EC不正注文の手口と事業者リスクを解説。3Dセキュア、不正ログイン対策、不正検知、注文・配送先審査、脆弱性対策、発覚後の対応まで、EC事業者に必要な多層的な対策を紹介します。
EC不正対策とは
EC不正対策とは、盗用されたカード情報やアカウント、虚偽の登録情報などを悪用した不正注文、不正ログイン、特典・決済の不正利用を抑止し、発生時の被害を最小化するための取り組みです。決済時の本人認証、アカウント保護、注文審査、配送先・取引情報の分析、ECサイト自体の脆弱性対策、インシデント対応を組み合わせて運用します。
日本クレジット協会によると、クレジットカード不正利用被害額は2024年に555億円で過去最高となり、そのうち92.5%（513.5億円）を「番号盗用」が占めました。2025年は510.5億円に減少したものの、依然として高い水準です。クレジットカード・セキュリティガイドラインでは、EC加盟店に対し、EMV 3-Dセキュアの導入、適切な不正ログイン対策、被害状況に応じた追加の不正利用対策が求められています。カード情報を取り扱うECサイトでは、脆弱性対策を含むカード情報保護も重要です。不正はブランド力のある大手ECサイトだけの問題ではなく、セキュリティ投資に十分なリソースを割けない中小のECサイトほど、対策の手薄さを狙われやすい傾向があります。
※出典：日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2026年3月6日） https://www.j-credit.or.jp/download/news20260306_a1.pdf
クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」 https://www.j-credit.or.jp/security/document/index.html
不正注文の主な手口
EC事業者が押さえておくべき不正注文の主な手口は次の通りです。
なりすまし注文
盗まれたカード情報や個人情報を使い、本人になりすまして注文する手口です。不正者は、受け取り後の追跡が難しい配送先、転送サービス、短期滞在先、過去に不正と関連した住所等を利用する場合があります。
ただし、これらは正規利用でもあり得るため、配送先だけで判定せず、注文頻度、端末情報、決済情報、購入商材、過去の取引履歴などを組み合わせて評価することが重要です。発送後に不正が発覚すると、商品は騙し取られ、チャージバックにより代金も回収できないという二重の被害を被ります。
転売目的の大量購入
人気商品や数量限定品、初回限定価格のコスメなどを、自動化プログラム（Bot）や複数アカウントを使って買い占め、高額で転売する手口です。正規の顧客が購入機会を失うだけでなく、ブランドイメージの低下にもつながります。
後払い決済の悪用
架空の情報や他人名義で後払い決済を利用し、商品を受け取った後に代金を踏み倒す手口です。商品をそのまま転売して現金化するケースもあり、未払いのまま連絡が取れなくなることもあります。
代引きの受け取り拒否といたずら注文
代金引換で注文した商品の受け取りを意図的に拒否し、往復の配送コストや梱包資材の無駄を事業者に負わせる手口です。金銭的な利益よりも業務妨害を目的とした「いたずら注文」として行われることもあり、出荷準備や在庫管理の負荷を大きく増加させます。
EC事業者が受けるチャージバックによる直接損失と取引条件見直しのリスク
不正注文を放置すると、EC事業者は次のようなリスクを抱えることになります。
チャージバックによる直接損失と契約解除リスク
不正注文と気づかず商品を発送すると、後日チャージバックで売上が取り消され、代金を回収できないまま商品も失うおそれがあります。アクワイアラーが把握する不正利用金額が3か月連続50万円超の加盟店は「不正顕在化加盟店」に該当し、被害状況や手口に応じた追加対策が求められます。高い不正利用水準が続く場合は、契約先から改善対応や取引条件の見直しを求められる可能性があります。
