「決済まわりのセキュリティ対策を進めたい。でも、何から手を付ければいいのか分からない」。そう迷っている担当者の方は、決して少なくないはずです。
決済セキュリティは守備範囲が広く、手段ごとに弱点も違うため、個別の対策を寄せ集めるだけでは、どこかに抜けが残りがちです。ただ、身構えすぎなくても大丈夫です。2025年以降、EC加盟店の対策は「任意の推奨」から「実施を求められる義務」へと位置づけが変わり、押さえるべき軸ははっきりしてきました。
鍵になるのは、決済の流れを「決済前・決済時・決済後」で捉える視点と、「カード情報を自社で持つか、持たないか」という設計の判断です。この記事では、この2つを軸に、リスクの整理から取るべき対策、規模に応じた進め方、システム選定の見方までを順に解説します。自社のWebサイトに弱点が残っていないか気になる場合は、ユービーセキュアのWebアプリケーション脆弱性診断で洗い出す方法もあります。どこから着手すべきか迷うなら、まずは専門家への無料相談で現状を整理してみてください。
決済セキュリティで今、何が問われているのか
個別の対策に入る前に、ここ数年で何が変わったのかを押さえておきましょう。前提がずれていると、せっかくの対策も的を外してしまいます。大きく言えば、EC加盟店に求められる対策の範囲は広がり、考え方も決済の流れ全体を見る形へと整理されました。ここで押さえておきたいポイントは、次の2点です。
- 2025年以降、EC加盟店に義務化された対策とは
- 「決済前・決済時・決済後」で考える対策の全体像
2025年以降、EC加盟店に義務化された対策とは
決済セキュリティの基準として軸になるのが、クレジット取引セキュリティ対策協議会が策定する「クレジットカード・セキュリティガイドライン」です。このガイドラインは、経済産業省が所管する割賦販売法に基づく監督の実務上の指針として位置づけられています。つまり、名前こそ「ガイドライン」ですが、実質的には対応が求められる内容なのです（※1）。
2025年3月に公表された6.0版以降、EC加盟店には大きく2つの対応が求められるようになりました。ひとつはカード情報保護のための「システムやWebサイトの脆弱性対策」、もうひとつは不正利用対策としての「EMV 3-Dセキュアの導入」と「適切な不正ログイン対策」です。直接の罰則規定はありません。とはいえ、対応が不十分なら、カード会社などから是正を求められ、改善されなければ最終的に加盟店契約を解除される可能性もあります。罰則がないからと放置できる話ではないのです。
2025年3月に公表された6.0版以降、EC加盟店には大きく2つの対応が求められるようになりました。ひとつはカード情報保護のための「システムやWebサイトの脆弱性対策」、もうひとつは不正利用対策としての「EMV 3-Dセキュアの導入」と「適切な不正ログイン対策」です。直接の罰則規定はありませんが、対応が不十分なら、カード会社などから是正を求められ、改善されなければ最終的に加盟店契約を解除される可能性もあります。
ECサイトの脆弱性診断がどこまで義務化されているのか、対応状況や費用の目安は「ECサイトの脆弱性診断は義務化された？」で詳しく解説しているので合わせてご確認ください。
そもそも、なぜここまで対策が強化されたのでしょうか。
背景にあるのは、不正利用被害の深刻さです。クレジットカードの不正利用被害額は、2024年に555.0億円と過去最高を記録しました。2025年は510.5億円となり、前年比8.0%減と近年で初めて減少に転じています（※2）。減少の一因には、EMV 3-Dセキュアの義務化が挙げられます。ただ、被害の内訳を見ると、カード番号などの情報だけで決済される「番号盗用」が9割以上を占めており、ECを狙った手口が中心である状況は変わっていません（※2）。
※1 参考：経済産業省｜「クレジットカード・セキュリティガイドライン」が改訂されました
※2 参考：一般社団法人日本クレジット協会｜クレジットカード不正利用被害の発生状況
「決済前・決済時・決済後」で考える対策の全体像
