Download ECサイトのセキュリティ対策12選
費用相場と義務化対応を解説

「カード会社からセキュリティ対応の要請が届いたが、何をどこまでやれば十分なのか分からない」
「上司に『うちのECサイトは大丈夫か』と聞かれ、明確に答えられなかった」

ECサイトの運営担当者から、こうした声を耳にする機会が増えています。

クレジットカード決済を扱うECサイトでは、EMV 3-Dセキュアの導入期限（2025年3月末）がすでに到来しており、論点は「対策するかどうか」ではなく「義務を果たせているかどうか」に変わりました。未対応のまま放置すれば、カード決済契約の解除やチャージバックの全額負担といった、事業継続に直結するリスクを抱えることになります。

本記事では、ECサイトに求められるセキュリティ対策の全体像を、義務化された3つの対応・実施すべき対策12選・費用相場・見落としがちな盲点の順に整理します。

ECサイトにセキュリティ対策が必要な理由と被害実態

ECサイトはクレジットカード情報を狙う攻撃の標的であり、事故が起きれば数千万〜1億円規模の損失と長期の事業停止を招きます。

「うちは大手ではないから狙われない」という認識は、残念ながら通用しません。攻撃者は自動化ツールで脆弱なサイトを無差別に探索しており、サイトの規模や知名度は関係がないためです。

まずは、最新の被害実態を数字で確認します。

2025年の不正利用被害は510.5億円｜9割超が番号盗用

日本クレジット協会の発表によると、2025年（1〜12月）のクレジットカード不正利用被害額は510.5億円でした。このうち番号盗用による被害は475.4億円で、全体の93.1%を占めています。

前年の2024年は555.0億円と過去最高を記録しており、2025年は前年比8.0%減と、2020年以来5年ぶりの減少となりました。ただし、10年あまり前（2014年）の被害額114.5億円と比べると、依然として約4.5倍の水準にあります。

減少の背景には、後述するEMV 3-Dセキュアの導入義務化の効果があるとみられています。一方で、専門家からは「不正が確実に減ったと断定するのは早い」との見解も示されており、攻撃の手口がより検知しにくい方向へ移行している可能性も指摘されています。

被害総額が500億円を超える状況は3年連続で続いており、カード情報を扱うECサイトが攻撃の主戦場である構図に変わりはありません。

出典：日本クレジット協会「クレジットカード不正利用被害額の発生状況」
https://www.j-credit.or.jp/security/document/index.html

事故が起きた場合の損失は平均8,000万円規模

セキュリティ事故が実際に起きた場合、EC事業者はどの程度の損失を被るのでしょうか。

IPA（情報処理推進機構）の「ECサイト構築・運用セキュリティガイドライン」によると、事故によりECサイトの閉鎖を余儀なくされた期間の売上高損失は1社あたり平均約5,700万円に上ります。加えて、フォレンジック調査や顧客対応などの事故対応費用が平均約2,400万円かかります。合計すると、1件の事故で平均8,000万円規模の損失が発生する計算です。

漏えいした情報の種類によっても被害額は変わります。JNSA（日本ネットワークセキュリティ協会）の調査では、漏えいした情報が個人情報のみの場合の平均被害額は2,407万円、クレジットカード情報を含む場合は3,608万円と、カード情報を含むケースの方が高額です。カード情報が漏えいすると、不正利用分やカード再発行費用についてカード会社から求償を受け、賠償の負担が生じやすいことが差の要因です。

さらに同調査では、カード情報の漏えい被害を受けた組織の6割超が、6カ月以上にわたりクレジットカード決済の停止を余儀なくされています（停止期間の平均は131.8日）。

金銭的な損失に加えて、半年以上もカード決済が止まり売上機会を失い続ける。この二重の打撃こそが、セキュリティ事故の本当の怖さです。

出典：IPA「ECサイト構築・運用セキュリティガイドライン」
https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html

出典：JNSA「インシデント損害額調査レポート 別紙『被害組織調査』第2版」
https://www.jnsa.org/result/incidentdamage/

大手通販アスクルもランサムウェアで受注停止

被害は中小のECサイトに限りません。2025年10月には、大手通販のアスクルがランサムウェア攻撃を受け、約72万件の顧客情報を含む情報流出と業務停止に見舞われました。

Webサイトでの注文を一部再開できたのは攻撃から約1カ月半後、業務停止前に扱っていた全商品の購入が可能になったのは約3カ月後の2026年1月のことです。

この事案で注目すべきは、侵入の起点です。例外的に多要素認証が適用されていなかった、業務委託先に付与された管理者アカウントの認証情報が窃取されたことが、攻撃の入口になったとされています。

