JP6969294B2 - 端末管理装置、端末管理方法、および端末管理プログラム - Google Patents

Description

この発明は、取引時に、その取引で使用するカードに記録されているカードデータを読み取る端末を管理する技術に関する。

従来、店舗、ショッピングセンタ、クレジットカード会社等が、顧客サービスの１つとして、ポイントサービスを実施している。ポイントサービスは、周知のように、取引を行った顧客に対して、取引金額等に応じたポイント数のポイントを付与するサービスである。具体的には、取引を行った顧客の保有ポイント数を、当該顧客の取引直前の保有ポイント数に対して、今回の取引で付与するポイント数を加算したポイント数に更新する。ポイントサービスには、例えば保有ポイントを取引金額の一部、または全部の精算に使用できる形態のサービスもあれば、保有ポイントを景品と交換できる形態のサービスもある。一般的なポイントサービスでは、カード番号を記録したカード（ポイントカード、クレジットカード等）を顧客に発行し、取引処理時に、その取引において使用されたカード（言い換えれば、カードの所有者である顧客）にポイントを付与する。

ポイントサービスは、ポイントが価値を有するものであることから、ポイントの付与にかかる処理のセキュリティを向上する必要がある。特に、最近では、店員による端末の不正な操作によって、ポイントの付与が不正に行われる事例が報告されている。

一方で、クレジット取引を処理する決済端末における、店員等による不正な操作を防止する技術が特許文献１に記載されている。この特許文献１の決済端末は、開封されたことをセンサで検知すると、決済動作を停止する構成である。決済端末を開封することは、スキミング等によるカード番号の漏洩を防止するため、通常の使用において禁止している行為である。

特許文献１の決済端末は、停止した決済動作を再開する場合、端末管理サーバに対して決済開始を要求し、端末管理サーバから決済開始許可を受ける構成である。また、端末管理サーバは、決済開始を要求してきた決済端末について、登録情報や決済開始要求の履歴情報等を参照し、当該決済端末に対して決済開始を許可するか、拒否するかを判断する構成である。

なお、決済端末は、端末管理サーバによって決済開始が許可されなければ（拒否されれば）、停止した決済動作を再開しない。

特開２００４− ８６３２６号公報

しかしながら、特許文献１に記載された決済端末は、端末本体の物理的な状態の変化によって、通常の使用において禁止されている行為（例えば、開封）が行われたことを検知すると、決済動作を停止する構成である。すなわち、特許文献１に記載された決済端末は、端末本体の状態が物理的に変化しない行為であれば、その行為が不正なものであっても、決済動作を停止させることができない。

例えば、ポイントサービスにおいては、取引時に、顧客がカードを提示しなかったとき、店員が自分または友人等のカードを使用して取引を処理し、ポイントを不正に付与させる事例が報告されている。この事例では、取引を行っていない人（すなわち、取引で使用されたカードの所有者）に対してポイントの付与が行われる。特許文献１に記載された技術では、この事例のように、本体の状態が物理的に変化しない不正な操作に対して、取引のセキュリティを確保することができなかった。

この発明の目的は、取引で使用するカードのカードデータを読み取る端末での不正な操作に対して、取引のセキュリティを向上させる技術を提供することにある。

この発明の端末管理装置は、上記目的を達するために、以下のように構成している。

端末管理装置は、通信部において、端末で読み取った取引で使用するカードのカードデータを含む処理要求を受信する。通信部は、端末と直接通信する構成であってもよいし、端末が読み取ったカードデータを通知する装置と通信する構成であってもよい。

処理実行部が、通信部で受信した処理要求に応じた処理を実行する。例えば、処理実行部は、ポイントサービスにかかる処理を実行する構成であってもよいし、クレジット取引にかかる処理を実行する構成であってもよいし、デビット取引にかかる処理を実行する構成であってもよいし、その他の処理を実行する構成であってもよい。

判定部が、各端末について、その端末で読み取ったカードデータを含む処理要求が不正なものである可能性が高いかどうかを判定する。例えば、判定部は、履歴情報記憶部に記憶している、通信部で受信した処理要求の履歴を用いて、処理要求が不正なものである可能性が高い端末であるかどうかを判定する。処理要求が不正なものである可能性が高い端末は、不正な操作が行われている可能性が高いと推定される。判定部は、例えば、同じカードを使用する取引にかかる処理要求が設定時間の間に第１の設定回数を超えている端末を、処理要求が不正なものである可能性が高いと判定してもよいし、同じカードを使用する取引にかかる処理要求が第２の設定回数を超えて連続している端末を、処理要求が不正なものである可能性が高いと判定してもよい。