ガイドライン6.0版以降で重視されているのが、決済の流れ全体を通して対策を考える発想です。これまでは、ログイン認証や決済画面といった機能を一つひとつ「点」で守る考え方が中心でした。そこから一歩進み、決済前・決済時・決済後という取引の流れ全体を「線」のようにつなげて守る形へと変わってきています。
決済の流れで見るリスクと対策の対応関係
| 場面 | 主なリスク | 代表的な対策 |
|---|---|---|
| 決済前 | 不正なアカウント登録、アカウントの乗っ取り | 不正ログイン対策（多要素認証、不審なログインの検知） |
| 決済時 | なりすまし、番号盗用による不正決済 | EMV 3-Dセキュア、不正検知 |
| 決済後 | 不正利用の確定、商品の不正な転売 | チャージバック対応、取引のモニタリング |
このうち決済前の不正ログイン対策は、対象となる場面がガイドラインで具体的に示されています。「会員登録」「会員ログイン」「属性情報変更」の3つです。示された対策のなかから、自社の状況に合うものを1つ以上導入することが求められます。
ここで大事なのは、どこか一か所を固めるだけでは足りない、という点です。たとえば決済時の認証をどれだけ強化しても、決済前にアカウントを乗っ取られてしまえば、不正はあっさり成立します。逆に言えば、3つの場面をそろえて初めて、守りが効いてくるのです。このあと紹介する対策も、決済前・決済時・決済後のどこに効くのかを意識すると、ぐっと頭に入りやすくなります。
決済手段別に見る主なリスク
決済手段が違えば、攻撃者が狙う弱点も変わります。
番号盗用のように手段をまたいで共通するものもあれば、QRコードやNFCに固有のものもあります。だからこそ、自社が扱う手段のリスクは押さえておきたいところです。ここでは、代表的な4つの切り口で整理してみましょう。
- クレジットカード決済のリスク
- QRコード決済のリスク
- スマホ・NFC決済のリスク
- 決済手段に共通するリスク
クレジットカード決済のリスク
EC決済の主役であるクレジットカードで、被害の大半を占めるのが「番号盗用」です。フィッシングや情報漏えいで抜き取られた番号が、そのまま使われてしまう手口ですね。さらに厄介なのが、実物のカードがなくても成立するタイプです。番号の規則性から有効な番号を機械的に生成する「クレジットマスター」、先頭の番号（BIN）を起点に残りを総当たりで割り出す「BIN攻撃」などが、これにあたります。
もうひとつ注意したいのが、チャージバックです。
これは「身に覚えのない請求がある」といった理由で、利用者がカード会社へ支払いの取消しを求める仕組みを指します。不正利用が起きれば、加盟店は売上を失うことになります。やっかいなことに、本人の取引なのに虚偽の申告で返金を狙う「フレンドリーフラウド」も存在します。だからこそ、本人確認を徹底し、加盟店側に落ち度がないと示せる状態にしておくことが備えになります。
この点で心強いのが、EMV 3-Dセキュアです。適切に認証を経た取引であれば、万一不正利用が起きても、チャージバックの負担は原則としてカード会社側へ移ります。
QRコード決済のリスク
QRコード決済で代表的なのが、「すり替え（ステッカー詐欺）」です。店頭に掲示したコードを別のものに貼り替え、売上を攻撃者の口座へ送らせる手口ですね。ほかにも、利用者が表示したコードを第三者がこっそり撮る「盗撮」、支払い完了画面を偽装して支払い済みと見せかける「決済画面の偽造」などがあります。
これらは、目視だけで判断していると気付きにくいのが厄介な点です。対策はシンプルです。掲示したコードを定期的に確認すること、そして決済の完了をPOSなどのシステムでその場で確かめることです。こうした地道な運用が、被害を防ぐ近道になります。
なお、すり替えが成立するのは、店頭に貼り出す「静的なコード」を使っている場合です。決済のたびに端末が生成する「動的なコード」であれば、貼り替えのリスクはありません。自社がどちらの方式かによって、警戒すべき点は変わってきます。
スマホ・NFC決済のリスク