高度なゼロデイ攻撃ではなく、基本的な認証対策の不備、それも委託先アカウントという管理の隙間を突かれた形です。

IPAが毎年公表する「情報セキュリティ10大脅威 2026」（組織編）では、ランサム攻撃による被害が1位に選ばれています。ランサム攻撃は11年連続でTOP10に選出され続けており、2位のサプライチェーンや委託先を狙った攻撃とあわせて、4年連続で1位・2位を占めています。

大手であっても、委託先やグループ会社を含めた防御の穴を突かれれば長期の事業停止に至る。この事例は、ECサイト運営に関わるすべての企業への警鐘といえます。

出典：IPA「情報セキュリティ10大脅威 2026」
https://www.ipa.go.jp/security/10threats/10threats2026.html

「対策済み」でも狙われる最新の攻撃手法

「カード情報は自社で保持していないから安全」という理解にも、見直しが必要です。

クレジットカード・セキュリティガイドライン6.1版に関する説明では、カード情報の非保持化を達成した加盟店でも被害が発生する「Webスキミング」の手口が明示されました。これは、ECサイトの決済画面を改ざんし、利用者が入力したカード情報をその場で盗み取る攻撃です。カード情報をサーバーに保存していなくても、入力の瞬間を狙われます。

このほかにも、カード番号の規則性を悪用して有効な番号を割り出す「クレジットマスター」、本人認証を突破する「リアルタイムフィッシング」、注文データの改ざんによる不正注文など、手口は多様化しています。

個人情報保護委員会がEC事業者を対象に行った調査によると、ECサイトへの不正アクセスの直接原因は、決済画面の改ざんを引き起こす脆弱性が37%、SQLインジェクション脆弱性が31%と、Webアプリケーションの脆弱性起因が大半を占めています。

さらに「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が初めて選出されました（3位）。攻撃側がAIで効率化を進める以上、「一度対策したから終わり」ではなく、手口の変化に追随する運用が求められます。

出典：個人情報保護委員会「ECサイトへの不正アクセスに関する実態調査」
https://www.ppc.go.jp/files/pdf/220316_shiryou-2-2.pdf

義務化されたECサイトのセキュリティ対策｜ガイドラインを整理

カード決済を扱う全EC事業者にEMV 3-Dセキュア・脆弱性対策・不正ログイン対策が求められ、未対応は契約解除のリスクがあります。

「義務化」と聞くと法律の条文を想像しがちですが、ECセキュリティの義務化はクレジットカード・セキュリティガイドラインという業界指針を通じて機能しています。

ここでは、何がいつまでに義務となったのか、従わない場合に何が起きるのか、そして2つのガイドラインをどう使い分けるのかを整理します。

義務化された3つの対応｜EMV 3-Dセキュア・脆弱性対策・不正ログイン対策

クレジットカード・セキュリティガイドラインでEC加盟店に求められる対応は、次の3点セットです。

1. EMV 3-Dセキュアの導入：カード決済時の本人認証の仕組み。2025年3月末までに、原則すべてのEC加盟店が導入
2. 脆弱性対策：ガイドライン6.0版で、新規構築時だけでなく既存のEC加盟店にも脆弱性対策の実施が明記。システム上の欠陥を放置しないことが、加盟店側の責務として位置づけ
3. 不正ログイン対策：不正利用被害額が上位の加盟店の約7割が「会員ログイン機能あり」のECサイトであるという分析を踏まえ、決済前の段階でのなりすまし対策

注意したいのは「3-Dセキュアを導入したから完了」ではない点です。3つの対応がそろってはじめて、ガイドラインの求める水準を満たします。カード会社や決済代行会社からの要請に答える際も、この3点セットで対応状況を説明できるかが確認の軸になります。

出典：経済産業省「『クレジットカード・セキュリティガイドライン』が改訂されました」（2025年3月）
https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html

未対応の場合のリスク｜罰則ではなくカード決済契約の解除

「義務といっても、罰則がないなら後回しでよいのでは」と考える方もいるかもしれません。しかし、実態はより厳しいものです。

クレジットカード・セキュリティガイドラインは、割賦販売法におけるセキュリティ対策の「実務上の指針」として位置づけられており、事実上、法令上の基準として機能しています。割賦販売法では、カード会社（アクワイアラー）等に加盟店の調査を行う義務が課されており、調査の結果、問題が認められた加盟店には是正指導や契約解除などの必要な措置を講じることが義務づけられています（割賦販売法35条の17の8）。

つまり、未対応の帰結は「行政からの罰則」ではなく「カード決済が使えなくなること」です。ECサイトにとってカード決済の停止は、売上の大部分を失うことと同義であり、罰金よりも重い制裁といえます。

