ECサイトは、決済情報と個人情報が一か所に集まるため、攻撃者にとって費用対効果の高い標的であり続けています。ひとたび情報漏洩が起きれば、損害賠償や事業停止による売上損失、顧客の信頼喪失が同時に襲いかかり、対応を誤れば事業の存続そのものが危うくなります。
だからこそ、クレジットカード決済を扱う全EC加盟店に求められる義務的な対策を起点に、優先順位をつけて対策を積み上げていくことが大切です。
そこで本記事では、ECサイトが狙われる構造的な理由から、義務化された要件、技術面と運用面で何を優先すべきか、そして万一の事故発生時に被害を最小化する対応手順までを順にお伝えします。
ECサイトが攻撃者に狙われるのは、決済情報と個人情報が一か所にまとまっているからです。
一度の侵入で大量の価値ある情報を奪えるため、攻撃側から見れば費用対効果が際立って高く、事故が起きれば売上損失・賠償・顧客離反が同時に発生します。
まずは、ECサイトが持つセキュリティ上のリスクの大きさについて押さえていきましょう。
ECサイトは、一般的なWebサイトよりも攻撃の見返りが大きい構造を持っています。氏名・住所・連絡先などの個人情報や購買履歴を注文処理のために蓄積し、さらに決済のたびにクレジットカード情報が入力される場所でもあるためです。
このうち氏名・住所などの個人情報や購買履歴は、注文処理のために集中的に保管されます。一方でクレジットカード番号は、日本では割賦販売法とクレジットカード・セキュリティガイドラインにより、「非保持化」またはPCI DSS準拠が求められており、多くのEC加盟店は自社で保持していません。それでもカード情報の漏えいが後を絶たないのは、保管データの流出だけでなく、決済ページの改ざん（ウェブスキミング）やフィッシングによって、利用者が入力した瞬間に情報が抜き取られるためです。
こうした情報は、不正利用や名簿としての転売を狙う攻撃者にとって直接の収益源になります。つまりECサイトは「守る価値の高いデータが集まり、かつ日々そこに入力されていく場所」であり、それ自体が攻撃を呼び込む理由になっています。だからこそ、Webサイトを公開した時点でサイバー攻撃の対象になっている前提で備えてください。
セキュリティ事故が起きると、被害は一つにとどまりません。攻撃を受けたサイトは原因調査や安全確認のあいだ販売を止めざるを得ず、その閉鎖期間がそのまま売上の喪失につながります。中小規模の事業者ほど、この事業停止が経営に直接響きます。
さらに、漏洩した顧客への損害賠償や問い合わせ対応、決済まわりの調査費用といった金銭的負担が重なります。クレジットカード情報が漏れた場合は、不正利用そのものの被害も発生します。
金銭面以上に長く尾を引くのが、顧客の信頼喪失です。一度「情報を預けると危ない店」と受け取られれば、再来訪も新規獲得も難しくなり、回復には長い時間がかかります。事業停止・賠償・信頼喪失が同時に襲ってくるからこそ、対策は後回しにできません。
前章のリスクを踏まえ、いまECサイトに何が求められているかを整理します。これまで「推奨」とされてきた脆弱性対策やカード決済時の本人認証は、2025年の制度改定によって事実上の「必須」へと位置づけが変わりました。
ここからは、2025年から義務化された要件を整理していきます。
制度の話に入る前に、まず参照すべき公的な手引きがあります。IPA（情報処理推進機構）が経済産業省と連携して2023年3月に公開している「ECサイト構築・運用セキュリティガイドライン」です。中小事業者のECサイトでの被害が続いている状況を受け、運営者が取るべき対策を体系的にまとめたものです。このガイドライン自体は法的な義務ではなく、対策を実践するための推奨的な指針にあたります。
このガイドラインは大きく2部構成になっています。経営層に向けて投資判断や体制づくりの考え方を示す部分と、実務担当者や外部委託先に向けて具体的な対策をチェックリスト形式で示す部分です。新しくECサイトを立ち上げる事業者も、すでに運営中の事業者も対象に含まれます。
