01
EC サイトに求められている対応
カード決済を扱うネットショップ（EC 加盟店）には、大きく 2 つの対応が求められています。
- カード情報の適切な管理（割賦販売法）: 2018 年に施行された改正割賦販売法で、加盟店にカード情報の適切な管理と不正利用の防止が義務づけられました。カード情報を自社で保存・処理しない「非保持化」が基本の考え方です
- 本人認証（EMV 3-D セキュア）: 経済産業省が関わる「クレジットカード・セキュリティガイドライン」は、2023 年 3 月の改訂で、2025 年 3 月末までに原則すべての EC 加盟店に EMV 3-D セキュアの導入を求める方針を示しました
EMV 3-D セキュアは、カードを使うときに本人かどうかを確かめる仕組みです。いつもと違う買い方のときだけ追加の認証を求めるため、普段の買い物の手間は大きく増えません。
02
ショップの作り方で、やることが変わる
| 作り方 | カード情報 | ショップ側でやること |
|---|---|---|
| Shopify・BASE・STORES など | サービス側の決済で処理され、ショップは持たない | 管理画面のアカウントの守り、3-D セキュアの設定確認、不正注文への備え |
| 独自に開発（決済代行を利用） | 決済代行会社の画面や仕組みで処理し、自社サーバーを通さない形にする | 非保持化の構成にする、決済代行の 3-D セキュアを有効にする、サイト自体の脆弱性対策 |
| 独自に開発（自社でカード情報を処理） | 自社で保持・処理する | 国際的な基準（PCI DSS）への準拠が必要になり、負担が非常に大きい。中小企業では避けるのが一般的 |
中小企業が独自のショップを作る場合も、カード情報は決済代行会社に任せて「自社では一切持たない」形にするのが基本です。
03
不正注文への備え
盗まれたカード情報で商品を買われると、後からカード会社に取り消され（チャージバック）、商品も代金も失うことがあります。
- 転売されやすい商品は特に注意: 家電・ブランド品・ギフト券・チケットなど
- 怪しい注文のサイン: 初めての客が高額を大量に注文、配送先と請求先が大きく違う、短時間に何度もカードを試している
- 決済代行の不正検知を使う: 多くの決済代行会社が、怪しい取引を止める機能を用意している
- カードを何度も試す攻撃を止める: 同じ人が短時間に何度も決済を試せないように制限する
04
ショップ運営で毎日気をつけること
- 1管理画面のパスワードを使い回さず、2 段階認証を入れる
- 2スタッフのアカウントを人ごとに分け、辞めた人のアカウントはすぐ止める
- 3使っていないアプリ・プラグインを削除する（外部のアプリが情報の入口になることがある）
- 4顧客情報の書き出し（CSV など）をした場合は、使い終わったら消す
- 5「決済の設定を変更してください」などのメールは、管理画面に直接ログインして確かめる
カード情報を持たない構成でも、顧客の氏名・住所・購入履歴は預かっています。管理画面の守りは、どの作り方でも必要です。
05
漏洩や不正が疑われたら
- 1決済代行会社・カード会社（またはショップのサービス提供会社）にすぐ連絡する
- 2管理画面のパスワードを変更し、見覚えのないアカウントや設定変更がないか確認する
- 3個人情報が漏れた可能性があれば、個人情報保護委員会への報告と、本人への通知が必要になることがある
- 4原因が分かるまで、必要に応じてカード決済を一時停止する
Q&A
よくあるご質問
- Shopify や BASE を使っていればセキュリティ対策は不要ですか？
- カード情報の処理はサービス側が行うため負担は小さくなりますが、管理画面のアカウントの守り、スタッフの権限、不正注文への備えはショップ側の責任です。不要にはなりません。
- EMV 3-D セキュアを入れると、買い物が面倒になって売上が下がりませんか？
- いつもと違う買い方のときだけ追加の認証を求める仕組みのため、多くの買い物では手間が増えません。不正利用によるチャージバックの損失を防げる点も含めて考えるのがおすすめです。
- 自社開発の EC サイトでカード情報を保存してもよいですか？
- おすすめしません。カード情報を自社で保持・処理すると、国際的な基準（PCI DSS）への準拠が必要になり、費用も手間も大きくなります。決済代行会社に任せて自社では持たない構成にするのが一般的です。
- 不正注文を完全に防ぐことはできますか？
- 完全には難しいですが、3-D セキュア、決済代行の不正検知、怪しい注文の確認の組み合わせで、大きく減らせます。転売されやすい商品を扱う場合は特に重点的に対策しましょう。
- EC サイトを作るときに、セキュリティはどこまで任せられますか？
- Co-Craft では、カード情報を自社で持たない構成や、決済代行の 3-D セキュアを前提にした設計をご提案します。どのプラットフォームが合うかも含めてご相談ください。
1
2
3
4
5
関連ページ