さらに、EMV 3-Dセキュア未導入の状態で不正利用が発生した場合、チャージバック（売上取消）の費用は原則として加盟店が全額負担します。商品はすでに発送済みで回収できないケースが大半のため、売上金と商品の両方を失う二重の損失になります。

出典：経済産業省「割賦販売法（後払分野）の概要・FAQ」
https://www.meti.go.jp/policy/economy/consumer/credit/kappuhanbaihoatobaraibunyanogaiyofaq.html

クレジットカード・セキュリティガイドラインとIPAガイドラインの使い分け

ECセキュリティには参照すべきガイドラインが2つあり、「どちらに従えばよいのか」という混乱がよく起こります。結論としては、両者は対立するものではなく、役割が異なります。

クレジットカード・セキュリティガイドラインは、初版が公表された2020年以降、毎年3月に改訂されています。最新の6.1版（2026年3月改訂）では指針対策の追加はなく、Webスキミング等の新たな手口への注意が示されています。

年に一度、3月の改訂内容を確認して自社の対応を見直す運用をおすすめします。

一方、IPAのガイドラインは「経営者編」と「実践編」で構成され、チェックリスト付きで具体的な点検に使えます。カード会社への説明にはクレカ版、現場の実装にはIPA版、という使い分けが実務的です。

出典：日本クレジット協会「クレジットカード・セキュリティガイドライン」
https://www.j-credit.or.jp/security/document/index.html

ECサイトで実施すべきセキュリティ対策12選

対策は「情報漏えい対策」「不正利用対策」「組織・運用対策」の3分類12項目に整理でき、義務・必須要件から優先的に着手します。

やるべき対策を思いつくままに並べると、抜け漏れや優先順位の混乱を招きます。ここでは、IPAガイドラインの要件とクレジットカード・セキュリティガイドラインの指針対策を踏まえ、12項目を3つに分類して整理しました。

※「義務（指針対策）」はクレジットカード・セキュリティガイドラインの指針対策、「必須」はIPAガイドラインの必須要件に対応する項目です。

以下、各対策を順に解説します。

出典：IPA「ECサイト構築・運用セキュリティガイドライン」
https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html

SSL/TLSによる常時HTTPS化

SSL/TLSは、ECサイトと利用者の間の通信を暗号化する仕組みです。導入により、顧客情報や決済情報が第三者に盗聴・改ざんされることを防ぎます。決済ページだけでなくサイト全体を暗号化する「常時HTTPS化」が現在の標準です。

未対応のサイトはブラウザのアドレスバーに「保護されていない通信」等の警告が表示されます。購入直前の画面で警告を目にした利用者の多くは入力をためらうため、セキュリティ上のリスクであると同時に、離脱と信頼低下の直接的な要因にもなります。

すでに導入済みのサイトでも、油断は禁物です。証明書には有効期限があり、更新漏れが起きるとサイト全体に強い警告が表示され、購入がほぼ止まる事態を招きます。証明書の有効期限管理と、暗号化設定に不備がないかの定期確認までを運用に組み込むことが、IPAガイドラインでも求められる水準です。

ソフトウェア・プラグインの最新化

OS・ミドルウェア・カートシステム・プラグインに残された既知の脆弱性の放置は、ECサイトへの侵入の主要な原因です。攻撃者は公開済みの脆弱性情報をもとに、パッチ未適用のサイトを自動的に探し出します。つまり、更新を怠った期間がそのまま「攻撃可能な窓」として開き続けることになります。

IPAガイドラインでも、要件2として「サーバ、管理端末のソフトウェアを最新化する」ことが挙げられています。

実務上のポイントは2つです。第一に、利用しているソフトウェアの一覧を把握し、パッチ公開情報を定期的にチェックする体制を作ること。第二に、適用前にテスト環境で動作確認を行うことです。

本番環境への直接適用は、アップデート起因の障害という別のリスクを生みます。「パッチ情報の監視」と「テスト後の適用」をセットで運用ルール化しておくと、担当者の異動があっても継続できます。

管理画面のアクセス制限と多要素認証

ECサイトの管理画面は、顧客情報・受注情報・サイト設定のすべてに触れられる、攻撃者にとって最も価値の高い入口です。ここを守る施策は2段構えで考えます。

1つ目は、アクセス経路の制限です。管理画面へのアクセスを特定のIPアドレスからのみ許可すれば、外部の攻撃者はそもそもログイン画面に到達できません。IPAガイドラインの要件4「管理画面、管理用ソフトウェアへのアクセス制限」に対応する対策です。

