クレジットカードの不正利用は、EC事業者にとって売上損失や信頼低下につながるリスクです。不正の手口やEC事業者が負うリスク、取るべき対策を解説します。
クレジットカード不正利用（不正決済）とは
クレジットカード不正決済（不正利用）とは、盗まれたカード番号や個人情報を使って、本人になりすましてECサイトで商品を購入される被害のことです。
現在は原則としてEMV 3-Dセキュアの導入が求められていますが、リスクベース認証によって普段と近い環境からの注文では追加認証が省略される場合があるほか、導入が済んでいない加盟店や対象外の取引も一部残っており、条件によってはカード番号・有効期限・セキュリティコードの入力だけで決済が成立してしまうケースもあります。
日本クレジット協会の調査によると、2025年のクレジットカード不正利用被害額は500億円を超える高水準が続いていますが、直近では減少傾向もみられます。被害の9割以上は、フィッシングやダークウェブでの情報売買などによって盗まれたカード番号を使う「番号盗用」が占めており、EC事業者にとって不正決済は依然として身近で警戒すべきリスクであることに変わりありません。
※出典：一般社団法人日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2026年3月6日発表）https://www.j-credit.or.jp/download/news20260306_a1.pdf
不正決済の主な手口とは
クレジットカード不正決済にはさまざまな手口があり、対策を考えるにはまず攻撃者がどのような方法でカード情報を悪用しているかを知ることが欠かせません。EC事業者が押さえておくべき代表的な手口は次の通りです。
偽サイトへ誘導するフィッシング詐欺：クレジットカード情報漏洩の手口
実在する企業やカード会社を装った偽サイト・偽メール・偽SMSに誘導し、利用者自身にカード番号やID・パスワードを入力させて盗み取る手口です。近年は手口が巧妙化しており、正規のサイトやメールとの見分けがますます難しくなっています。
スキミング被害の実態：実店舗だけでなくECサイトでも増加するカード情報盗難
店舗の決済端末への不正装置設置だけでなく、ECサイトの決済画面に悪質なプログラム（改ざん）を仕込んで入力情報を盗み取る「Webスキミング（フォームジャッキング）」の被害が増加しています。正規の決済画面上で入力中に情報が抜き取られるため、利用者側で気づくことが困難な手口です。
クレジットマスター（クレマス）攻撃によるカード番号の特定
カード番号に一定の規則性があることを悪用し、実在しうる番号の組み合わせをプログラムで大量に生成・試行して、有効なカード情報を割り出す手口です。少額決済を繰り返して有効性を確認し、その後高額購入に悪用されるケースが多く見られます。
ECサイトのアカウント乗っ取り・不正ログインの手口
リスト型攻撃（クレデンシャルスタッフィング）や、他サービスから流出したID・パスワードの使い回しを悪用し、ECサイトの会員アカウントに不正ログインする手口です。アカウントにカード情報が保存されていると、本人確認なしに高額商品を購入されてしまいます。
クレジットカードの番号盗用（なりすまし）による不正決済
過去の情報漏えいやダークウェブでの売買によって流出したカード番号・有効期限・セキュリティコードを使い、本人になりすまして注文する手口です。ECサイト側は正規の情報が入力されている限り不正だと気づきにくく、被害の中でも最も多くを占める「番号盗用」の中心的なパターンです。
チャージバックの悪用とフレンドリー詐欺（チャージバック詐欺）の手口
商品を受け取り注文した事実を認識していながら、身に覚えがない・届いていないなどと偽ってカード会社に異議を申し立て、返金を得る行為です。未着や不正利用が事実であれば正当な手続きですが、虚偽の申告によるものは「フレンドリー詐欺」と呼ばれ、正規利用者自身の申請であるため判別が難しく、EC事業者にとって対応が難しい手口の一つです。
これらの手口は単独ではなく組み合わせて使われることも多く、EC事業者には手口ごとの特徴に応じた多層的な対策が求められます。
EC事業者が負う4つのリスク
クレジットカード不正決済を放置すると、EC事業者は目先の売上損失だけでなく、事業継続に関わる複数のリスクを同時に抱えることになります。
商品も代金も回収できない
不正注文と気づかないまま発送すると、後日チャージバックが発生し、代金を回収できないまま商品も失います。ただし3Dセキュアで本人認証が完了していれば、条件次第でチャージバック責任はカード発行会社側に移るため、未導入・未認証の取引ほどこのリスクを直接負うことになります。
カード会社との契約問題
不正利用被害額が一定基準に達した加盟店 は「不正顕在化加盟店」としてカード会社の改善指導や契約解除の対象になることがあります。また不正防止に支障がある行為は加盟店情報交換制度（運営：JDMセンター）で他のカード会社とも共有され、新規契約審査に影響する場合もありますが、措置は個別の事実確認と各社の判断によります。
注文確認の工数増加
不正被害が増えると、目視での注文チェックを強化せざるを得なくなり、人件費の増加や確認漏れ・出荷遅延といった運用面のミスも起こりやすくなります。
ブランド・信頼の失墜
不正が起きたサイトとしてSNSや口コミで拡散すると、既存顧客の離脱や新規顧客の獲得難につながります。カード会社・利用者の双方から同時に信頼を失う点が、このリスクの深刻さです。
不正決済が起きやすい・狙われやすいECサイトの特徴
クレジットカード不正決済は、どのECサイトにも同じように起こるわけではなく、狙われやすいサイトには共通する特徴があります。
高額商品、デジタルコンテンツ、家電など換金性の高い商品を扱っている
