「2024 年のクレジットカード不正利用被害が 555 億円に拡大、EC 事業者として何を対応すべき？」
「セキュリティガイドライン 6.0 版で新たに義務化された対策は？」
「中小 EC でも全部対応する必要がある？優先順位は？」
クレジットカード・セキュリティガイドラインは、日本クレジット協会が運営する「クレジット取引セキュリティ対策協議会」が策定する、EC 事業者・PSP・カード会社など決済関係者全員が遵守すべき実務指針です。2025 年 3 月公表の 6.0 版では、急増する不正利用被害 (2024 年 555 億円、うち 92% が番号盗用) を受けて、EC 加盟店向けの対策が大幅に強化されました。本記事では、6.0 版の要点と EC 事業者の具体的な対応手順を 2026 年最新情報で解説します。
決済の導入や見直しでお悩みではありませんか？審査に強いJPCCが、あなたの事業に合った決済導入を無料でご相談に乗ります。
クレジットカード・セキュリティガイドラインとは
本ガイドラインは、割賦販売法 が定めるセキュリティ対策義務の「具体的な実務指針」として位置付けられています。経済産業省と日本クレジット協会が連携して策定し、随時改訂されています。
位置付けと法的拘束力
ガイドライン自体は法律ではありませんが、加盟店契約の遵守事項として実質的に守るべき内容です。違反すると アクワイアラ (加盟店契約会社) から契約解除される可能性があり、事実上の強制力を持ちます。
改訂の歴史
- 初版: 2017 年
- 4.0 版: 2022 年 (3D セキュア導入要件追加)
- 5.0 版: 2024 年 (EMV 3-D セキュア義務化)
- 6.0 版: 2025 年 3 月 (脆弱性対策・不正ログイン対策の追加)
6.0 版で新たに強化された 3 つの柱
1. 脆弱性対策の強化
EC 加盟店のシステム・Web サイトに対する以下の脆弱性対策が明記されました。
- 定期的な脆弱性診断 (年 1 回以上推奨)
- WAF (Web Application Firewall) の導入
- OS / ミドルウェア / CMS / プラグインの継続的なアップデート
- SSL/TLS 証明書の適切な管理
特に WordPress や ECCUBE など CMS を利用する EC サイトは、プラグイン経由の脆弱性事案が多発しているため、月次のアップデート運用が標準となります。
2. EMV 3-D セキュアの実質的義務化
EMV 3-D セキュア (3-D セキュア 2.x) を、決済の都度認証する形で導入することが原則となりました。リスクベース認証のため、低リスク取引では追加認証なしで通過するため、UX を損ねません。3-D セキュア 1.0 (旧版) からの早期移行が必要です。
3. 不正ログイン対策
会員登録、ログイン、属性情報変更時の不正ログイン対策が新たに要求されました。具体的には以下です。
- パスワードの複雑度要件 (8 文字以上、英数記号混在等)
- ログイン試行回数制限 (ブルートフォース対策)
- 属性変更時の本人確認 (メール認証等)
- 多要素認証 (MFA) の推奨
EC 事業者が実装すべき優先順位 (7 ステップ)
ステップ 1: カード情報の非保持化
最も優先度高。自社サーバーでカード情報を扱わない仕組みに移行。トークン決済 や PSP 経由の決済が現実解。
ステップ 2: EMV 3-D セキュア導入
PSP が提供する 3-D セキュア機能を有効化。多くの場合追加開発不要。
ステップ 3: 基本的な脆弱性対策
OS・ミドルウェア・CMS のアップデート、SSL 証明書の有効性確認。月次のメンテナンス運用化。
ステップ 4: 不正ログイン対策
パスワード要件強化、ログイン試行回数制限の実装。
ステップ 5: 不正検知サービスの導入
AI 不正検知 の活用。月額数万円から導入可能。
ステップ 6: WAF 導入
クラウド型 WAF (Cloudflare、AWS WAF 等) なら月額数千円〜数万円で導入可能。
ステップ 7: 定期的な脆弱性診断
年 1 回以上の外部診断 (10〜100 万円規模)。大規模 EC は必須。
月商規模別の優先度
月商 100 万円未満の EC 事業者
ステップ 1〜3 が最低限。PSP 経由のトークン決済 + 3D セキュア + 基本的なシステム更新で対応可能。
月商 100〜1,000 万円の EC 事業者