2つ目は、多要素認証（MFA）の必須化です。パスワードに加えて、認証アプリやワンタイムパスワードなど別の要素を組み合わせることで、仮にパスワードが漏えいしても不正ログインを防げます。

前述のアスクルの事例では、多要素認証が適用されていなかった業務委託先の管理者アカウントの認証情報窃取が攻撃の起点となりました。大手企業でさえ、この基本の抜けが長期の受注停止につながっています。

自社アカウントだけでなく、委託先に付与しているアカウントも含めて、管理者権限へのMFA適用状況は今日にでも確認すべき価値のある項目です。

定期的な脆弱性診断

脆弱性診断は、自社サイトに攻撃可能な欠陥がないかを専門的な手法で洗い出す取り組みです。実施のタイミングは「サイト公開前」「定期（年1回が目安）」「大規模改修時」の3つが基本です。

診断には2つの方式があります。ツール診断は自動化されたスキャンで広範囲を安価に検査でき、手動診断は専門家がツールでは見つけにくい欠陥まで高精度に検出します。まずツール診断で定期的に全体を点検し、決済まわりなど重要領域は手動診断を組み合わせる、という使い分けが現実的です。

見落とせないのは、脆弱性対策がクレジットカード・セキュリティガイドライン6.0版（2025年3月改訂）で既存のEC加盟店にも求められる指針対策となった点です。「うちは前に診断したから大丈夫」ではなく、定期的に診断し、検出された脆弱性に対処し続ける運用そのものが、義務化時代の水準といえます。

出典：経済産業省「『クレジットカード・セキュリティガイドライン』が改訂されました」（2025年3月）
https://www.meti.go.jp/press/2024/03/20250305002/20250305002.html

WAFの導入

WAF（Web Application Firewall）は、SQLインジェクションやクロスサイトスクリプティング（XSS）といったWebアプリケーションへの攻撃を検知し、自動的に遮断する仕組みです。

前述のとおり、ECサイトへの不正アクセスは決済画面の改ざんを引き起こす脆弱性やSQLインジェクション脆弱性が直接原因の大半を占めており、WAFはこうしたWebアプリケーションを狙う攻撃への直接的な防御になります。

WAFの実務上の価値は「空白期間」を埋められる点にもあります。脆弱性が発見されてから修正パッチを適用するまでには、検証などでどうしても時間がかかります。この無防備な期間に、WAFが攻撃を食い止める応急防御として機能します。

導入形態は、クラウド型・アプライアンス型などがありますが、中小規模のECサイトであればクラウド型が現実的です。月額1〜3万円程度から導入でき、シグネチャ（検知ルール）の更新も提供事業者側で行われるため、運用負荷を抑えられます。

ログ管理とバックアップ

ログ管理とバックアップは、攻撃を「防ぐ」対策ではなく、事故が起きたときに「対応できる」状態を作る対策です。地味に見えますが、これがないと事故対応が根本から行き詰まります。

アクセスログや操作ログは、改ざんの検知と、事故発生後の原因・影響範囲の調査の基盤です。IPAガイドラインでも要件12「ログ、バックアップデータを保管」、要件13「ログ、バックアップデータの保護対策」として挙げられています。

ログがなければ「いつから」「どの範囲の」情報が影響を受けたのか特定できず、後述する個人情報保護委員会への報告義務にも対応できません。調査が長引けば、サイト停止期間もその分延びます。

バックアップは、ランサムウェア対策としても直接的に効きます。重要データを定期的にバックアップし、本番環境から切り離された場所に保管すること、そして復旧手順を文書化しておくことが要点です。

「バックアップは取っているが、復旧の手順を試したことがない」という状態は珍しくありません。年1回でも復旧テストを行っておくと、有事の対応速度が大きく変わります。

EMV 3-Dセキュアの導入

EMV 3-Dセキュアは、クレジットカード決済時に本人認証を行う仕組みで、義務化3点セットの中核です。2025年3月末までに原則すべてのEC加盟店が導入することとされ、期限はすでに到来しています。

従来の3-Dセキュア（1.0）との大きな違いは、リスクベース認証の採用です。すべての取引に追加認証を求めるのではなく、デバイス情報や取引状況から不正リスクを判定し、高リスクと判断された取引にのみワンタイムパスワード等の追加認証を要求します。これにより、セキュリティ強化と購入体験の両立が図られています。

導入のメリットとして、ライアビリティシフト（責任の移転）があります。EMV 3-Dセキュアの認証を経た取引で不正利用が発生した場合、チャージバックの損失は原則としてカード会社側の負担となり、加盟店は免責されます（不正利用が多発している加盟店など、免責の対象外となる場合もあります）。

