updated, so confirmation dates are given in the text. 近年、カード番号の盗用による不正利用は、国内で高い水準が続いている。日本クレジット協会の集計では、被害額は2024年に555億円と過去最高になり、2025年も510.5億円で、その9割以上が番号盗用である。不正検知、3Dセキュア、ネットワークトークン、利用者が設定する海外利用の制限など、カード業界の対策は進んでいる。しかし海外利用の制限については、国内の利用が海外取引として扱われて制限される場合があることが、複数のカード会社の公式説明に示されており、利用者が制限を常時オンにしにくい。その原因は、決済の経路による国のずれと、海外企業が日本の利用者向けに提供するサービスの扱いにあると考えられるが、判定の仕組みは公開情報からは確認できていない(仮説)。本稿は、利用者の利用地域を発行元が自動で認識し、取引に「販売者の実際の国」と「提供先の市場(日本向けか)」の二つの情報を付けて共有する方式を提案する。通常の利用地域に合わない取引は、拒否ではなく追加の本人確認に回し、常時オンでも国内の正規の購入が通ることを目指す。目的は不正の根絶ではなく、流出した情報を悪用しにくくすることである。協会の集計では、2025年の番号盗用被害のうち海外分として分類されたものは約23%であり(区分の定義は資料に明記されていない)、国内加盟店での悪用が残ることなどを限界として示し、事業者に確認すべき事項、他の国・地域への展開、未解決の課題を整理した。本稿は完成した解決策ではなく、事業者や業界による検討を促すための出発点である。 【AI利用の開示】本稿の着想と内容の責任は著者にある。初期の構成案はGoogle Gemini(Gemini 3.6 Flash)、調査・執筆の支援はClaude(Claude Sonnet 5.5、Anthropic)による。詳細は本文の「謝辞・AI利用の開示」を参照。 【版・注意】日本語版 v1.4(2026年11月1日時点の情報)。提案の効果は検証していない。カード会社のFAQや説明は更新されるため、本文に確認日を示している。