クレジットカード決済を扱う事業者が知るべきセキュリティ対策

実店舗・ECサイトに関わらず、クレジットカード決済は現金の決済以外で最も普及している決済方法ですが、クレジットカード番号の漏えいや不正利用は後を絶たず、EC事業者にとってはクレジットカードのセキュリティ対策が絶対に必要です。

セキュリティ対策を講じるには、クレジットカードでの本人確認の方法、カード情報を扱う決済端末や決済システムについての概要を把握しておく必要があります。

なぜなら、2018年の改正割賦販売法に伴い、クレジット取引セキュリティ対策協議会によってまとめられた「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」に準拠することが実店舗・ECサイトともに必須となり、把握せず運用していると、いつの間にか割賦販売法に違反していたということが起こり得るためです。

本日はインターファクトリーでマーケティングを担当している筆者が、実店舗やECサイトでクレジットカード決済を導入する上でどんなセキュリティ対策に対応すべきかを解説します。

2024年度のクレジットカード被害額は555億円で過去最悪！

日本クレジット協会が発表した最新データによると、2024年のクレジットカード不正利用被害額は555億円と過去最高水準に達しました。2025年は510億円となり、被害額は減少傾向に転じつつあるものの、依然として高い水準が続いています。

データ引用：日本クレジット協会「クレジットカード不正利用被害の状況について」

被害の9割は番号盗用によるものです。近年では、AIを活用した精巧なフィッシングサイトや、大量のカード番号パターンを自動で試行する「クレジットマスターアタック」など、不正手口が急速に高度化しています。EC事業者はこうした最新の脅威を踏まえた上で、多層的なセキュリティ対策を講じる必要があります。

セキュリティ対策を講じるなら ①対面カード決済と ②非対面カード決済の本人確認の違いを知るべき！

まず、クレジットカード決済では「本人確認」を厳密に行う必要があります。では本人確認の方法を解説いたします。

① 対面での本人確認方法

実店舗でクレジットカードを利用するときに「サイン（署名）」を書いたことがあると思います。この行為は、当たり前のように行っていますが、本人確認が目的です。お店の従業員はカード裏面に記載してあるサインと売上票のサインの表記や筆跡が一致しているかを確認するのです。

しかし、サインが実際に本人のものであるかを筆跡から厳密にチェックするのは、非常に難しいため本人確認の精度は低くなります。そのため、現在ではクレジットカードの「暗証番号」入力による本人確認方法が推奨されており、店舗のクレジットカードセキュリティ対策を講じるなら、ICチップ型で暗証番号入力に対応した決済端末を導入する必要があります。

② 非対面での本人確認方法

非対面サービスであるECサイトでの本人確認方法には、「クレジットカード番号」と「有効期限」に加えて「インターネットショッピング専用のパスワード」を入力する「3Dセキュア（EMV 3-Dセキュア）」と呼ばれる方法があります。

画像引用：SBペイメントサービス

また、この方式以外にも「クレジットカード番号」と「有効期限」以外に3桁から4桁の「セキュリティコード」を入力する方法、などで本人確認の効果を持ちますが、セキュリティコードについてはクレジットカード会社が本人確認とは認めていないため、後述する不正利用があった場合のチャージバックを防ぐことはできません。

3Dセキュアを用いて正しく運用を行った場合は、クレジットカード会社が非対面で認めている唯一の本人確認方法となるため、不正利用があった場合でも一部の例外を除き、チャージバックが発生しません。

本人確認を怠ると発生するチャージバックとは

クレジットカード決済の際の「本人確認」を怠り、不正利用があった場合は、その責務はEC事業者にあり、カード会社（あるいは決済代行会社）から売上を戻す指示がきます。これを業界では「チャージバック」と呼び、EC事業者はカード会社や決済代行会社に対して不正利用分の返還義務が生じます。

クレジットカード決済の際は実店舗・ECサイトに関わらず、その場で与信（オーソリとも呼びます）を行い、クレジットカード決済での買い物の承認をカード会社から取り付けていますが、同時に本人確認を行う必要があります。この本人確認をしっかり行っていれば、ユーザーからの身に覚えがない買い物があるという主張に対してもチャージバックの義務は発生しません。