未導入時には全額自己負担だった不正利用リスクが転換される点でも「義務だから入れる」以上の実利がある対策です。

会員アカウントの不正ログイン対策

義務化3点セットの3つ目が、会員アカウントの不正ログイン対策です。クレジットカード・セキュリティガイドライン6.0版の分析では、不正利用被害額が上位の加盟店の約7割が「会員ログイン機能あり」のECサイトでした。

背景にあるのは、フィッシング等で窃取されたIDとパスワードを使う「正規ログイン型」の不正です。攻撃者は正規の認証情報でログインするため、決済時点の認証だけでは見分けがつきません。カード情報が会員情報に紐づいて保存されているサイトでは、ログインの突破がそのまま不正決済につながります。

具体的な対策は次の3つが柱です。

• 二要素認証の導入（ログイン時にSMSや認証アプリでの確認を追加。IPAガイドライン要件10「利用者のログイン時の二要素認証の導入」に対応）
• ログイン試行回数の制限（一定回数の失敗でアカウントを一時ロック）
• 不審なIPアドレス・アクセスパターンからのログイン制限

決済前の段階、つまり「ログインの時点」で不正を止める設計が求められている点が、この対策の本質です。

不正注文の検知

EMV 3-Dセキュアを導入しても、すべての不正を防げるわけではありません。リスクベース認証をすり抜ける取引や、正規ログイン後の不正注文は残ります。そこで求められるのが、「決済前→決済時→決済後」の各段階で検知を重ねる、線の考え方による多層防御です。

決済時の3-Dセキュアに加えて、注文内容・配送先・購入頻度などから不正の兆候を判定するAI不正検知サービス（O-PLUX、ASUKAなど）を併用すれば、3-Dセキュアを通過した不正注文も捕捉できます。

すべてのECサイトに一律で必要な対策ではありませんが、高額商材や、ゲーム機・家電など転売されやすい商材を扱うサイトは不正注文の標的になりやすく、優先度が上がります。チャージバックの発生履歴がある場合は、導入検討の明確なサインと捉えてください。

アクセス権限の最小化と操作ログ管理

ここからは組織・運用面の対策です。見落とされがちですが、外部からの攻撃だけが漏えいの原因ではありません。

東京商工リサーチの調査では、2024年に上場企業が公表した個人情報漏えい・紛失事故のうち、誤表示・誤送信や紛失・誤廃棄、不正持ち出しといった人為的な要因によるものが約4割を占めています。外部攻撃への対策だけでは、こうした内部起因のリスクには対処できません。

基本原則は「最小権限」です。受注管理・商品登録・顧客対応など、業務ごとに必要最小限の権限のみを付与し、全員が管理者権限を持つ状態を避けます。

あわせて、退職者や異動者のアカウントを速やかに削除・変更する運用も欠かせません。使われなくなったアカウントの放置は、内部不正と外部からの乗っ取りの両方の温床になります。

操作ログの取得も、権限管理とセットで機能します。「誰が・いつ・何をしたか」が記録されていることは、内部不正の抑止力になると同時に、万一の際の事後追跡を可能にします。権限の棚卸しを半期に1回など定例化しておくと、形骸化を防げます。

出典：東京商工リサーチ「2024年『上場企業の個人情報漏えい・紛失事故』調査」
https://www.tsr-net.co.jp/data/detail/1200872_1527.html

従業員のセキュリティ教育

技術的な対策を積み上げても、従業員が1通のフィッシングメールに騙されれば、認証情報は外部に渡ります。人への対策は、技術対策と並ぶもう1つの柱です。

教育の内容は、次の3点を定期的に繰り返すことが基本です。

• フィッシングメールの見分け方と、受信時の報告手順
• パスワード管理のルール（使い回しの禁止、管理ツールの利用など）
• 個人情報・顧客情報の取扱ルール

加えて、インシデント発生を想定した対応訓練も効果的です。「不審なメールを開いてしまった」という場面を想定し、誰に・どう報告するかを実際に動いて確認しておくことで、本番での初動の遅れを防げます。

IPAガイドラインの「経営者編」は、セキュリティを現場任せにせず、経営課題として全社で推進することを求めています。教育の実施は、経営層がセキュリティに関与している姿勢を社内に示す機会にもなります。

インシデント対応計画の策定

どれだけ対策を重ねても、事故の可能性はゼロになりません。最後の対策は「事故が起きたときに何をするか」を事前に決めておくことです。

計画に盛り込むべき要素は、次のとおりです。

• 発覚時の社内連絡体制（誰が第一報を受け、誰が判断するか）
• 初動手順（被害拡大の防止→影響範囲の調査→関係先への報告の順序）
• 個人情報保護委員会への報告手順（速報は発覚から3〜5日以内。詳細は後述）
• 委託先・決済代行会社の連絡窓口と役割分担

