EC News 【2026年版】ECサイトのセキュリティ義務化とは？3つの必須対策

「ECサイトのセキュリティ対策が義務化された」と聞いたものの、自社が何をどこまで対応すべきか分からず不安を感じていませんか。結論からお伝えすると、クレジットカード決済を導入しているECサイトのセキュリティ対策は、割賦販売法とその実務指針である「クレジットカード・セキュリティガイドライン」によって、2025年4月以降はすべてのEC加盟店に求められる事実上の義務となっています。本記事では、義務化の根拠と対象、求められる3つの対策、未対応の場合のリスクまでを、2026年3月に公表された最新版の内容を踏まえて整理します。

この記事の要点

• 根拠は割賦販売法。実務基準は「クレジットカード・セキュリティガイドライン」（最新は2026年3月公表の6.1版）
• 対象はクレジットカード決済を導入する全EC加盟店。事業規模や業種による例外なし
• 必須は「脆弱性対策」「不正ログイン対策」「EMV 3-Dセキュアの導入」の3点
• 期限は2025年3月末〜4月ですでに到来済み。未対応はカード決済契約の解除リスクにつながる
• 2025年のクレジットカード不正利用被害額は510.5億円。うち番号盗用が475.4億円

ECサイトのセキュリティ対策は本当に義務化されたのですか？

はい、クレジットカード決済を扱うECサイトについては、法律とガイドラインの二段構えで実質的に義務化されています。「努力目標」ではなく、対応していなければカード決済契約自体を継続できなくなる性質のものです。

出発点は、2018年6月に施行された改正割賦販売法です。この法律により、カードを取り扱う加盟店には「カード番号等の適切な管理」と「不正利用防止措置」が義務として課されました。

ただし条文は抽象的なため、実務上「何をすれば義務を果たしたことになるのか」を示す基準が別途用意されています。それが、クレジット取引セキュリティ対策協議会（事務局：一般社団法人日本クレジット協会）が策定するクレジットカード・セキュリティガイドラインです。

法律・ガイドライン・チェックリストの関係は？

3つの文書は「義務の根拠」「実務基準」「具体的な確認項目」という役割分担になっています。ガイドラインに沿った対策、またはそれと同等以上の対策を講じていれば、法律が求めるセキュリティ措置を実施しているものとして扱われます。

なぜECサイトが名指しで強化対象になったのですか？

クレジットカードの不正利用被害の大半が、EC（非対面）取引で発生しているためです。日本クレジット協会の調査によると、2025年のクレジットカード不正利用被害額は510.5億円で、そのうち番号盗用による被害が475.4億円を占めています（一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況」）。

被害額は2024年の555.0億円から前年比8.0％減と初めて減少に転じましたが、依然として500億円規模で高止まりしています。ECサイトの脆弱性を突いた不正アクセス、サイト改ざんによる情報窃取、フィッシングで盗まれた情報の悪用などが主な手口です。対策の全体像はECサイトのセキュリティ対策を体系的に解説した記事もあわせてご確認ください。

義務化の対象と期限はいつまでですか？

対象はクレジットカード決済を導入するすべてのEC加盟店で、主要な期限は2025年3月末から2025年4月にかけてすでに到来しています。つまり現時点で未対応であれば、期限に遅れている状態です。

売上規模や業種による除外規定はありません。対応時期を整理すると以下のとおりです。

「不正顕在化加盟店」に指定されるとどうなりますか？

不正顕在化加盟店とは、不正利用被害が一定水準を超えて表面化しているEC加盟店を指す区分です。具体的には、3か月連続で50万円以上の不正利用被害が発生した加盟店が該当し、EMV 3-Dセキュアの即時の導入着手が求められます。

一般の加盟店より短い期間での是正を迫られるため、被害が出始めた段階で早期に手を打つことが重要です。

2026年3月の6.1版で対応内容は変わりましたか？

いいえ、求められる対策の中身は変わっていません。6.1版は、6.0版で追加されたEC加盟店向け対策を各事業者が着実に実施できるよう、記載内容を分かりやすく整理した改訂です。

したがって実務上の対応は、新たな上乗せではなく6.0版の要件を確実に満たしているかの点検になります。

義務化で求められる3つの対策とは何ですか？

EC加盟店に求められる中核は、「脆弱性対策」「不正ログイン対策」「EMV 3-Dセキュアの導入」の3つです。1つ目はカード情報を漏えいさせないための対策、残りの2つは盗まれた情報を悪用させないための対策という位置づけです。

脆弱性対策とは？

脆弱性対策とは、ECサイトのシステムやWebサイトに存在する弱点を塞ぎ、改ざんやウイルス感染による情報漏えいを防ぐ取り組みです。カード情報を自社サーバーに保持していなくても、決済画面が改ざんされれば入力情報を抜き取られるため、対象外にはなりません。

具体的には、ソフトウェアやプラグインの速やかな更新、ウイルス対策ソフトの導入、管理者権限の適切な管理、管理画面のアクセス制限、脆弱性診断の定期実施などが挙げられます。カートシステムやサーバーの保守範囲を把握し、自社の責任範囲を明確にすることが出発点です。

不正ログイン対策とは？

不正ログイン対策とは、第三者が会員アカウントに侵入し、登録済みのカード情報や個人情報を悪用することを防ぐ対策です。フィッシングなどで流出したIDとパスワードを使い回す攻撃が典型的な脅威となります。