チャージバックを発生させないためにも、EC事業者はカード決済を行う際は必ず本人確認をする必要があるのです。

チャージバックリスク

チャージバックが発生するタイミングは、クレジットカード決済が行われた数か月後になることが多いです。なぜならチャージバックは、カードのユーザーが不正利用に気が付くタイミングで発生します。不正利用されたユーザーはカード会社から届く利用明細で気付くケースがほとんどだからです。

そのためEC事業者は数か月後に売上を返還することになるため経理処理も煩雑になりますし、返還する金額が会社の利益から引かれるため、利益がマイナスとなる上、不正購入された商品は戻ってきません。

さらに、狙われたECサイトは一度不正が成功すると短期間で同じ手口の不正購入を繰り返される傾向があります。カード会社（あるいは決済代行会社）から通知されるチャージバックが、数十件になり、数十万円～数百万円の売上を戻さなければいけない最悪のケースもあるのです。

下記リンク先で、クレジットカード決済代行サービス「SUI」を運営する株式会社シマトモが過去に実施したアンケート調査結果がご覧いただけますが、実に6割以上のEC事業者が、「顧客取引においてチャージバックが発生したことがある」と答えており、内2割以上が高頻度で発生していることが分かりました。

参考：PR TIMES「チャージバックの発生件数を減らしたいEC事業者は約9割！実際に対策を行っている事業者の割合は？」（2023年1月24日発表）

このように、クレジットカード決済を扱うEC事業者にとってチャージバックは他人事ではないリスクであるため、しっかりと対策をしておく必要があります。

ECサイト専用の本人確認の仕組み「3Dセキュア」

3Dセキュアの番号を、クレジットカードの暗証番号と混同する場合が多いのですが、それとは別で3Dセキュアは「ECサイト決済時の本人認証」のことを指します。現在普及している「EMV 3-Dセキュア（3Dセキュア2.0）」では、ワンタイムパスワードによる認証のほか、リスクに応じてSMS認証や生体認証が組み合わされます。

新規でクレジットカードを発行する場合は、3Dセキュアがデフォルトで設定されるケースが増えており、対応カードは急速に普及しています。

また、クレジットカード会社によっては、利用する度にワンタイムパスワードが発行される方式を採用しているところもあります。ECサイトを利用すると都度、携帯電話宛にSMS（ショートメッセージ）が送信され、そこに表示されているパスワードを入力する方式です。

◆EMV 3-Dセキュア利用イメージ

画像引用：SBペイメントサービス「本人認証サービス（EMV 3-Dセキュア）」

フリマアプリで有名なメルカリは、3Dセキュアを導入していなかった時期に多くの補填金を支払っており、業績にも大きな影響を与えました。3Dセキュアの導入はEC事業者のリスク管理として不可欠です。

参考記事：日経クロステック「メルカリも成長鈍化の憂き目　深刻化するクレカ不正利用問題」（2022年5月23日掲載）

スキミング対策から生まれた「セキュリティコード」

クレジットカードには、裏面の署名欄に末尾3桁（表面記載の場合は4桁）の数字が書いてあります。下記画像をご覧ください。

画像引用：ヤマト運輸「クレジットカードのセキュリティコードとは？EC事業者が知るべき不正利用の対策」

この数字を「セキュリティコード」と呼びます。ECサイトで買い物をするときのクレジットカード決済時に、クレジットカード番号と有効期限の他に、このセキュリティコードを入力します。異なる数字を入力するとNGとなり買い物が成立しません。

セキュリティコードは、もともとスキミング被害を排除するためのものです。クレジットカードの裏面には磁気テープがあり、対面での買い物のときには、店員がこの磁気テープを読み取っています。磁気テープに含まれている情報は「クレジットカード番号」と「有効期限」です。

この磁気テープを、悪意を持つ人がユーザーに気付かれないように読み取り、クレジットカード番号と有効期限を不正に取得する行為を「スキミング」と呼びます。そして読み取ったカード情報でECサイトなどで不正購入を働きます。