とくに重要なのが、報告義務への対応です。カード情報を含む漏えい等が発生した場合、個人情報保護法にもとづき個人情報保護委員会への報告が義務づけられており、速報の期限は発覚から概ね3〜5日以内と短く設定されています。

事故が起きてから体制を検討していては、この期限には到底間に合いません。連絡網と手順書を1枚にまとめておくだけでも、初動は大きく変わります。

ECサイトのセキュリティ対策にかかる費用相場

SSLは年数千円から、クラウド型WAFは月額1〜3万円から、脆弱性診断はスポットで数万〜数十万円が目安です。

セキュリティ対策の稟議で必ず問われるのが費用です。ここでは対策別の費用相場を「初期費用」と「継続費用」に分けて整理 し、最後に予算配分の考え方をまとめます。

なお、費用はサイト規模や事業者によって変動するため、あくまで目安としてご覧ください。

情報漏えい対策の費用｜SSL証明書・WAF・脆弱性診断

情報漏えい対策の主要3項目の費用相場は、次のとおりです。

SSL証明書は、ドメインの実在確認のみで発行される「ドメイン認証型」であれば無料のLet’s Encryptも選択できます。ただし無料証明書は更新サイクルが短く、更新・設定の管理は自社で担う必要があります。組織の実在性まで確認する企業認証型・EV型は年間数万円〜十数万円で、サイトの信頼性表示を重視する場合の選択肢です。

WAFはクラウド型なら月額1〜3万円程度からと、中小規模のECサイトでも現実的な水準になっています。脆弱性診断は、安価で広範囲をカバーするツール診断と、高精度だが高価格の手動診断を、対象範囲の重要度で使い分けるのが費用効率の面でも合理的です。

これらは導入して終わりではなく、証明書の更新・WAFの監視・診断の定期実施といった継続費用まで含めて予算化しておくことが、途中で対策が途切れることを防ぎます。

不正利用対策の費用|EMV 3-Dセキュア・不正検知サービス

不正利用対策の費用は、契約している決済代行会社の条件によって大きく変わる点が特徴です。

EMV 3-Dセキュアは、決済代行会社経由での導入であれば追加費用がかからない例があります。たとえばJCBは、EMV 3-Dセキュアについて加盟店への料金請求はないとしています（ただし、決済代行会社側で別途費用が発生する場合があります。

まず行うべきは新規の見積もり取得ではなく、契約中の決済代行会社への確認です。「自社の契約プランで3-Dセキュアが利用可能か」「追加費用の有無」の2点を問い合わせれば、必要コストが明確になります。

AI不正検知サービスは、初期費用と月額費用の組み合わせが一般的で、審査する注文件数などに応じて変動します。また、SaaS型カートやパッケージを利用している場合は、月額利用料の中にどこまでのセキュリティ機能が含まれているかの確認が先決です。

すでに料金内で提供されている機能に、重複投資してしまうケースは少なくありません。

予算配分の考え方｜事故時損失との比較と優先順位

セキュリティ投資の稟議で最も説得力を持つのは、「対策費用」と「事故時損失」の比較です。

前述のとおり、事故時の損失は売上損失約5,700万円と対応費用約2,400万円をあわせて平均約8,100万円に上ります。一方、クラウド型WAF（月額1〜3万円）と年1回の脆弱性診断（数十万円）をあわせても、年間コストは100万円程度に収まるケースが多く、単純計算で事故時損失の80分の1ほどです。「かけるべきか」ではなく「かけない場合に何を失うか」で比較する構図を示せば、社内の意思決定は進めやすくなります。

限られた予算での優先順位は、次の順序が原則です。

1. 義務化された3点（EMV 3-Dセキュア・脆弱性対策・不正ログイン対策）：未対応はカード決済契約の解除リスクに直結するため最優先
2. IPAガイドラインの必須要件（ソフトウェア最新化、管理画面のアクセス制限とMFA、ログ管理など）
3. 推奨対策（WAF、不正検知サービスなど、自社のリスクに応じて追加）

また、ガイドライン対応済みのカートシステムや決済サービスを活用すれば、自社で個別に構築・運用する範囲を圧縮できます。すべてを自前で揃える前提ではなく、システム側で担保される範囲を確認したうえで、不足分に予算を集中させる考え方が費用対効果を高めます。