Apple PayやGoogle Pay、タッチ決済といったNFC決済は、ごく近距離での通信を前提にしているため、本来は傍受されにくい方式です。
とはいえ、油断はできません。中継装置を不正に仕掛けたり、不正アプリをインストールさせたりすることで、攻撃が成立するケースがあります。通信を不正に中継する「リレー攻撃」、正規の通信データを記録して再送する「リプレイ攻撃」、通信経路でデータを盗み取る「スニッフィング」などです。
利用者が、便利なツールを装った不正アプリをうっかり入れてしまい、裏側で決済情報を抜かれる事例もあります。対策としては、通信の暗号化、端末の物理的な管理、そしてワンタイムトークンによる再送防止などが効いてきます。
決済手段に共通するリスク
手段を問わず共通するのが、情報漏えい、フィッシング、なりすまし（不正ログイン）です。決済では、利用者・加盟店・決済事業者と複数の関係者がデータをやり取りします。そのため、どこか一か所でもセキュリティが甘ければ、そこから情報が漏れてしまいます。そして漏れた情報は、番号盗用やアカウントの乗っ取りへと、まっすぐつながっていきます。
しかも、こうした脅威は一過性のものではありません。スマホ決済の不正利用やクレジットカード情報の不正利用は、IPAの「情報セキュリティ10大脅威」で個人向けの脅威として、毎年のように取り上げられ続けています。
2026年版でも、クレジットカード情報の不正利用は11年連続、スマホ決済の不正利用は7年連続での選出です。一時の流行ではなく、決済につきまとう恒常的な脅威だと捉えておくべきでしょう。
事業者・加盟店が取るべきセキュリティ対策
いよいよ本題です。「自社で何を、どこまでやるか」。その答えは、まずカード情報を自社で持つかどうかで大きく変わります。持たない設計にすれば、守るべき範囲はぐっと狭まり、後続の対策も軽くなります。そのうえで、不正利用対策・脆弱性対策・基盤的な対策を重ねていきます。この順序で考えると、迷いが減ります。この章で扱うのは、次の4つです。
- カード情報を「持たない」設計＝非保持化とPCI DSS
- 不正利用対策（EMV 3-Dセキュア・不正ログイン対策・不正検知）
- システム・Webサイトの脆弱性対策
- 通信暗号化・認証・アクセス制御・ログ管理
カード情報を「持たない」設計＝非保持化とPCI DSS
対策の起点になるのが、カード情報の非保持化です。これは、加盟店がカード番号や有効期限、セキュリティコードを保存も処理もせず、決済処理を決済代行事業者などに委ねる仕組みを指します。自社のサーバーにカード情報が残らなければ、どうなるでしょうか。万一攻撃を受けても、漏れる情報は限られます。守るべき範囲そのものが、小さくなるわけです。
なお、非保持化として認められるには、「保存しない」「処理しない」に加えて「通過しない」ことが必要です。つまり、カード情報が自社のサーバーやネットワークを一瞬でも経由しない設計にしておかなければなりません。
では、自社でカード情報を持つ場合はどうでしょうか。その場合は、カード会員データ保護の国際基準である「PCI DSS」への準拠が必要になります。準拠には、相応の体制とコストがかかります。ですから、まずは「持たない」を起点に検討し、どうしても保持が必要な範囲だけPCI DSS準拠で固めていきます。これが、現実的な進め方です。経済産業省のガイドラインでも、カード情報の非保持化、またはPCI DSS準拠が求められています。
不正利用対策（EMV 3-Dセキュア・不正ログイン対策・不正検知）
不正利用対策は、決済前・決済時・決済後の流れに沿って重ねるのが基本です。決済時の中心になるのが、EMV 3-Dセキュア（3Dセキュア2.0）です。リスクが高い取引だけに追加認証を求める「リスクベース認証」を使い、利用者の手間を抑えながら本人確認を強化します。2025年以降は、原則としてすべてのEC加盟店に導入が求められています。
あわせて押さえておきたいのが、導入して終わりではないという点です。ガイドラインは、原則として決済の都度、EMV 3-Dセキュアによる認証を実施することを求めています。導入済みでも、一部の取引でしか認証していなければ、求められる水準を満たしていないことになります。