自社が「経営判断をする立場」なのか「手を動かす立場」なのかで読むべき箇所が変わるため、まずは該当する部分から目を通すと、不足している対策を洗い出しやすくなります(※1)。
もう一つ押さえるべきが、クレジットカード決済を扱うEC加盟店向けの「クレジットカード・セキュリティガイドライン」です。クレジット取引セキュリティ対策協議会が策定し、2025年3月に6.0版が公表されました。この改定で、EC加盟店が実施すべき対策として3つが明確に位置づけられました。なお現行の最新版は2026年3月に公表された6.1版ですが、EC加盟店に求められる対策の内容は6.0版から変わっていません(※2)。
具体的には、脆弱性対策・EMV 3-Dセキュアの導入・不正ログイン対策の3つです。それぞれ順に見ていきます。
6.0版では、EC加盟店はこれまでのセキュリティ対策に加えて、システムやWebサイトの脆弱性対策を実施することが必須になりました。攻撃者は公開されているWebアプリケーションの穴を突いて侵入するため、その穴を塞ぐことを土台に据えたものです。
具体的に実施すべき項目（管理画面のアクセス制限、管理者権限・ID/パスワードの管理、ウイルス対策、デバイス管理など）は、ガイドラインの附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」に一覧化されています。
カードの不正利用対策として、EMV 3-Dセキュアの導入も求められるようになりました。これは決済時にカード名義人本人かどうかを確認する仕組みで、盗まれたカード番号だけでは決済を完了させにくくする狙いがあります。
6.0版では、単に導入するだけでなく、原則として決済の都度、EMV 3-Dセキュアによる認証を実施することが求められます。
会員アカウントへの不正ログインを防ぐ対策も、あわせて求められるようになりました。乗っ取られたアカウントは、登録済みのカードでの不正購入やポイントの詐取に悪用されるため、ログイン段階での防御が重視されています。
これらに刑事罰のような直接の罰則が定められているわけではありません。ただし未対応のまま事故を起こせば、カード会社から取引を停止され決済機能そのものを失うおそれがあり、不正利用による損失額をEC事業者側が全額負担させられる可能性もあります。「罰則がないから先送りでよい」という判断は、事業リスクの面で危険です。
※1 出典：IPA│ECサイト構築・運用セキュリティガイドライン
※2 出典：クレジット取引セキュリティ対策協議会│クレジットカード・セキュリティガイドライン【6.1版】
義務化された要件を確認したら、次は実際に何から着手するかです。
ECサイトのセキュリティ対策は、「構築時に作り込む技術基盤」「運用しながら継続する施策」「組織として守る管理体制」の3層に分けて考えると整理しやすくなります。
すべてを一度に揃えるのは難しいので、ガイドラインで必須とされた項目と、漏洩に直結する項目から優先的に着手していきます。
まず土台になるのが、構築段階で組み込む技術的な対策です。後から付け替えるのが難しいものが多いため、サイトを作る時点で確実に押さえておきます。
優先度の高い順に、通信の暗号化、安全なコーディング、管理画面の保護、カード情報の非保持化を見ていきます。
最初に行うべきは、全ページのHTTPS化です。SSL/TLSで通信を暗号化すれば、入力されたパスワードやカード情報が経路上で盗聴・改ざんされるのを防げます。
未対応のサイトはブラウザに「保護されていない通信」と警告が表示され、入力前に離脱される原因にもなるため、対応は欠かせません。
アプリケーションそのものに穴を作らないことも欠かせません。