ブランド・信頼の低下とCPAの悪化
不正が発生したサイトとしてSNSや口コミで話題になると、顧客離れや新規顧客の獲得難につながり、ブランドイメージの低下を招きます。また、広告計測上、不正注文をコンバージョンとして集計している場合、広告評価がゆがみ、顧客獲得単価（CPA）やROASの判断を誤るおそれがあります。不正確定後に受注データを除外・補正できるよう、広告・CRM・受注管理の連携方法を確認しておくことが重要です。
運用負荷の増加と担当者の疲弊
不正注文の目視確認や、購入者への確認連絡などに人手を割く必要が生じ、通常業務を圧迫します。繁忙期には確認作業が追いつかず、見落としが増えるという悪循環に陥ることも少なくありません。
EC不正対策を構成する6つの対策領域
クレジットカード・セキュリティガイドラインで示されてきた「本人認証」「券面認証」「属性・行動分析」「配送先情報」の4方策を基礎に、現在は不正ログイン対策、ECサイト・管理画面の脆弱性対策、発覚後の対応まで含めて、多層的に設計することが重要です。
| 対策領域 | 主な目的 | 対策例 |
|---|---|---|
| 決済時の本人認証 | 盗用カードによる決済を抑止 | EMV 3-Dセキュア、リスクベース認証 |
| 券面認証 | カード番号だけの悪用を抑止 | セキュリティコード（CVV/CVC）入力、決済代行会社の判定ルール |
| アカウント保護 | 乗っ取り後の注文・ポイント悪用を防ぐ | パスキー・MFA、不審ログイン検知、重要操作時の追加認証 |
| 注文・配送先審査 | 不正注文・転売・大量購入を判定 | デバイス、IP、注文内容、配送先、速度・頻度の分析 |
| ECサイトの保護 | 情報漏えい・スキミング等を防ぐ | 脆弱性管理、管理画面保護、改ざん検知、WAF |
| 発覚後の対応 | 損失と被害拡大を抑える | 出荷停止、配送差し止め、証跡保全、決済代行会社連携、ルール更新 |
決済時の本人認証（EMV 3-Dセキュアの導入）
決済時にワンタイムパスワードや生体認証などの本人確認を追加することで、なりすまし注文を防ぎます。低リスクな取引では追加認証が省略される「リスクベース認証」により、利用者のカゴ落ち負担を抑えながら不正利用の防止と両立できます（詳細は「3Dセキュア・本人認証」をご参照ください）。
券面認証（セキュリティコードの活用）
カード券面に表示される3桁または4桁のセキュリティコード（CVV/CVC）の入力を求めることで、カード番号と有効期限だけが漏えいしたケースでの不正利用を抑止します。ただし、フィッシングや不正な決済画面等によりコードも盗まれた場合には防げないため、EMV 3-Dセキュアや不正検知と組み合わせる必要があります。
アカウント保護
不審なログインを検知する仕組みや、パスキー・多要素認証によって、乗っ取られたアカウントを起点にした不正注文・ポイント悪用を防ぎます（詳細は「アカウント乗っ取り・不正ログイン」をご参照ください）。
注文・配送先審査（不正検知システム）
注文時のIPアドレス、デバイス情報、利用者の行動パターン、配送先などを組み合わせて不正リスクをスコアリングする仕組みです。目視確認の負担を減らしながら、検知精度の向上と審査業務の効率化が期待できます。
ECサイトの保護
脆弱性管理、管理画面へのアクセス制限、改ざん検知、WAFの導入などにより、情報漏えいやWebスキミングといった、決済時の認証だけでは防げないリスクに対応します。
発覚後の対応
不正が発覚した際に、被害の拡大を防ぐための出荷停止や証跡保全などの初動対応です。詳細は後述の「不正注文の発覚後フロー」で解説します。
これら6つの対策領域は、いずれか一つだけでは不十分で、自社のリスクに合わせて複数を組み合わせる「多層防御」で運用することで、初めて効果を発揮します。
不正検知システムの選び方
不正検知システムを選ぶ際は、次の観点を確認するとよいでしょう。