ただし、ここで安心してはいけません。決済時の認証だけでは、決済前のアカウント乗っ取りは防げないからです。多要素認証や不審なログインの検知で決済前を守り、異常な取引パターンを見つける不正検知システムで決済時から決済後までを補います。こうした多層的な構えがあって、はじめて効果を発揮します。「3Dセキュアを入れたから大丈夫」とはならない点に、注意してください。
システム・Webサイトの脆弱性対策
6.0版で新たに義務化されたのが、ECのシステムやWebサイトの脆弱性対策です。具体的には、管理画面へのアクセス制限、管理者IDとパスワードの適切な管理、ディレクトリの設定不備への対策、Webアプリケーションのセキュアなコーディング、ウイルス対策ソフトの導入と更新などが含まれます。
なぜここが重要なのでしょうか。脆弱性を突いてサイトを改ざんし、入力されたカード情報を抜き取る手口で、実際に被害が出ているからです。こうした穴は、普段の運用ではなかなか気付けません。だからこそ、定期的な脆弱性診断で外部から客観的に確認し、見つかった問題から順に塞いでいく取り組みが効いてきます。
とはいえ、診断のノウハウを自社で抱えるのは、簡単ではありません。そんな場合は、ユービーセキュアのWebアプリケーション脆弱性診断のように、Webアプリ特有の弱点を網羅的に洗い出す専門サービスを使う手もあります。
ECサイトを対象とした診断の進め方や費用感は、ECサイトの脆弱性診断に関する記事でも具体的に解説しています。
通信暗号化・認証・アクセス制御・ログ管理
ここまでの対策を足元で支えるのが、基盤的なセキュリティ管理です。通信はSSL/TLSで暗号化し、証明書の有効期限まで含めて管理します。システムへのアクセスは、管理者と一般利用者の権限を分け、最小権限の原則で付与します。そして、不要になった権限は定期的に棚卸ししておきます。
あわせて欠かせないのが、操作履歴やアクセスログの記録と、定期的な監査です。これは、問題が起きたときの原因特定や再発防止に直結します。決済システムを選ぶ際にも、こうしたログの仕組みが備わっているかは確認しておきたいポイントです。
その際、ログを「どれだけの期間、どのように保全するか」まで決めておきましょう。侵入に気付くのが数か月後になることも珍しくなく、その時点でログが上書きされていれば、何が起きたのかを追えません。攻撃者に消されないよう、書き換えのできない形で保管しておくことも重要です。
事業規模・段階別の対策ロードマップ
対策は、一度にすべて導入する必要はありません。ただし、例外があります。義務化された対応（EMV 3-Dセキュアと脆弱性対策）と、カード情報の非保持化です。この2つだけは、規模に関わらず早めに押さえておきたいところです。残りは、事業の成長に合わせて積み上げていけば無理がありません。目安を段階別に整理すると、次のようになります。
事業規模・成長段階別に優先したい対策の目安
| 段階 | 優先する対策 |
|---|---|
| 立ち上げ期 | SSL/TLSによる通信暗号化、非保持化（決済代行の活用）、EMV 3-Dセキュアの導入、基本的な不正ログイン対策、データのバックアップ |
| 成長期 | 不正検知システムの導入、定期的な脆弱性診断、権限管理とログ監査の整備、従業員へのセキュリティ教育 |
| 成熟期 | セキュリティ専任担当の配置、24時間体制の監視、インシデント対応体制と事業継続の準備 |
逆に言えば、立ち上げ期だからといって、非保持化や義務化対応を後回しにするのは危険です。取引量が増えてからまとめて対応しようとすると、改修の負担も、被害のリスクも、ふくらみやすくなります。
自社で不正利用が実際に発生した場合は例外です。ガイドラインは、そうした加盟店に対して、被害の状況に応じた対策の追加導入を求めています。事業の段階に関わらず、不正が起きればその時点で次の手を打つ必要があります。
決済システム・決済代行の選び方と外部委託の判断