その対策として、セキュリティコードが誕生しました。署名欄に書いてある数字は磁気テープには含まれていません。つまり、スキミングによる被害を防げる手段となります。

「3Dセキュア」と「セキュリティコード」を比較

それでは、3Dセキュアとセキュリティコードそれぞれ事業者側のメリットとデメリットで比較してみましょう。下記の表を見た上で、解説をご覧ください。

	メリット	デメリット
3Dセキュア（EMV 3-Dセキュア）	不正利用が発生しても、チャージバック（売上戻し）を回避できる。リスクベース認証でカゴ落ちリスクも大幅低減。	高リスク取引では追加認証が発生し、一部ユーザーが離脱する可能性がある。
セキュリティコード	スキミングで取得されたカードの不正利用を排除できる。	チャージバックは回避できない。

3Dセキュアのメリット

ECサイトに3Dセキュアを導入していれば、不正利用があったとしても、カード会社からの売上戻し（チャージバック）は回避することができるので、これはEC事業者にとって大きなメリットです。

また、現行の「EMV 3-Dセキュア（3Dセキュア2.0）」ではリスクベース認証（フリクションレス認証）が採用されており、低リスクと判断された取引は追加認証なしで決済が完了します。旧バージョン（3Dセキュア1.0）で課題だったカゴ落ちの問題は、大幅に改善されています。

3Dセキュアのデメリット

高リスクと判断された取引では、ワンタイムパスワードや生体認証による追加認証が発生します。一部のユーザーが認証を完了できず離脱するケースはゼロではありません。

ただし、旧3Dセキュア1.0時代と比べて離脱率は大きく改善されており、「導入するかどうか」ではなく「いかに認証フローを最適化するか」が現在の焦点です。

セキュリティコードのメリット

セキュリティコードの入力をECサイトに導入すれば、悪意のある人がスキミングで不正に得たカード情報を使った不正な買い物を阻止することができます。

セキュリティコードのデメリット

しかし、3Dセキュアのようにチャージバックを回避することはできません。実際に不正利用が発生すればEC事業者に対してチャージバックが発生するため、利益を減らすことにつながります。

ここまで本人確認の方法として「3Dセキュア」や「セキュリティコード」を解説しましたが、次にそれらの情報を扱うカード決済システム（対面・非対面）のセキュリティについて解説します。

2025年3月に義務化完了した「EMV 3-Dセキュア（3Dセキュア2.0）」

経済産業省の指導のもと、2025年3月末をもってEMV 3-Dセキュア（3Dセキュア2.0）の導入義務化が完了しました。クレジットカード会社・加盟店ともに対応が求められており、旧バージョンの3Dセキュア1.0は廃止されています。

参考：ITmedia「クレカセキュリティ向上の3Dセキュア、なぜ導入が進まないのか？　EMV 3-DSで普及の兆し」（2023年4月13日掲載)

EMV 3-Dセキュアの最大の特徴は「リスクベース認証（フリクションレス認証）」です。過去の購買履歴・利用端末・IPアドレスなど100以上の情報をリアルタイムで分析し、リスクが低いと判断された取引は追加認証なしで決済を完了させます。高リスクと判断された場合のみ、ワンタイムパスワードや生体認証による本人確認を求めます。

◆「3Dセキュア1.0」と「EMV 3-Dセキュア」の違い

	3Dセキュア1.0（廃止）	EMV 3-Dセキュア（現行）
認証方式	固定パスワード	リスクベース認証（フリクションレス）
追加認証の発生	全取引で発生	高リスク取引のみ
カゴ落ちリスク	高い	大幅に低減
スマホ・生体認証対応	不十分	ネイティブ対応

また、EMV 3-Dセキュアだけでは防ぎきれない最新の不正手口（AIフィッシング、クレジットマスターアタックなど）への対策として、不正検知AIサービスとの併用（多層防御）を検討することも重要です。