ECサイトのセキュリティ対策で見落としがちな4つの盲点

ECサイトのセキュリティ対策をする際、以下は典型的な盲点となるため注意が必要です。

• ベンダー任せの責任分界
• 事故後の報告義務
• 認証強化によるかご落ち
• 老朽システムの限界

ここでは、被害事例や調査データから見えてきた、対応が漏れやすい4つの盲点を取り上げます。

「ベンダー任せ」で曖昧になる責任分界

「セキュリティは構築を頼んだベンダーがやってくれているはず」。この思い込みが、最も典型的な盲点です。

個人情報保護委員会の調査によると、不正アクセス被害を受けたECサイトの77%は外部委託で構築されたものでした。さらに、外部委託等でECサイトを構築した事業者のうち、自社と委託先の責任範囲を「理解せず、認識合わせ・合意をしていない」事業者が38%に上り、不正アクセスの発生理由として「委託先任せの姿勢」を挙げた事業者も59%と過半数を占めています。

委託していても、被害と責任は委託元に返ってくるのが実態です。

SaaS型のカートシステムを使っている場合も同様です。IPAガイドラインは、SaaS利用時でも管理者アカウントの管理や自社で設定する範囲のセキュリティなど、事業者自身が担うべき責任範囲が残ることを明確にしています。

そこで、まず次の3点を確認してください。

• 契約書・仕様書にセキュリティ対策に関する記載があるか
• 脆弱性対応やパッチ適用は、自社と委託先のどちらの責任か
• 事故発生時の対応手順と費用負担はどう定められているか

この認識合わせは費用がかからず、今日から着手できます。

出典：個人情報保護委員会「ECサイトへの不正アクセスに関する実態調査」
https://www.ppc.go.jp/files/pdf/220316_shiryou-2-2.pdf

事故発生後の報告義務(速報は3〜5日以内)

事故対応の中で意外に知られていないのが、法律上の報告義務とその期限の短さです。

個人情報保護法では、クレジットカード番号を含む情報の漏えい、不正アクセスに起因する漏えい、または1,000人を超える漏えいなどが「報告対象事態」と定められています。

該当する場合、個人情報保護委員会への報告義務が生じ、期限は次のとおりです。

• 速報：発覚から概ね3〜5日以内
• 確報：発覚から30日以内（不正アクセスなど不正の目的によるおそれがある場合は60日以内）

あわせて、影響を受けた本人への通知も求められます。

見落としやすいのは、漏えいが委託先や決済代行会社側で発生した場合でも、報告・通知の義務を負うのは委託元であるEC事業者だという点です。「ベンダーのミスだからベンダーが報告するだろう」は通用しません。

3〜5日という期限は、事故発生後に調べ始めて間に合う長さではないため、前述のインシデント対応計画に報告手順を組み込んでおくことが実質的な唯一の備えになります。

出典：個人情報保護委員会「個人データの漏えい等が発生した場合の対応について」
https://www.ppc.go.jp/personalinfo/legal/leakAction/

セキュリティ強化が招くかご落ち

セキュリティを強化した結果、売上が下がる。この副作用も、担当者が直面する現実的な悩みではないでしょうか。認証ステップの追加は、購入完了までの手間を増やし、離脱率（かご落ち）の上昇リスクと表裏一体です。

ただし、この問題には設計で対処できます。EMV 3-Dセキュアのリスクベース認証を適切に活用すれば、追加認証を求めるのは高リスクと判定された取引のみに限定され、低リスクの取引は追加認証なしで完了します。

「全員に追加認証」ではなく「怪しい取引にだけ追加認証」という仕組みを正しく設定できているかが分かれ目です。

さらに一歩進めて、セキュリティ対応を決済フロー全体を見直す機会と捉える視点もあります。入力項目の削減や決済手段の追加など、購入体験の改善と同時に進めれば、認証追加分の離脱を相殺し、むしろコンバージョン率を高める余地もあります。

セキュリティとかご落ち対策を別々の課題とせず、同じテーブルで検討することをおすすめします。

現行システムの限界とリニューアルの判断

最後の盲点は、対策の実施そのものをシステムが阻むケースです。

長年運用してきたECシステムでは、「EMV 3-Dセキュアに対応した決済モジュールが組み込めない」「基盤が古くパッチが提供されない」「改修しようにも構築ベンダーのサポートが終了している」といった制約が珍しくありません。この状態で個別の対策を継ぎ足しても、費用がかさむ割に根本のリスクは残り続けます。

リニューアルを検討すべきかの判断軸は、次の3点です。

• ガイドライン対応状況：義務化3点（3-Dセキュア・脆弱性対策・不正ログイン対策）に現行システムで対応できるか
• パッチ提供：OS・ミドルウェア・カートシステムのセキュリティ更新が今後も提供されるか
• サポート継続性：ベンダーの保守サポートが継続しているか、終了時期が迫っていないか