そして、処理制限部が、処理実行部に対して、判定部において処理要求が不正なものである可能性が高いと判定された端末について、その端末で読み取ったカードデータを含む処理要求に応じた処理の実行を制限する。したがって、取引で使用するカードのカードデータを読み取る端末での不正な操作に対して、取引のセキュリティを向上させることができる。

また、端末をグループに分類して管理するグループ管理部を備え、処理制限部が処理実行部に対して、判定部において処理要求が不正なものである可能性が高いと判定された端末、および当該端末と同じグループに属する他の端末についても、その端末で読み取ったカードデータを含む処理要求に応じた処理の実行を制限する構成にしてもよい。

例えば、端末を設置されている店舗でグループに分類することによって、店員等が端末を不正に操作している可能性が高い店舗に設置されている全ての端末について、その端末で読み取ったカードデータを含む処理要求に応じた処理の実行を制限することができる。

この発明によれば、取引で使用するカードのカードデータを読み取る端末での不正な操作に対して、取引のセキュリティを向上させることができる。

この例にかかるポイントサービスシステムを示す概略図である。 ポイント管理サーバの主要部の構成を示すブロック図である。 端末管理情報記憶ＤＢに記憶している端末管理情報を説明する図である。 あるカード処理端末の履歴情報を示す図である。 カード処理端末の主要部の構成を示すブロック図である。 カード処理端末の動作を示すフローチャートである。 ポイント管理サーバの動作を示すフローチャートである。 ｓ１５にかかる処理停止端末登録判定処理を示すフローチャートである。 登録解除判定処理を示すフローチャートである。

以下、この発明の実施形態について説明する。

＜１．適用例＞
図１は、この発明の実施形態にかかる端末管理装置を用いたポイントサービスシステムを示す概略図である。このポイントサービスシステム（以下、ポイントシステムと言う。）は、ポイント管理サーバ１と、複数のカード処理端末２とを備える。ポイント管理サーバ１には、ネットワーク５を介して複数のカード処理端末２が接続されている。ポイント管理サーバ１は、カード処理端末２との間におけるデータ通信をネットワーク５を介して行う。

この例では、ポイント管理サーバ１は、本ポイントシステムの運営を管理する。この例では、ポイント管理サーバ１が、この発明にかかる端末管理装置の実施形態に相当する。ポイント管理サーバ１は、例えばセンタに設置されている。また、カード処理端末２は、本ポイントシステムを利用し、顧客に対してポイントサービスを実施している店舗に設置されている。このポイントシステムでは、設置されているカード処理端末２が１台である店舗もあれば、複数台である店舗もある。この例では、カード処理端末２が、この発明で言う端末に相当する。

この例のポイントシステムにおいて、ポイントサービスが受けられる顧客には、ポイントカード（以下、単にカードと言う。）が発行されている。カードには、少なくともカードを識別するカード番号がカードデータとして記録されている。カードは、カード番号を磁気データで記録した磁気カードであってもよいし、カード番号をＩＣに記録した接触式のＩＣカード（ＩＣ接点をカード表面に露出形成したＩＣカード）であってもよいし、カード番号をＩＣに記録した非接触式のＩＣカード（近距離無線機能を有するＩＣカード）であってもよいし、さらにはカード番号を示す１次元バーコードまたは２次元バーコードを印刷したカードであってもよい。さらには、カードは、例えば磁気カードと接触式のＩＣカードの複合カードであってもよいし、その他の組合せによる複合カードであってもよい。

顧客は、店舗で取引を行うときに、カードを使用する。店員は、顧客のカードに記録されているカード番号を含むカードデータをカード処理端末２に読み取らせる。カード処理端末２は、カードから読み取ったカード番号を含むポイント処理要求をポイント管理サーバ１に送信する。このポイント処理要求には、カード番号以外にも、カード処理端末２の識別コード、今回の取引に付与した取引番号、今回の取引にかかる取引金額等が必要に応じて含まれている。この例では、少なくとも、カード番号に加えて、カード処理端末２の識別コード、今回の取引に付与した取引番号、および今回の取引にかかる取引金額がポイント処理要求に含まれているものとして説明する。また、取引番号は、この例では、取引毎にインクリメント（プラス１）される番号であり、取引の識別に用いることができるとともに、取引が処理された順番の確認も行える。

ポイント管理サーバ１は、カード処理端末２毎に、そのカード処理端末２で読み取ったカードデータを含むポイント処理要求が不正なものである可能性が高いかどうかを判定する。また、ポイント管理サーバ１は、ポイント処理要求が不正なものである可能性が高いと判定したカード処理端末２を処理停止端末として登録する。また、ポイント管理サーバ１は、処理停止端末として登録しているカード処理端末２について、予め定めた解除条件を満足する登録解除要求を受け付けると、処理停止端末としての登録を解除する。ポイント管理サーバ１は、例えばカード処理端末２に対して予め定めた登録解除端末（不図示）から、適正な暗証番号を含む登録解除要求を受け付けたときに、予め定めた解除条件を満足する登録解除要求であると判断する。