カード決済を行う事業者が必ず知るべき「改正割賦販売法」とは？

2018年6月にクレジットカードを取り扱う加盟店に対し施行された「割賦販売法の一部を改正する法律」の略称です。この法律では実店舗など「対面」と、ECサイトなど「非対面」でのカード決済でクレジットカードの取り扱いに関する規定が書かれています。クレジットカードで決済を行うEC事業者は必ず事前に把握しておかなくてはならない内容です。

対面（実店舗）の場合は「ICチップ」を読み取れるカード決済端末に切り替えること

この法律では、加盟店においても裏面の磁気テープでカード情報を読み取り、署名で本人確認する方式から、偽造防止効果の高い、上記画像部分のICチップを読み取り暗証番号を入力する本人確認方式への切り替えを義務付けています。

現在ではほとんどのクレジットカードがICチップ付きになっているため、クレジットカード決済を行う加盟店は、ICチップを読み取ることができるカード決済端末を用意する必要があります。

非対面（ECサイト）の場合は、自社のサイトで「カード情報の非保持化」もしくは「PCI DSSに準拠する」ことが求められる

EC事業者は「カード情報の非保持化」をすることが義務化されました。もしクレジットカード番号等を保持するのであれば、カード情報セキュリティの国際基準である「PCI DSSに準拠する」ことが定められています。それぞれ解説します。

カード情報の非保持化

非保持化とはカード情報を、自社のECサイト上で

・保存
・処理
・通過

しないことです。そもそもECサイトでカード決済を行うためには、以下の3つの手法があります。

手法① リンク型（非通過型）
手法② トークン型（非通過型）
手法③ モジュール型（通過型）＜＝＝NG

手法①のリンク型は、ECサイトでカード決済を行う画面を、決済代行会社の画面に遷移させて決済を行う方法です。自社ECサイトでカード情報を通過しないため安全なカード決済方法と言えます。ただし、この手法は画面遷移が発生するため、離脱が増えるという大きなデメリットがあります。

手法②のトークン型は、ユーザーが入力したカード情報をトークン（文字列）に置き換えてから決済代行会社と通信を行う方法です。ユーザーから見るとECサイト内で決済を完結させることができるので、リンク型に比べて離脱（画面遷移）が発生しないというメリットがあります。

これからトークン型を採用するECサイトであれば、画面改修のコストはそこまでかかりませんが、もし今までがモジュール型を採用していたのであれば、トークン型とは決済代行会社側とのシステムが異なるため全面的な改修となりコストが高くなります。

手法③のモジュール型は、カード情報がECサイトを通過するために割賦販売法に違反しておりますが、モジュール型は決済モジュールを自社ECサイトに組み込むことで、入力から支払い完了まで自社サイト内で完結できるので、リンク型に比べると離脱が少ないのが特長であり、多くのEC事業者が採用してきた方式です。

このため、モジュール型を採用している企業が、トークン型に移行すること（またはPCI DSSへの準拠）が求められます。

PCI DSSに準拠する

カード情報を自社ECサイト上で「保持」「処理」「通過」させないといけない場合、PCI DSSの基準に準拠する必要があります。PCI DSSとはクレジットカード業界のセキュリティ基準でVISA、MasterCard、JCB、American Express、Discoverの国際ブランド5社が共同で策定したものです。

もともとは、クレジットカード会社や決済代行会社向けの基準であり、現在この基準に全てのカード会社や決済代行会社が準拠しています。さらに取得して終了ではなく、毎年の更新手続きが必要です。

準拠対策費用は、「保持」だけなのか「通過」だけなのか、それとも全てなのか、範囲によって幅がありますが、一般的に年間1,000万円～5,000万円の予算が必要と言われています。

この基準に対し、自社のECサイトで準拠することは非常にコスト負担が大きいため、ほとんどのEC事業者ではPCI DSSに準拠するのではなく「非保持化」への対策を講じているケースが多いのです。

また、PCI DSSに準拠する方法としては、PCI DSSに準拠したクラウドのECプラットフォームを利用する方法があります。この方法を採用すれば、PCI DSSに準拠するためのコストが不要となります。弊社の「EBISUMART（エビスマート）」もPCI DSSに準拠した、クラウドコマースプラットフォームです。