ここまで挙げた対策の多くは、どの決済システムや決済代行サービスを選ぶかで、自社が背負う負担が大きく変わります。判断の軸は、シンプルです。標準でどこまで備わっているか、第三者の認証を受けているか、困ったときに支えてもらえるか。この3点で見ていくと、比較がぐっとしやすくなります。
- セキュリティ認証・準拠状況の確認
- 非保持化・不正検知などの標準対応範囲とサポート体制
- 自社対応か外部委託かの判断
セキュリティ認証・準拠状況の確認
サービスの安全性を客観的に測る材料になるのが、第三者機関による認証や、基準への準拠です。カード情報を扱う事業者ならPCI DSS準拠、組織全体の情報管理体制を示すISMS（ISO/IEC 27001）、サービス単位の内部統制を評価するSOC2レポートなどが代表的です。これらを取得し、維持できているかどうかは、一定の水準を満たしている証拠として確認しておきたい項目です。
とくにPCI DSSは、一度準拠すれば終わりというものではなく、年に一度の再評価が求められます。確認の際は「過去に取得したか」ではなく、「現在も維持されているか」まで見ておきましょう。
非保持化・不正検知などの標準対応範囲とサポート体制
機能面で見たいのは、カード情報の非保持化に対応しているか、EMV 3-Dセキュアや不正検知が標準で備わっているか、という点です。標準で提供されていれば、自社で個別に実装する手間を省けます。そしてもうひとつ、見落としがちなのがサポート体制です。トラブルやインシデントが起きたときの問い合わせ窓口や対応時間、復旧支援の有無まで比較しておくと、運用が始まってからの安心感が違ってきます。
あわせて確かめておきたいのが、責任の分かれ目です。どこまでを代行事業者が担い、どこからが自社の責任になるのか。契約や仕様書で線引きを確認しておかないと、いざ問題が起きたときに対応が止まってしまいます。
自社対応か外部委託かの判断
セキュリティ対策を、すべて自社でまかなおうとするとどうなるでしょうか。最新の脅威への追従、継続的な脆弱性の発見、24時間の監視と、負担はどんどん積み重なっていきます。番号盗用が被害の中心であり続けている現状を踏まえると、人手や単一の対策だけで守りきるのは、年々難しくなっています。
そこで現実的なのが、脆弱性診断やセキュリティ専門家の支援を外部に委託する、という選択肢です。何を自社で内製し、何を専門家に任せるか。この線引きをしておくと、限られた体制でも対策の質を保ちやすくなります。自社の人員やスキルと照らし合わせて、無理のない役割分担を考えてみてください。
作業を外部に任せても、加盟店としてカード情報を守る責任そのものが移るわけではない点に注意が必要です。割賦販売法が求める措置を講じる義務は、あくまで加盟店にあります。委託先に何をどこまで任せているのかを把握し、その履行状況を確かめ続けることまでが、自社の役割です。
※参考：経済産業省｜割賦販売法の一部を改正する法律について（条文抜粋を含む資料）
まとめ
決済セキュリティと聞くと身構えてしまうかもしれませんが、やるべきことの軸は、意外とシンプルです。決済手段ごとのリスクを理解したうえで、決済前・決済時・決済後の流れを通して対策を重ね、さらに「カード情報を自社で持つか持たないか」という設計の判断を加えると、進むべき方向が見えてきます。2025年以降は義務化された対応も加わり、対策はもはや選択ではなく前提になりました。
では、何から手をつければよいのでしょうか。おすすめは、義務化対応とカード情報の非保持化を起点に置くことです。そこから事業規模に応じて、不正検知や脆弱性診断、監視体制へと段階的に積み上げていきます。これが、無理のない進め方です。
なかでも、義務化された脆弱性対策は専門性が高く、自社だけで続けるのが難しい領域です。ユービーセキュアのWebアプリケーション脆弱性診断では、ECサイトを含むWebアプリの弱点を洗い出し、危険度に応じた対応までを支援しています。どこから着手すべきか迷ったときは、まず専門家への無料相談で現状を整理してみてください。
完璧をいきなり目指す必要はありません。まずは、自社が今どの決済手段を扱い、どこまで対応できているのかを棚卸しするところから始めてみてはいかがでしょうか。