ステップ 1〜5 を実装。AI 不正検知の導入で不正利用予防を強化。
月商 1,000 万円超の EC 事業者
ステップ 1〜7 全て実装。脆弱性診断の定期化、WAF 導入、SOC (セキュリティ監視) 体制の構築まで視野に。
過去の不正利用事案から学ぶ
2023〜2025 年に発生した代表的な情報漏洩・不正利用事案からは、以下のパターンが共通して見られます。
Magecart 型攻撃 (フォームジャッキング)
EC サイトの決済画面に攻撃者が悪意のある JavaScript を埋め込み、顧客が入力するカード情報をリアルタイムに窃取する手口です。CMS のプラグイン脆弱性、第三者スクリプトの改ざんが主な侵入経路です。6.0 版で クライアント側スクリプトのインベントリ管理が必須化された背景には、この攻撃の急増があります。
不正ログイン → カード情報窃取
パスワードリスト攻撃で顧客アカウントに不正ログインし、登録済のカード情報を悪用するパターン。会員制 EC サイトで多発しています。6.0 版の不正ログイン対策強化は、このパターン対策が中心です。
BtoB 取引先からの侵入
EC 事業者本体ではなく、決済画面を提供する第三者サービス・物流連携 API などのサプライチェーン経由での侵入。SBOM (Software Bill of Materials) の整備や、第三者サービスのセキュリティ評価が今後の論点になります。
ガイドライン対応の費用感
6.0 版対応のコスト感をステップ別に整理すると以下です。
- ステップ 1-2 (非保持化 + 3-D セキュア): PSP 移行費用のみで対応可能。多くの PSP では追加費用なし
- ステップ 3 (脆弱性対策): CMS / WAF プラグインで月額 5,000〜30,000 円
- ステップ 4 (不正ログイン対策): 開発工数 20〜80 時間 (50〜200 万円)、または認証 SaaS 月額 1〜10 万円
- ステップ 5 (AI 不正検知): 月額 3〜30 万円、初期費用 10〜100 万円
- ステップ 6 (WAF): Cloudflare Pro プラン月額 25 USD〜、AWS WAF 月額 5,000 円〜
- ステップ 7 (脆弱性診断): 年 1 回 30〜200 万円 (規模・診断深度による)
月商 1,000 万円の中堅 EC で年間 100〜300 万円程度、月商 1 億円超で年間 500〜2,000 万円程度が目安です。決済代行手数料 と合わせた総コスト試算が重要です。
違反時のリスク
- 加盟店契約解除: アクワイアラから契約解除されると、他社でも新規契約困難
- カード決済停止: 解除と同時に決済できない状態に
- 監督官庁からの行政処分: 重大事案では業務改善命令・業務停止命令
- レピュテーションリスク: 情報漏洩事案として報道される
- チャージバック負担増: セキュリティ対策不備が原因の不正利用は、加盟店側に費用負担が及ぶケース
よくある質問
Q1. ガイドライン 6.0 版への対応はいつまでに必要ですか？
項目により異なります。EMV 3-D セキュアは即時対応が原則、脆弱性対策・不正ログイン対策は段階的導入が推奨されています。アクワイアラからの調査時に未対応項目があると指摘を受けるため、早期の対応計画策定が重要です。
Q2. PSP を利用していれば自動的に準拠したことになりますか？
PSP 側が準拠している項目 (PCI DSS、3-D セキュア提供等) はカバーされますが、自社 EC サイトの脆弱性対策・不正ログイン対策は事業者自身の責任です。
Q3. 6.0 版以降の改訂予定は？
2026 年内に 6.1 版または 7.0 版の改訂が検討されています。AI 不正検知の標準化、トークン決済の更なる推奨が予想されます。
Q4. 自社で対応が難しい場合はどうすれば？
セキュリティ専門ベンダーに段階的支援を依頼する選択肢があります。脆弱性診断・WAF 運用・不正検知導入それぞれで複数の専門サービスがあり、月額数万円〜数十万円で対応可能です。すべてを自社で抱える必要はありません。
Q5. 加盟店契約時にガイドライン準拠状況を確認されますか？
はい、新規加盟店審査時にチェック項目として確認されます。また、既存加盟店についても定期的な確認や、不正利用事案の発生時に詳細な調査が入ります。日頃から対応状況を文書化しておくことが重要です。