この登録解除端末は、カード処理端末２が設置されている店舗以外の場所に設置するのが好ましい。すなわち、カード処理端末２、および登録解除端末が、同じ場所で操作できないように設置するのが好ましい。

また、ポイント管理サーバ１は、処理停止端末として登録しているカード処理端末２については、そのカード処理端末２から送信されてきたポイント処理要求に応じた処理を実行しない。反対に、ポイント管理サーバ１は、処理停止端末として登録していないカード処理端末２から送信されてきたポイント処理要求に応じた処理を実行する。したがって、このポイントシステムでは、取引で使用するカードのカードデータを読み取るカード処理端末２での不正な操作に対して、取引のセキュリティを向上させることができる。

なお、この例では、ポイント管理サーバ１と、カード処理端末２とがネットワーク５を介して直接通信する構成であるとして説明するが、カード処理端末２が、商品の登録等を行うＰＯＳ端末に接続され、このＰＯＳ端末がネットワーク５を介してポイント管理サーバ１と通信する構成であってもよい（カード処理端末２がネットワーク５に接続されていない構成であってもよい。）。この場合には、カード処理端末２は、カードから読み取ったカードデータをＰＯＳ端末に通知する。そして、ＰＯＳ端末が、ポイント処理要求を生成し、ポイント管理サーバ１に送信する。すなわち、どちらの構成であっても、ポイント管理サーバ１は、送信されてきたポイント処理要求に含まれているカードデータを読み取ったカード処理端末２について、ポイント処理要求が不正なものである可能性が高いかどうかを判定する。

＜２．構成例＞
図２は、この例にかかるポイント管理サーバの主要部の構成を示すブロック図である。ポイント管理サーバ１は、制御ユニット１１と、通信部１２と、端末管理情報記憶データベース１３（端末管理情報記憶ＤＢ１３）と、履歴情報記憶データベース１４（履歴情報記憶ＤＢ１４）と、ポイント管理情報記憶データベース１５（ポイント管理情報記憶ＤＢ１５）とを備えている。

制御ユニット１１は、ポイント管理サーバ１本体各部の動作を制御する。また、制御ユニット１１は、判定部１１ａ、処理停止端末記憶部１１ｂ、処理制限部１１ｃ、および処理実行部１１ｄを有する。判定部１１ａ、処理停止端末記憶部１１ｂ、処理制限部１１ｃ、および処理実行部１１ｄの詳細については、後述する。

通信部１２は、ネットワーク５を介して、店舗に設置されているカード処理端末２との間でデータ通信を行う。

端末管理情報記憶ＤＢ１３は、カード処理端末２の管理に用いる端末管理情報を記憶する。図３は、端末管理情報記憶ＤＢに記憶している端末管理情報を説明する図である。端末管理情報は、図３に示すように、カード処理端末２毎に、識別コード、ＩＰアドレス、店舗コード、営業時間、通知先アドレス、解除端末識別コード、および暗証番号等を対応付けて登録した情報である。識別コードは、カード処理端末２固有のコードであり、カード処理端末２を特定できる。ＩＰアドレスは、カード処理端末２に割り当てられているＩＰアドレスを示す。店舗コードは、カード処理端末２が設置されている店舗を識別するコードである。営業時間は、カード処理端末２が設置されている店舗の営業時間を示す。通知先アドレスは、カード処理端末２を処理停止端末として登録したときに、その旨を通知する連絡先のメールアドレスである。解除端末識別コードは、登録解除端末を識別するコードである。登録解除端末は、通知先アドレスに送信された電子メールを受信できるように設定されていてもよいし、設定されていなくてもよい。暗証番号は、カード処理端末２について、処理停止端末の登録解除に用いる。

履歴情報記憶ＤＢ１４は、送信されてきたポイント処理要求の履歴を記憶する。具体的には、送信されてきたポイント処理要求を、そのポイント処理要求に含まれていたカード処理端末２の識別コードで分類して、履歴を記憶する。図４は、識別コードがＡＡ００１２３であったポイント処理要求の履歴を示す図である。この履歴は、送信されてきたポイント処理要求毎に、そのポイント処理要求の受信時刻、そのポイント処理要求を送信してきた装置のＩＰアドレス、そのポイント処理要求に含まれていた取引番号、およびそのポイント処理要求に含まれていたカード番号等を対応付けて登録したものである。この例では、履歴情報記憶ＤＢ１４が、この発明で言う履歴情報記憶部に相当する。