ブランド品や家電、電子ギフトカードなどは転売・換金しやすく、攻撃者に狙われやすい商品カテゴリです。特にデジタルコンテンツは注文後に即時提供されるため配送停止による被害回避ができず、他の商材以上に迅速な検知が求められます。
新規会員登録や購入時の審査・注文監視体制が不十分
本人確認やアカウント登録のハードルが低く、注文内容を目視や自動でチェックする体制が整っていないサイトは、不正注文を見抜けないまま出荷してしまいがちです。
決済システムのセキュリティが最新基準にアップデートされていない
3Dセキュアやセキュリティコード確認を導入しておらず、旧式の決済フローのままのサイトは攻撃者にとって突破しやすい入口になります。また3Dセキュアの導入だけでは不十分で、クレジットカード・セキュリティガイドラインでも、不正ログイン対策やシステム・Webサイトの脆弱性対策、取引監視の組み合わせが求められています。
EC事業者が行うべき不正対策
クレジットカード不正決済への対策は、単一の施策だけでは不十分で、複数の対策を組み合わせて多層的に防御することが重要です。EC事業者が優先的に取り組むべき対策は次の通りです。
3Dセキュア2.0の導入・移行
クレジットカード・セキュリティガイドラインにより、国内のEC加盟店には2025年3月末までのEMV 3-Dセキュア導入が求められました。低リスク取引など一部対象外のケースもありますが、未導入の場合は決済代行会社への相談も含めて早急な対応が必要です。認証が適切に完了した不正利用チャージバックでは責任がカード発行会社側に移るライアビリティシフトが適用される場合があり、これはEC事業者にとって大きなメリットです。（ただし未着や商品不良、返金対応など加盟店起因の争いは対象外）
セキュリティコードの導入
カード裏面に印字されたセキュリティコード（CVV2/CVC2）は、磁気ストライプに記録される検証値（CVV1/CVC1）やICチップに記録される検証値（iCVV）とは別の情報のため、スキミングでは通常読み取れず、一定の抑止力になります。ただしフィッシングなどでコードごと盗まれるケースもあるため、単体では防ぎきれず、他の対策と組み合わせて運用することが前提です。
カード情報の非保持化
自社サーバーやシステムにカード情報を保存・通過させない「非保持化」にすることで、サーバー側からの情報流出リスクは大きく下げられます。ただしWebスキミングのように決済画面の入力時点で情報を盗む攻撃までは防げないため、非通過型決済の採用に加え、Webサイトの脆弱性対策・改ざん検知・委託先管理も併せて行う必要があります。割賦販売法では、非保持化またはPCI DSS準拠のいずれかへの対応が加盟店に求められています。
配送先情報の蓄積・活用
過去に不正が確認された配送先情報を蓄積し、同じ配送先や似たパターンへの再注文を検知する運用は有効な対策です。手作業なら小さく始められますが、自動検知には実装・運用コストがかかります。また配送先情報は個人情報にあたるため、利用目的や保存期間、誤判定時の救済手段、アクセス管理をあらかじめ設計しておく必要があります。
不正検知システムの導入
AIやルールベースのロジックで、注文内容やユーザーの行動データ（IPアドレス、デバイス情報、購入パターンなど）を自動でスコアリングし、怪しい注文にアラートを出す仕組みです。目視チェックにかかる工数を大幅に削減しながら、検知精度の向上や審査業務の効率化が期待できるため、上記の対策全体を支える土台として導入するEC事業者が増えています。
これらの対策は個別に導入するよりも、導入が求められている3Dセキュアを軸にしながら、非保持化・不正検知システムを組み合わせて運用することで、より高い防御効果が期待できます。
不正利用発覚時の対応手順
不正決済に気づいたタイミングによって、EC事業者が取るべき対応は異なります。発覚後の初動を誤ると被害が拡大するため、事前に対応フローを整理しておくことが大切です。
発送前に気づいた場合
まずは会員登録済みの電話番号やメールアドレスなど、信頼できるチャネルで購入者本人に注文内容を確認します。この際、カード番号・セキュリティコード・ワンタイムパスワードを尋ねることは絶対に避けてください。第三者による不正注文と判明した場合や本人と連絡がつかない場合は、発送を保留し、決済代行会社（PSP）やアクワイアラーの規定に従ってオーソリ取消・売上取消の可否と手順を確認します。
発送後に気づいた場合
すでに発送してしまっている場合は、契約先の決済代行会社（PSP）またはアクワイアラーへ速やかに連絡し、以降の対応方針の指示を仰ぎます。チャージバックは期限内の反証が重要になるため、注文情報・本人認証（3Dセキュア）の記録・配送状況・受領確認・顧客対応履歴といった証跡をあらかじめ整理し、異議申立てに備えておくことが重要です。
あわせて、不正注文のIPアドレス・デバイス情報・配送先・注文日時といった詳細な情報を記録・保存しておくと、不正検知のルール設計や再発防止策の検討にも役立てられます。これらの情報も配送先情報と同様、個人情報として適切に管理する必要があります。
いずれの場合も、担当者だけで判断せず、決済代行会社やアクワイアラーと連携しながら対応することが、被害拡大の防止につながります。
まとめ
クレジットカード不正決済は、なりすまし購入からフィッシング、フレンドリー詐欺まで手口が多様化しており、放置すれば売上損失だけでなくカード会社との契約解除やブランドの信頼失墜にもつながりかねません。3Dセキュアやセキュリティコードなど個別の対策だけでは防ぎきれないケースも増えているため、複数の対策を組み合わせた多層的な防御が欠かせません。中でも、注文データやユーザー行動をもとにリアルタイムで不正を見抜く不正検知システムは、他の対策の効果を底上げする土台として、多くのEC事業者が導入を進めています。