ECサイトで継続的に発生するアカウント乗っ取り・不正ログインの手口と被害実態をEC事業者向けに解説し、管理者・顧客アカウント双方の具体的な対策を紹介します。
アカウント乗っ取りとは
『アカウント乗っ取り（ATO）』は、ログイン後に不正に商品を購入されたり、ポイントを利用されたりする被害全般を指し、さらにはパスワードやメールアドレスを変更されて正規の利用者がアカウントの管理権限を失う状態も含みます。
多くの場合、他社サービスから流出したID・パスワードの使い回しや、フィッシングで盗み取った認証情報が悪用されるため、EC事業者は自社サイトの脆弱性の有無にかかわらず対応を求められます。
警察庁によると、2025年中の不正アクセス行為の認知件数は7,190件（前年比約34.2%増）で、そのうち「インターネットバンキングでの不正送金等」が4,747件（66.0%）と大半を占めていますが 、ECサイトの会員アカウントも狙われており、EC事業者にとって決して他人事ではないリスクです。
アカウント乗っ取り・不正ログインの主な手口とは
アカウント乗っ取りは複数の手口を組み合わせて実行されることが多く、EC事業者はそれぞれの特徴を理解した上で対策を検討する必要があります。
パスワードリスト攻撃
他社サービスから漏えいしたID・パスワードの組み合わせをリスト化し、様々なサイトへ機械的にログインを試行する手口です。「クレデンシャルスタッフィング」とも呼ばれます。多くの利用者が同じパスワードを複数サービスで使い回していることが、この攻撃を成立させる大きな要因になっており、自社サイト自体に脆弱性がなくても被害が発生し得る点が特徴です。
フィッシング詐欺
実在するECサイトやカード会社を装った偽サイト・偽メール・偽SMSに誘導し、利用者自身にID・パスワードを入力させて盗み取る手口です。近年は手口が巧妙化しており、正規のサイトやメールとの見分けが難しくなっています。
ブルートフォース攻撃／パスワードスプレー攻撃
考えられるパスワードを片っ端から試すのが「ブルートフォース攻撃」です。一定回数の失敗でアカウントをロックする対策が有効ですが、逆にパスワードを1つ（123456など）に固定し、ID側を次々と変えて試行する「パスワードスプレー攻撃」は、このロック機能をすり抜けるため検知が難しく、ECサイトで大きな脅威となっています。
マルウェアへの感染
利用者のPCやスマートフォンなどの端末にマルウェア（悪意のあるソフトウェア）を感染させ、バックグラウンドでIDやパスワードなどの認証情報を密かに盗み取る手口です。利用者が気づかないうちに情報が抜き取られるため、端末側のセキュリティソフト導入や、サイト側での不審な挙動の検知など、技術的な防御が重要になります。
ソーシャルエンジニアリング
電話やSNS、サポート窓口へのなりすましなどを通じて人間の心理的な隙やミスを突き、利用者自身に認証情報を直接伝えさせる手口です。このアプローチはシステムの脆弱性を突くものではなく、技術的な対策だけでは完全に防ぎきれないため、利用者への定期的な注意喚起や、従業員向けのセキュリティ教育が欠かせません。
これらの手口は単独で使われるだけでなく、フィッシングで得た情報をパスワードリスト攻撃に転用するなど、組み合わせて実行されるケースも少なくありません。
EC事業者が受ける被害
アカウント乗っ取りは、被害を受けるアカウントの種類によってEC事業者への影響が異なります。
顧客アカウントの被害
保存済みの決済手段が悪用されて不正購入が行われた場合、カード会員からの異議申立てを受け、チャージバックに発展するおそれがあります。加盟店側の損失負担となった場合、発送済みの商品、売上、送料やチャージバック対応コストを失う可能性があります。なお、損失負担は3Dセキュアの認証状況、カードブランドのルール、取引内容、提出証跡などによって異なります。また、顧客本人が被害に気づかない間に個人情報がダークウェブで転売され、他のサービスへの二次被害に発展することもあります。
管理者アカウントの被害
管理者アカウントが乗っ取られると、権限設定の範囲内で顧客情報、注文情報、配送先情報、ポイント、商品情報、価格、キャンペーン設定などを不正に閲覧・変更されるおそれがあります。決済情報へのアクセス可否は、カード情報の非保持化、トークン化、決済代行会社との連携方式、管理者権限の設計によって異なります。悪意ある投稿や商品価格の改ざん、バックドアの設置など、他のシステムへの二次的な攻撃の踏み台にされる危険性もあります。