なお、識別コードがＡＡ００１２３であったポイント処理要求の履歴には、識別コードがＡＡ００１２３であるカード処理端末２になりすました端末（以下、なりすまし端末と言う。）からポイント処理要求が送信されてきている場合、このなりすまし端末から送信されてきたポイント処理要求が含まれる。

ポイント管理情報記憶ＤＢ１５は、ポイントカード毎に、そのポイントカードのカード番号と、現時点の保有ポイント数とを対応付けたポイント管理情報を記憶している。ポイント管理情報には、そのポイントカードを発行した顧客の住所、氏名、年齢、連絡先電話番号、連絡先メールアドレス等の情報が含まれていてもよいし、含まれていなくてもよい。

次に、制御ユニット１１が有する判定部１１ａ、処理停止端末記憶部１１ｂ、処理制限部１１ｃ、および処理実行部１１ｄについて説明する。判定部１１ａは、カード処理端末２毎に、そのカード処理端末２から送信されてくるポイント処理要求が、そのカード処理端末２等における不正な操作によるものである可能性が高いかどうかを判定する。判定部１１ａは、例えば、以下に示す（１）〜（６）の判定項目について判定し、少なくともいずれか１つについて該当すると判定した場合に、そのカード処理端末２から送信されてくるポイント処理要求が、そのカード処理端末２等における不正な操作によるものである可能性が高いと判定する。

（１）設定時間（例えば、直近の３０分程度）の間に同じカードに対するポイント処理要求を第１の設定回数（例えば、３回程度）を超えて送信してきている。
（２）第２の設定回数（例えば、３回程度）連続して同じカードに対するポイント処理要求を送信してきている。
（３）今回のポイント処理要求の受信時刻が設置されている店舗の営業時間外である。
（４）ポイント処理要求を送信してきたカード処理端末２のＩＰアドレスが、登録されているＩＰアドレスと異なる。
（５）時間的に連続するポイント処理要求に含まれている取引番号の差が所定値（例えば、２０程度）よりも大きい。
（６）時間的に連続するポイント処理要求に含まれている取引番号が減少している。

上記（１）〜（３）は、主にカード処理端末２において不正な操作が行われているかどうかを判定するための判定項目であり、（４）〜（６）は、主になりすまし端末から不正なポイント処理要求が送信されてきているかどうかを判定するための判定項目である。

なお、上記（１）〜（６）にかかる判定項目は、あくまでも例示である。ポイント処理要求が、そのカード処理端末２等における不正な操作によるものである可能性が高いかどうかの判定に用いる判定項目は、上記以外の判定項目（他の判定項目）を用いてもよい。また、ポイント処理要求が、そのカード処理端末２等における不正な操作によるものである可能性が高いかどうかの判定に用いる判定項目は、上記（１）〜（６）の一部であってもよいし、上記（１）〜（６）の一部と他の判定項目とを組み合わせたものであってもよい。

判定部１１ａは、送信されてくるポイント処理要求が不正な操作によるものである可能性が高いと判定したカード処理端末２の識別コードを処理停止端末記憶部１１ｂに登録（記憶）する。処理停止端末記憶部１１ｂは、例えば不揮発性のメモリで構成される。処理停止端末記憶部１１ｂが識別コードを記憶しているカード処理端末２が処理停止端末である。

処理制限部１１ｃは、ポイント処理要求に含まれているカード処理端末２の識別コードが、処理停止端末記憶部１１ｂに処理停止端末として登録されているかどうかを判定する。処理制限部１１ｃは、処理停止端末として登録されていると、処理実行部１１ｄに対して、今回のポイント処理要求にかかるポイント処理の実行を禁止する。

処理実行部１１ｄは、ポイント処理の実行が指示されると、今回のポイント処理要求に応じたポイント処理を実行する。反対に、処理実行部１１ｄは、処理制限部１１ｃによって実行が禁止されると、今回のポイント処理要求に応じたポイント処理を実行しない。

この例にかかるポイント管理サーバ１の制御ユニット１１は、ハードウェアＣＰＵ、メモリ、その他の電子回路によって構成されている。ハードウェアＣＰＵが、この発明にかかる端末管理プログラムを実行したときに、判定部１１ａ、処理制限部１１ｃ、および処理実行部１１ｄとして動作する。また、メモリは、この発明にかかる端末管理プログラムを展開する領域、処理停止端末記憶部１１ｂとして利用する領域、および端末管理プログラムの実行時に生じたデータ等を一時記憶する領域を有している。制御ユニット１１は、ハードウェアＣＰＵ、メモリ等を一体化したＬＳＩであってもよい。また、ハードウェアＣＰＵが、この発明にかかる端末管理方法を実行するコンピュータである。

次に、カード処理端末２について説明する。図５は、カード処理端末の主要部の構成を示すブロック図である。カード処理端末２は、制御部２１と、通信部２２と、カード処理部２３と、操作部２４と、表示部２５と、入出力部２６とを備えている。制御部２１は、カード処理端末２本体各部の動作を制御する。