IPAが公開している「安全なウェブサイトの作り方」（※）に沿ってセキュアコーディングを徹底すれば、SQLインジェクションやクロスサイトスクリプティング（XSS）といった代表的な脆弱性を、構築の段階で排除できます。
ただし、実装漏れや新たな手口が残る可能性はゼロにはならないため、運用時の脆弱性診断と組み合わせることを前提にします。
サイトの管理画面は、乗っ取られると最も被害が大きい場所です。
アクセスできるIPアドレスを制限し、ログインには多要素認証を組み合わせます。あわせて、各担当者の権限は業務に必要な範囲だけに絞る最小権限の原則を適用し、万一アカウントが破られても被害範囲を抑えられるようにします。
カード情報保護の要となるのが非保持化です。決済代行サービスを利用し、自社のサーバーにカード番号を保存しない構成にすれば、仮に侵入されても保管されたカード情報が丸ごと盗まれる事態を避けられます。
自前で保持するほどリスクと管理負担が増えるので、まず非保持化を検討してください。
構築時の対策を固めても、攻撃手法や脆弱性は日々新しく生まれます。
運用フェーズでは、防御層の維持と弱点の発見を続けることが欠かせません。優先度の高い順に、WAFの導入、脆弱性診断の定期実施、パッチ管理、バックアップ体制を見ていきます。
WAF（Webアプリケーションファイアウォール）は、SQLインジェクションやXSSなどの攻撃をリアルタイムで検知・遮断する防御層です。
アプリケーションの前段に置くことで、不正アクセスや既知の攻撃パターンをまとめて受け止められるため、運用時の優先施策として導入します。
6.0版で脆弱性対策が必須化されたことを受け、定期的な脆弱性診断は運用施策の中核となります。新たに見つかる脆弱性に対し、自社サイトが今どの程度さらされているかは、診断しなければ把握できません。サイトの改修時や、少なくとも定期的なタイミングで繰り返し実施し、発見した弱点を順次つぶしていきます。
とはいえ、脆弱性診断をどう実施するかで手が止まりがちです。専門知識のある人材が社内にいない、外部委託すると費用がかさむ、といった事情で先送りされやすい領域でもあります。こうした課題には、ユービーセキュアのVexのような診断ツールを使う選択肢があります。
Webアプリケーションの脆弱性を検査するツールで、診断対象のURLを入力すれば自動で診断を始められ、繰り返し実施しやすいのが利点です。専門家による診断サービスや内製化の支援とあわせて、自社の体制に合った進め方を選べます。
OS・ミドルウェア・CMSなどに修正パッチが出たら、速やかに適用します。既知の脆弱性は攻撃手法も出回っているため、放置するほど狙われやすくなります。
利用しているソフトウェアとバージョンを一覧で管理し、更新情報を継続的に追える体制を整えておきます。
定期的なバックアップと復旧計画（DR）も、運用に欠かせません。攻撃でデータが破壊・暗号化された場合や障害が起きた場合でも、直近の状態に復旧できれば事業を続けられます。
バックアップは取得するだけでなく、実際に復元できるかを定期的に確認しておくと安心です。
あわせて、ランサムウェア対策の観点からは、バックアップ自体が暗号化・改変されないよう、オフライン保管やイミュータブル（変更不可）ストレージの利用、複数世代の保持を組み合わせておくと安全です。
技術的な守りを固めても、それを扱うのは人です。設定ミスやパスワードの使い回し、不審なメールへの対応といった人的な要因は、情報漏洩の主要なきっかけになります。技術対策と並ぶもう一つの柱として、組織としての管理体制を整えます。
まず、推測されにくいパスワードを求めるポリシーを定め、使い回しを避けるルールを徹底します。あわせて、誰がどのデータ・機能にアクセスできるかを最小権限の原則で管理し、退職者や担当替えのアカウントは速やかに棚卸しします。
権限が広がりすぎた状態は、内部・外部どちらの事故でも被害を広げます。