実務では、多要素認証の導入、一定回数の失敗によるログイン制御、普段と異なる端末やIPからのアクセス検知といった手段が使われます。攻撃手口の詳細はパスワードリスト攻撃の仕組みを解説した記事で確認できます。

EMV 3-Dセキュアとは？

EMV 3-Dセキュアとは、決済時に端末情報や購入履歴などからリスクを判定し、必要な場合のみワンタイムパスワード等で本人認証を行う仕組みです。従来の3Dセキュア1.0のように、すべての取引で固定パスワードを求める方式ではありません。

リスクが低いと判定された取引は認証を挟まずに完了するため、カゴ落ちへの影響を抑えながら、なりすまし利用を減らせる点が特徴です。導入は決済代行会社やカートシステム側の対応状況に左右されるため、契約先への確認が最初のステップになります。

義務化に対応しないとどうなりますか？

最も重いリスクは、クレジットカード決済そのものが使えなくなることです。加えて、金銭的な損失と信用の毀損が同時に発生します。

割賦販売法では、カード会社側に対して、セキュリティ対策を講じていない加盟店の新規契約を拒絶し、既存加盟店には合理的な期間内の是正を指導し、従わない場合は契約を解除する義務が課されています。つまり未対応の放置は、カード会社側の判断で決済停止に至り得ます。

不正利用が発生した場合、代金が事後的に取り消されるチャージバックの負担は加盟店側に及ぶことがあります。仕組みと備え方はチャージバックの原因と事業者側の対応をまとめた記事が参考になります。

また、カード番号を含む個人データが漏えいした場合は、個人情報保護法に基づき個人情報保護委員会への報告が必要です。速報は事態を知ってから概ね3〜5日以内、確報は原則30日以内（不正アクセスなど故意によるものは60日以内）が目安とされています。

義務化に対応し続けられるEC基盤はどう選べばよいですか？

選定の軸は「一度対応できるか」ではなく「対応状態を維持し続けられるか」です。ガイドラインは継続的に改訂され、攻撃手口も変化するため、更新をサイト側で抱え込まない構成が有利になります。

特にフルスクラッチは自由度が高い一方、脆弱性の修正やミドルウェアの更新をすべて自社で担う必要があり、人員が限られる場合は対応の遅れがそのままリスクとなります。

クラウド型EC構築プラットフォームの「GMOクラウドEC」は、EC本体機能とセキュリティが自動でアップデートされる設計のため、システムの老朽化や更新漏れが起きにくい点が特徴です。法令改正への対応もサービス側で実施します。

運営元のGMOメイクショップ株式会社はISMSを取得し、WAFの運用を含む体制でサイトを保護します。要件定義の段階から専任のプロジェクトマネージャーが伴走し、問い合わせ窓口は24時間365日受け付けています。

加えて「GMOクラウドEC」はヘッドレスコマースを採用し、基幹システムやCRMなど外部システムとのAPI連携にも対応します。セキュリティ要件を満たしながら独自の購買体験を実現したい場合の選択肢となります。

よくある質問

小規模なECサイトでも義務化の対象になりますか？

はい、対象になります。クレジットカード決済を導入している限り、売上規模や従業員数による除外はありません。対策の実装方法は規模によって変わりますが、求められる要件そのものは同じです。

カード情報を自社で保持していなければ対応は不要ですか？

いいえ、非保持化していても対応は必要です。決済画面の改ざんによって入力途中の情報が抜き取られる手口があるため、脆弱性対策は非保持の事業者にも求められます。加えて不正ログイン対策とEMV 3-Dセキュアの導入も対象です。

EMV 3-Dセキュアを導入するとカゴ落ちが増えませんか？

従来の3Dセキュア1.0と比べると、影響は抑えられる設計です。EMV 3-Dセキュアはリスクが高いと判定された取引にのみ追加認証を求めるため、多くの正常な取引は認証なしで完了します。導入後は認証率と離脱率を計測し、決済代行会社と設定を調整することをおすすめします。

モールに出店しているだけの場合はどう考えればよいですか？

モール側のシステムで完結する決済については、基本的にモール運営者側が対策の主体となります。ただし自社ECサイトを別に運営している場合、そちらは自社が加盟店として対策の主体です。契約形態によって責任範囲が異なるため、契約先のカード会社または決済代行会社への確認をおすすめします。

まとめ

ECサイトのセキュリティ対策は、割賦販売法とクレジットカード・セキュリティガイドラインにより、クレジットカード決済を導入する全EC加盟店にとって事実上の義務となりました。求められるのは「脆弱性対策」「不正ログイン対策」「EMV 3-Dセキュアの導入」の3点で、期限は2025年3月末から4月にかけてすでに到来しています。

2026年3月公表の6.1版で要件が増えたわけではないため、いま必要なのは新たな対策の上乗せではなく既存要件の点検です。未対応が続けばカード決済契約の解除にもつながるため、契約先のカード会社・決済代行会社と現状を確認するところから始めてください。

あわせて、対応を継続できる基盤かどうかを見直す視点も欠かせません。自動アップデートやWAF運用を含む体制でセキュリティ要件に向き合いたい場合は、「GMOクラウドEC」へのご相談・資料請求はこちらから、現在の課題にあわせてご相談ください。