通信部２２は、ネットワーク５を介して、上述したポイント管理サーバ１との間でデータ通信を行う。カード処理部２３は、カードに記録されているカード番号を含むカードデータを読み取る。操作部２４は、カード処理端末２本体に対する入力操作を行うテンキー等を有する。表示部２５は、カード処理端末２本体を操作している店員に対するメッセージ等を表示する。入出力部２６は、商品の登録や取引金額の精算等にかかる処理を実行し、取引を処理するＰＯＳ端末（不図示）との間でデータを入出力するインタフェースである。

なお、カード処理端末２は、有線や無線でＰＯＳ端末に接続される構成に限らず、ＰＯＳ端末に組み込まれたものであってもよい。

＜３．動作例＞
図６は、カード処理端末の動作を示すフローチャートである。また、図７は、ポイント管理サーバの動作を示すフローチャートである。ここでは、ポイントサービス時におけるカード処理端末２の動作を説明する。

カード処理端末２は、カード処理部２３において、取引に使用されるカードに記録されているカードデータの読み取りが行われるのを待つ（ｓ１）。取引に使用されるカードの種類は、上述したように、磁気カード、接触式のＩＣカード、非接触式のＩＣカード、光学的読取カード等である。

カード処理端末２は、カード処理部２３がカードデータを読み取ると、取引データを習得する（ｓ２）。ｓ１で読み取ったカードデータには、少なくともカードを識別するカード番号が含まれている。また、ｓ２では、カード処理端末２は、今回の取引にかかる商品やサービスを登録したＰＯＳ端末から少なくとも、今回の取引の取引金額を含む取引データを取得する。カード処理端末２は、入出力部２６に接続されているＰＯＳ端末から取引データを取得する。カード処理端末２は、通信部２２において、ポイント処理要求をポイント管理サーバ１に送信する（ｓ３）。

カード処理端末２が、ｓ３でポイント管理サーバ１に送信するポイント処理要求には、自端末の識別コード、自端末に割り当てられているＩＰアドレス、ｓ１で読み取ったカード番号、およびｓ２で取得した今回の取引の取引金額が含まれている。カード処理端末２は、ｓ３でポイント処理要求をポイント管理サーバ１に送信すると、このポイント管理サーバ１から今回送信したポイント処理要求の処理結果を受信するのを待つ（ｓ４）。

なお、ＰＯＳ端末がポイント管理サーバ１に対してポイント処理要求を送信するシステムであれば、カード処理端末２は、ｓ１で読み取ったカードデータをＰＯＳ端末に出力する。ＰＯＳ端末が、カード処理端末２から入力されたカードデータを含むポイント処理要求を生成し、ポイント管理サーバ１に送信する。

ポイント管理サーバ１は、図７に示すように、ネットワーク５を介して送信されてきた、ポイント処理要求、または登録解除要求を受信するのを待つ（ｓ１１、ｓ１２）。ポイント処理要求は、上述したように、この例ではカード処理端末２（またはなりすまし端末）から送信されてくる。また、登録解除要求は、登録解除端末から送信されてくる。

ポイント管理サーバ１は、通信部１２においてポイント処理要求を受信すると、今回受信したポイント処理要求を該当するカード処理端末２の識別コード（今回受信したポイント処理要求に含まれている識別コード）の履歴として履歴情報記憶ＤＢ１４に記憶する（ｓ１３）。また、ポイント管理サーバ１は、今回送信されてきたポイント処理要求に含まれていた識別コードが処理停止端末として登録されているかどうかを判定する（ｓ１４）。ｓ１４は、今回送信されてきたポイント処理要求に含まれていた識別コードが、処理停止端末記憶部１１ｂに記憶されているかどうかを判定する処理である。この例では、処理制限部１１ｃが、ｓ１４にかかる処理を実行する。

なお、ｓ１３にかかる処理と、ｓ１４にかかる処理の順番は、上記の説明と逆の順番で実行してもよい。

ポイント管理サーバ１は、処理制限部１１ｃがｓ１４で処理停止端末であると判定すると、現時点においてポイント処理が行えないことをカード処理端末２に通知する通知処理を行い（ｓ１８）、ｓ１１に戻る。このとき、処理制限部１１ｃは、処理実行部１１ｄに対して、今回受信したポイント処理要求にかかるポイント処理の実行を禁止する。したがって、処理制限部１１ｃがｓ１４で処理停止端末であると判定すると、今回受信したポイント処理要求にかかるポイント処理は実行されない。このため、今回の取引で使用されたカードに対して、今回の取引に応じたポイントの付与は行われない。