このいずれかに「No」がつく場合、個別対策の積み増しよりも、ガイドライン対応済みのシステムへの移行のほうが、コストとリスクの両面で合理的な選択になり得ます。

リニューアルのタイミングや進め方については、下記の記事で詳しく解説していますので、あわせてご覧ください。

▼あわせて読みたい
ECサイトリニューアル成功事例14選！リニューアルのタイミングやポイントも解説

ECサイトのセキュリティ対策に関するよくある質問

まず義務化3点の充足を確認し、IPAのチェックリストで全体を点検する。これがどの規模のECサイトにも共通する出発点です。

最後に、EC担当者から寄せられることの多い質問に回答します。

Q1. セキュリティ対策は何から始めればいいですか？

最初に行うべきは、義務化された3点（EMV 3-Dセキュア・脆弱性対策・不正ログイン対策）を自社が満たしているかの確認です。この3点は未対応の場合のリスクが最も大きく、カード会社からの照会にも直結します。

そのうえで、IPA「ECサイト構築・運用セキュリティガイドライン」に付属するチェックリストを使い、構築時・運用時の要件を一つずつ点検してください。

チェックリスト形式のため、専任のセキュリティ担当者がいない企業でも、現状の抜け漏れを体系的に把握できます。

出典：IPA「ECサイト構築・運用セキュリティガイドライン」
https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html

Q2. 対応しない場合、罰則はありますか？

法律にもとづく罰金のような直接の罰則はありません。ただし、実質的な制裁はより重いものになります。

クレジットカード・セキュリティガイドラインは割賦販売法の実務上の指針として機能しており、カード会社には加盟店の調査と、問題が認められた場合の是正指導や契約解除などの措置が義務づけられています。

つまり未対応の帰結は、カード決済が利用できなくなることです。また、漏えい事故発生時に個人情報保護委員会への報告義務を怠れば、行政指導の対象にもなります。

Q3. 小規模なECサイトでも狙われますか？

狙われます。攻撃者の多くは自動化ツールでインターネット上の脆弱なサイトを無差別に探索しており、サイトの規模や知名度で標的を選んでいるわけではないためです。

むしろ、対策が手薄になりがちな中小規模のサイトのほうが侵入は容易です。IPAはガイドラインの中で、「自社のECサイトはサイバー攻撃の対象にならない」と考えて対策を疎かにすることは大変危険だと明記しています。

規模を理由に対策の優先度を下げる判断には、根拠がありません。

Q4. 社内にセキュリティに詳しい人材がいない場合はどうすればいいですか？

すべてを自社で担う前提を捨てることが現実解です。具体的には、次の2つから始めてください。

1つ目は、ガイドライン対応済みのカートシステムや決済サービスの活用です。3-Dセキュアや脆弱性対応がサービス側で担保されていれば、自社で対応すべき範囲を大幅に減らせます。

2つ目は、ベンダー・決済代行会社との責任範囲の確認です。「どこまでがシステム側で担保され、どこからが自社の責任か」を文書で明確にすれば、限られた人員をどこに充てるべきかが定まります。詳しい人材の採用よりも先に、この2つの整理が効果を発揮します。

義務化対応と運用体制がECセキュリティの出発点

EMV 3-Dセキュアをはじめとする義務化3点の充足と、対策を続ける運用体制の構築が、ECセキュリティの出発点です。

本記事の要点を3つに整理します。

• 義務化への対応が最優先：EMV 3-Dセキュア・脆弱性対策・不正ログイン対策の3点は、カード決済を扱う全EC加盟店に求められる水準であり、未対応はカード決済契約の解除リスクに直結
• 対策は3分類12項目で体系的に：情報漏えい対策・不正利用対策・組織/運用対策に整理し、義務・必須要件から優先的に着手する。費用は事故時損失（平均約8,100万円）との比較で判断
• 盲点は「任せきり」に潜む：ベンダーとの責任分界、事故後の報告義務（速報3〜5日以内）、かご落ちへの配慮、老朽システムの限界という4つの盲点を点検

読み終えた今、自社の状況を「義務化3点は満たせているか」「12項目のうち未着手はどれか」の2つの問いで棚卸ししてみてください。そのうえで、現在のシステムやベンダーがどこまでを担保しているのかを確認すると、自社で対応すべき範囲が明確になります。

もし現行システムの制約で義務化対応が難しい場合や、システム側でどこまでセキュリティを担保できるか確認したい場合は、通販基幹システムの提供実績をもつ当社までお問い合わせください。現状の構成を踏まえたうえで、対応の選択肢をご案内します。

▶︎お問い合わせ・相談はこちら