AIとルールベースの違い
AI型は過去の注文パターンを学習して未知の手口にも対応しやすい一方、初期設定のコストが高めになる傾向があります。ルールベース型は即時に設定でき、判定基準を人が解釈しやすい一方、新しい手口への対応が遅れやすいという特徴があります。両者を組み合わせたハイブリッド型を提供するサービスも増えています。
導入前の確認ポイント
自社が扱う商材、決済手段、月間の注文数などから、自社に必要なリスク感度をあらかじめ整理した上で選定します。確認すべき項目としては、誤検知率（正規注文を不正と誤判定してしまう割合）、利用しているカートシステムや決済手段との連携可否、料金体系（固定費か従量制か）、導入後のサポート体制などが挙げられます。
導入時の注意点：UX・誤検知・運用設計
不正対策を導入する際は、次の点にも注意が必要です。
UXとのバランス
認証ステップを増やすと、購入の途中で離脱してしまう「カゴ落ち」が増加するというトレードオフがあります。すべての取引に一律で強い認証を求めるのではなく、リスクの高い取引だけ認証レベルを上げる、リスクベースの設計を検討することが重要です。
運用負荷を抑える方法
目視チェックへの依存度が高いと、注文が集中する繁忙期にミスが集中しやすいというボトルネックが生まれます。自動化ツールや検知代行サービスの活用によって、注文数の増減にかかわらずチェックの品質を一定に保てる体制を整えることが望まれます。
不正購入発覚後の対応フロー
万が一、不正購入が発覚した場合は、被害を最小限に食い止めるために以下の対応フローを迅速に実行する必要があります。
初動対応：出荷停止と配送業者への「引き戻し」依頼
発覚した時点で商品が出荷前であれば、直ちに受注をキャンセルし出荷を停止します。すでに倉庫から出荷されてしまった直後であれば、速やかに配送業者へ連絡し、受取人への配達を中止して荷物を戻す「引き戻し（配達差し止め）」を依頼します。同時に、アクセスログや受注情報などの証跡を保全します。ただし、荷物の状況によっては対応できない場合や、追加費用が発生する場合があります。
決済関連の連携
決済代行会社・アクワイアラー・カード会社へ連絡し、取引情報、認証結果、オーソリ・売上処理の状況、チャージバック見込みを確認します。
アカウント対策
アカウント乗っ取りが疑われる場合は、ログインセッションの失効、パスワード再設定を行い、配送先・決済手段・ポイント残高・登録連絡先の変更履歴を確認します。
横展開
同一の端末、IP、メールアドレス、電話番号、配送先、カードトークン、クーポンコード、購入商材等で類似注文を検索し、保留・再審査します。
購入者への確認
購入者本人への確認連絡が必要な場合は、不正を断定せず注文内容の確認を目的とすること、公式の問い合わせ窓口であること、確認期限と必要な対応を明示することを意識します。フィッシングと誤認されないよう、メール内リンクで認証情報の入力を求めず、顧客が公式サイト・アプリから確認できる導線を用意します。
KPI管理と継続的なルールの改善
被害処理が終わった後は、今回の手口がなぜ検知システムをすり抜けたのかを分析します。不正注文率、チャージバック率、誤検知率などをKPIとして設定し、定期的に振り返ることが重要です。PDCAサイクルを回しながら、システムの設定や目視審査のルールを継続的に更新していく仕組みが、長期的な被害抑制につながります。
まとめ
EC不正対策では、盗用カードによるなりすまし注文、アカウント乗っ取り、後払い決済の悪用、転売目的の大量購入など、複数のリスクを前提にする必要があります。
対策は、EMV 3-Dセキュアによる決済時の本人認証、不正ログイン対策、注文・配送先のリスク評価、ECサイトの脆弱性対策、発覚後の出荷停止・証跡保全を組み合わせて設計することが重要です。誤検知による機会損失にも注意しながら、不正率、チャージバック率、誤検知率、審査工数などを定期的に確認し、ルールと運用を継続的に改善しましょう。