また、ポイント管理サーバ１は、処理制限部１１ｃがｓ１４で処理停止端末でないと判定すると、判定部１１ａが処理停止端末登録判定処理を実行する（ｓ１５）。ｓ１５にかかる処理停止端末登録判定処理は、不正な操作が行われている可能性が高いカード処理端末２、およびポイント処理要求を送信してくるなりすまし端末が存在しているカード処理端末２の識別コードを処理停止端末記憶部１１ｂに登録する処理である。

図８は、ｓ１５にかかる処理停止端末登録判定処理を示すフローチャートである。この例では、判定部１１ａは、今回受信したポイント処理要求の送信元であるカード処理端末２について、上述した（１）〜（６）の判定項目のそれぞれについて、該当するかどうかを判定する。判定部１１ａは、今回のポイント処理要求が上記（１）〜（６）のいずれかの判定項目に該当すると（ｓ３２）、処理停止端末であると判定し（ｓ３３）、本処理を終了する。また、判定部１１ａは、今回のポイント処理要求が上記（１）〜（６）のいずれの判定項目にも該当しなければ（ｓ３２）、処理停止端末でないと判定し（ｓ３４）、本処理を終了する。

図７に戻って、ポイント管理サーバ１は、ｓ１５にかかる処理停止端末登録判定処理で処理停止端末であると判定すると、今回ポイント処理要求に含まれていたカード処理端末２の識別コードを処理停止端末記憶部１１ｂに記憶させる登録処理を行う（ｓ１６、ｓ１７）。また、ｓ１７では、今回処理停止端末として登録した識別コードのカード処理端末２について、登録されている通知先アドレスを宛先とした電子メールで、カード処理端末２を処理停止端末に登録したことを通知する。さらに、ポイント管理サーバ１は、ｓ１８で現時点においてポイント処理が行えないことをカード処理端末２に通知する通知処理を行い、ｓ１１に戻る。

また、ポイント管理サーバ１は、ｓ１５にかかる処理停止端末登録判定処理で処理停止端末でないと判定すると、今回送信されてきたポイント処理要求に対するポイント処理を実行する（ｓ１６、ｓ１９）。ｓ１９では、処理実行部１１ｄが今回の取引で付与するポイント数を算出し、ポイント管理情報記憶ＤＢ１５に記憶している該当するカード（今回の取引で使用されたカード）の保有ポイント数を、現在の保有ポイント数に今回算出したポイント数を加算した値に更新する。

ポイント管理サーバ１は、ｓ１９におけるポイント処理の処理結果をカード処理端末２に出力し（ｓ２０）、ｓ１１に戻る。

また、ポイント管理サーバ１は、ｓ１２で登録解除要求を受信したと判定すると、登録解除判定処理を実行し（ｓ２１）、ｓ１１に戻る。図９は、登録解除判定処理を示すフローチャートである。

上述したように、ポイント管理サーバ１は、ｓ１７における登録処理において、通知先アドレスを送信先とした電子メールによって、カード処理端末２を処理停止端末として登録したことを通知している。すなわち、店舗の管理者は、ポイント管理サーバ１から送信されてきた電子メールによって、カード処理端末２が処理停止端末に設定されたことを認識している。店舗の管理者は、店員による不正な操作が行われていないことを確認すると、予め定めた登録解除端末を操作して、登録解除要求をポイント管理サーバ１に送信する。この登録解除要求には、処理停止端末の登録解除を要求するカード処理端末２の識別コード、登録解除端末の識別コード、および暗証番号が含まれている。

なお、ここで言う店舗の管理者とは、当該店舗の責任者であってもよいし、ポイントカードシステムを運営している会社の担当者であってもよい。

ポイント管理サーバ１は、受信した登録解除要求に含まれている、処理停止端末の登録解除を要求するカード処理端末２の識別コードが、処理停止端末記憶部１１ｂに記憶されているかどうかを判定する（ｓ４１）。すなわち、ｓ４１では、今回受信した登録解除要求が、その時点において処理停止端末として登録されている識別コードのカード処理端末２に対するものであるかどうかを判定している。ポイント管理サーバ１は、今回受信した登録解除要求が、その時点において処理停止端末として登録されていない識別コードのカード処理端末２に対するものであれば、本処理を終了する。

また、ポイント管理サーバ１は、今回受信した登録解除要求を送信してきた登録解除端末が適正であるかどうかを判定する（ｓ４２）。ｓ４２では、処理停止端末の登録解除を要求されたカード処理端末２に対応付けられている登録解除端末であるかどうかを判定している。図３に示したように、端末管理情報には、カード処理端末２の識別コードと、登録解除端末の識別コードとが対応付けられている。ポイント管理サーバ１は、今回受信した登録解除要求を送信してきた登録解除端末が適正でないと判定すると、本処理を終了する。