セキュリティ教育は、一度きりの研修で終わらせては効果が続きません。攻撃手口は変化するため、定期的な研修やe-ラーニング、標的型メール訓練（不審なメールに気づき、正しく対応できるかを試す実地訓練）、模擬訓練として継続的に実施し、全員が最新の手口と社内ルールを把握している状態を保ちます。
担当者だけでなく、サイトに関わる全員が対象です。
運用面では、なりすましによる不正購入やアカウント乗っ取りへの備えも必要です。不正注文検知の仕組みで怪しい取引を見つけ、会員ログインに多要素認証を組み合わせれば、盗まれたID・パスワードだけでは侵入されにくくなります。
なお、SaaS型のECプラットフォームを使う場合でも、すべてを任せきりにはできません。管理画面のアカウント管理や独自に追加したカスタムコードの領域は、自社の責任として残ります。また、認証を強くしすぎると購入時の離脱を招くため、リスクの高いログインだけ追加認証を求めるリスクベース認証のように、利便性を損なわない手法を選ぶと運用を続けやすくなります。
※出典：IPA | 安全なウェブサイトの作り方情報セキュリティ
どれだけ対策を重ねても、事故の可能性をゼロにはできません。被害がどこまで広がるかは、発覚直後の動き方で大きく変わります。
「証拠保全→被害拡大防止→情報共有→原因調査→再発防止」という流れと役割分担を事前に決めておくことが、被害を最小限に抑えるうえで欠かせません。
事故に気づいたら、最初に行うのは証拠の保全です。ログやシステムの状態は調査の手がかりになるため、原因を特定する前にサーバーを再起動したり、ログを消したりしてはいけません。慌てて操作すると、攻撃の痕跡ごと消してしまう恐れがあります。
証拠を確保したら、被害の拡大を止めます。不正アクセス元の遮断、侵害された可能性のあるアカウントの停止、必要に応じたサービスの一時停止を行います。並行して、システム・法務・広報を含む対応チームを立ち上げ、誰が何を判断するかを明確にして対応を進めます。
被害を止めたら、原因の調査に移ります。アクセスログやシステムログを解析して侵入経路と攻撃手法を特定し、技術面の穴と運用面の不備の両方から弱点を洗い出します。ここで原因を曖昧にしたままだと、同じ手口で再び侵入されてしまいます。
個人情報の漏洩が確認された場合は、改正個人情報保護法に基づき、個人情報保護委員会への報告（事業者が漏洩等の事態を知ってから速報は概ね3〜5日以内、確報は30日以内）と、影響を受ける顧客への通知が法的に必要です。
対外公表を行う際は、タイミングと内容の判断が難しく、早すぎれば不正確な情報が広まり、遅すぎれば隠蔽と受け取られかねません。法務・広報と連携し、確認できた事実をもとに進めます。
最後に再発防止策をまとめます。パスワードの変更や緊急のパッチ適用といった短期的な対応で当面の穴を塞ぎつつ、システム構成の見直し、監視体制の強化、教育プログラムの充実といった中長期的な対策を計画的に進め、同じ事故を繰り返さない体制へ作り変えます。
ECサイトのセキュリティ対策は、義務化された要件を起点に、技術面と運用面の施策を段階的に積み上げていくのが、限られたリソースで最大の効果を得る進め方です。すべてを一度に完璧にしようとせず、必須項目と漏洩に直結する項目から着実に手をつけてください。
本記事では、ECサイトが狙われる構造的な理由と事故の経営インパクト、セキュリティガイドライン6.0版で義務化された脆弱性対策・EMV 3-Dセキュア・不正ログイン対策、構築時から運用・管理体制までの具体的な対策と優先順位、そして万一の事故に備えた対応手順を整理しました。
ユービーセキュアではWebアプリケーション脆弱性検査ツール「Vex」を提供しています。ECサイトやWebアプリケーションの脆弱性診断を繰り返し実施できるため、ガイドラインで求められる脆弱性対策に役立ちます。診断ツールの提供から専門家による診断、内製化の支援まで対応しているので、まずはユービーセキュアのVexで自社サイトの現状把握から始めてください。