また、ポイント管理サーバ１は、今回受信した登録解除要求を送信してきた登録解除端末が適正であると判定すると、暗証番号が適正であるかどうかを判定する（ｓ４３）。ｓ４３では、店舗の管理者による適正な登録解除要求であるかどうかを判定している。図３に示したように、端末管理情報には、カード処理端末２の識別コードと、暗証番号とが対応付けられている。ポイント管理サーバ１は、暗証番号が適正でない（今回受信した登録解除要求が店舗の管理者による適正な登録解除要求でない）と判定すると、本処理を終了する。

ポイント管理サーバ１は、ｓ４３で暗証番号が適正であると判定すると、処理停止端末記憶部１１ｂに記憶されている、今回処理停止端末の登録解除を要求されたカード処理端末２の識別コードを削除する（ｓ４４）。これにより、カード処理端末２は、処理停止端末の登録が解除される。

なお、上述したｓ４１、ｓ４２、およびｓ４３にかかる処理の順番は、上記した順番に限らず、どのような順番で行われてもよい。

図６に戻って、カード処理端末２は、ｓ４でポイント管理サーバ１からの処理結果を受信すると、処理結果を出力し（ｓ５）、ｓ１に戻る。ｓ５では、ＰＯＳ端末に対して、ポイント処理が停止されていて行えない旨の通知、または今回の取引で付与されたポイントを加算した保有ポイント数の通知を行う。

このように、この例にかかるポイント管理サーバ１は、店員等によって不正な操作が行われている可能性が高い場合や、なりすまし端末による不正なポイント処理要求が送信されてきている可能性が高い場合に、カード処理端末２を処理停止端末として登録する。また、ポイント管理サーバ１は、処理停止端末として登録したカード処理端末２（このカード処理端末２になりすました端末を含む）からのポイント処理要求に対してポイント処理を行わない。したがって、ポイントが不正に取得されるのを防止でき、ポイントサービスにかかるセキュリティの向上が図れる。

また、登録解除端末において、処理停止端末の登録の解除が行える。

＜４．変形例＞
上記の例では、ポイント管理サーバ１は、不正な操作によるポイント処理要求を送信してきている可能性が高いと判定したカード処理端末２を処理停止端末として登録する構成であった。この変形例にかかるポイント管理サーバ１は、カード処理端末２をグループに分類して管理し、不正な操作によるポイント処理要求を送信してきている可能性が高いと判定したカード処理端末２があると、このカード処理端末２が属するグループの他のカード処理端末２についても、処理停止端末として登録する。

カード処理端末２を分類するグループは、例えば設置されている店舗にすればよい。例えば、図３に示した端末管理情報には、識別コードがＡＡ００１２３であるカード処理端末２と、識別コードがＡＡ００１２４であるカード処理端末２とが、同じ店舗（店舗コードがＸＸ１２３４である店舗）に設置されていることが登録されている。判定部１１ａは、識別コードがＡＡ００１２３であるカード処理端末２、または識別コードがＡＡ００１２４であるカード処理端末２の一方について、店員等によって不正な操作が行われている可能性が高いと判定すると、識別コードがＡＡ００１２３であるカード処理端末２、および識別コードがＡＡ００１２４であるカード処理端末２を処理停止端末として登録する。

したがって、店員等がカード処理端末２を不正に操作している可能性が高い店舗に設置されている全てのカード処理端末２について、そのカード処理端末２から送信されてきたポイント処理要求に対するポイント処理の実行を制限することができる。これにより、取引で使用するカードのカードデータを読み取るカード処理端末２での不正な操作に対する、取引のセキュリティを一層向上させることができる。

この変形例では、端末管理情報記憶ＤＢ１３が、この発明で言うグループ管理部に相当する。

また、上記の例では、不正な操作が行われている可能性が高いと判定したカード処理端末２だけでなく、なりすましが存在している可能性が高いと判定したカード処理端末２についても処理停止端末として登録するとしたが、なりすまし端末が存在している可能性が高いと判定したカード処理端末２については処理停止端末として登録しない構成にしてもよい。このように構成すれば、なりすましによって、店舗における取引処理に影響がでるのを抑えられる。ただし、この場合には、なりすまし端末からのポイント処理要求である可能性が高いと判定した場合、そのポイント処理要求に応じたポイント処理を禁止する構成にすればよい。これにより、なりすまし端末に対するセキュリティを低下させることはない。

また、本願発明は、上述したポイントサービスを提供するポイントシステムに限らず、取引時にクレジットカードを使用するクレジット取引を処理するクレジット取引処理システム、取引時にデビットカードを使用するデビット取引処理システム等、取引時にカードを使用するカード処理システムに適用できる。

なお、この発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

さらに、この発明にかかる構成と上述した実施形態にかかる構成との対応関係は、以下の付記のように記載できる。
＜付記＞
端末（２）で読み取った取引で使用するカードのカードデータを含む処理要求を受信する通信部（１２）と、
前記通信部（１２）で受信した前記処理要求に応じた処理を実行する処理実行部（１１ｄ）と、
前記端末（２）について、その端末（２）で読み取ったカードデータを含む前記処理要求が不正なものである可能性が高いかどうかを判定する判定部（１１ａ）と、
前記処理実行部（１１ｄ）に対して、前記判定部（１１ａ）において前記処理要求が不正なものである可能性が高いと判定された前記端末（２）について、その端末（２）で読み取ったカードデータを含む前記処理要求に応じた処理の実行を制限する処理制限部（１１ｃ）と、を備えた端末管理装置（１）。

１…ポイント管理サーバ
２…カード処理端末
５…ネットワーク
１１…制御ユニット
１１ａ…判定部
１１ｂ…処理停止端末記憶部
１１ｃ…処理制限部
１１ｄ…処理実行部
１２…通信部
１３…端末管理情報記憶データベース（端末管理情報記憶ＤＢ）
１４…履歴情報記憶データベース（履歴情報記憶ＤＢ）
１５…ポイント管理情報記憶データベース（ポイント管理情報記憶ＤＢ）

Claims (8)

1. 端末で読み取った取引で使用するカードのカードデータを含む処理要求を受信する通信部と、
   前記通信部で受信した前記処理要求に応じた処理を実行する処理実行部と、
   前記端末について、その端末で読み取ったカードデータを含む前記処理要求が不正なものである可能性が高いかどうかを判定する判定部と、
   前記端末をグループに分類して管理するグループ管理部と、
   前記処理実行部に対して、前記判定部において前記処理要求が不正なものである可能性が高いと判定された前記端末、および当該端末と同じグループに属する他の前記端末について、その端末で読み取ったカードデータを含む前記処理要求に応じた処理の実行を制限する処理制限部と、を備えた端末管理装置。
2. 前記通信部で受信した前記処理要求の履歴を記憶する履歴情報記憶部を備え、
   前記判定部は、前記端末について、その端末で読み取ったカードデータを含む前記処理要求が不正なものである可能性が高いかどうかを、前記履歴情報記憶部に記憶している前記履歴を用いて判定する、請求項１に記載の端末管理装置。
3. 前記判定部は、前記処理要求が不正なものである可能性が高いと判定した前記端末を処理停止端末として登録するとともに、予め定めた解除条件を満足する登録解除の要求を受け付けた前記端末が前記処理停止端末として登録されていれば、その登録を解除する、請求項１、または２に記載の端末管理装置。
4. 前記判定部は、同じカードを使用する取引にかかる処理要求が設定時間の間に第１の設定回数を超えている前記端末を、前記処理要求が不正なものである可能性が高いと判定する、請求項１〜３のいずれかに記載の端末管理装置。
5. 前記判定部は、同じカードを使用する取引にかかる処理要求が第２の設定回数を超えて連続している前記端末を、前記処理要求が不正なものである可能性が高いと判定する、請求項１〜４のいずれかに記載の端末管理装置。
6. 前記処理実行部は、ポイントサービスにかかる処理を実行する、請求項１〜５のいずれかに記載の端末管理装置。
7. 通信部で受信した、端末で読み取った取引で使用するカードのカードデータを含む処理要求に応じた処理を実行する処理実行ステップと、
   前記端末について、その端末で読み取ったカードデータを含む前記処理要求が不正なものである可能性が高いかどうかを判定する判定ステップと、
   前記端末をグループに分類して管理するグループ管理ステップと、
   前記判定ステップにおいて前記処理要求が不正なものである可能性が高いと判定された前記端末、および当該端末と同じグループに属する他の前記端末について、その端末で読み取ったカードデータを含む前記処理要求に応じた処理を、前記処理実行ステップで実行するのを制限する処理制限ステップと、をコンピュータが実行する端末管理方法。
8. 通信部で受信した、端末で読み取った取引で使用するカードのカードデータを含む処理要求に応じた処理を実行する処理実行ステップと、
   前記端末について、その端末で読み取ったカードデータを含む前記処理要求が不正なものである可能性が高いかどうかを判定する判定ステップと、
   前記端末をグループに分類して管理するグループ管理ステップと、
   前記判定ステップにおいて前記処理要求が不正なものである可能性が高いと判定された前記端末、および当該端末と同じグループに属する他の前記端末について、その端末で読み取ったカードデータを含む前記処理要求に応じた処理を、前記処理実行ステップで実行するのを制限する処理制限ステップと、をコンピュータに実行させる端末管理プログラム。

Images