信用失墜と法的責任
顧客情報が第三者に閲覧・取得されたおそれがある場合、個人情報保護法上、個人情報保護委員会への報告および本人への通知が必要となることがあります。特に、不正アクセスなど不正の目的による漏えい等は、法定の報告対象となり得るため、発覚時には事実確認と法務・セキュリティ部門への速やかな連携が必要です。加えて、被害がSNSや報道で拡散すれば、顧客離れやブランドイメージの低下にもつながり、事業継続そのものに影響を及ぼすこともあります。
不正ログイン・アカウント乗っ取りの被害の実態
アカウント乗っ取り・不正ログインは、業種を問わず日本国内で継続的に発生している問題です。警察庁によると、2025年中の不正アクセス行為の認知件数は7,190件（前年比約34.2%増）で、そのうち「インターネットバンキングでの不正送金等」が4,747件（66.0%）と最も多くを占めていますが、「インターネットショッピングでの不正購入」も228件認知されています。
この統計は不正アクセス禁止法上の不正アクセスとして認知された事案に基づくものであり、すべてのEC不正ログイン被害を網羅する数値ではありませんが、銀行と同様にECサイトも標的にされ続けていることを示しています。
また、IPA（情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威」でも、「インターネット上のサービスへの不正ログイン」は2016年から11年連続でランクインしており、事業規模や業種を問わず、長期にわたって警戒すべき脅威であることが公的機関からも裏付けられており、EC事業者にとって軽視できない経営課題であるといえます。
アカウント乗っ取りの兆候
アカウント乗っ取りを完全に見抜くことは難しいものの、EC事業者が次のような兆候を把握しておくことで、被害の早期発見につながります。
顧客アカウントの兆候
同一IPアドレスから短時間に大量のログイン試行が発生している、短時間に複数のアカウントへのログイン成功が記録されている、「身に覚えのない購入がある」「パスワード変更通知が届いた」という顧客からの問い合わせが増えている、特定の時間帯に普段と異なるIPアドレスからのアクセスが集中している、などが挙げられます。
管理者アカウントの兆候
見覚えのないIPアドレスや時間帯でのログイン履歴が残っている、自身が行っていない設定変更・商品情報の改ざん・権限変更の操作履歴がある、身に覚えのないパスワード変更通知やセキュリティアラートが届いている、バックエンドのファイルに見覚えのないスクリプトや設定変更が確認される、といった点に注意が必要です。
いずれの兆候も単独では判断が難しいため、複数の兆候を組み合わせて監視できる体制を整えておくことが望まれます。
EC事業者のアカウント乗っ取り・不正ログイン対策
アカウント乗っ取り・不正ログインへの対策も、単一の施策だけでは不十分で、複数の対策を組み合わせて多層的に防御することが重要です。EC事業者が優先的に取り組むべき対策は次の通りです。
多要素認証の導入
パスワードに加えて、複数の要素を組み合わせて本人確認を行う仕組みです。ただし、顧客アカウントと管理者アカウントでは求める強度を分けることが重要です。顧客アカウントには、リスクベース認証、異常ログイン時の追加認証、パスキー、認証アプリ、適切に保護されたSMS認証などが有効です。管理者アカウントにはMFAを必須化し、可能であればパスキーやFIDO2セキュリティキーなど、フィッシング耐性の高い方式を優先します。メールアドレス・パスワード・配送先・登録決済手段の変更、ポイント利用、返金、権限変更といった高リスク操作の際には、再認証・追加認証を求める設計も欠かせません。なお、SMS認証は有効な追加要素になり得ますが、SIMスワップやフィッシング、SMS転送、端末侵害などのリスクがあるため、特権アカウントの唯一の追加認証手段にはしない方が安全です。
| 対象 | 推奨する認証設計 |
|---|---|
| 顧客アカウント | リスクベース認証、異常ログイン時の追加認証、パスキー、認証アプリ、保護されたSMS認証 |
| 管理者アカウント | MFAを必須化。可能であればパスキー・FIDO2セキュリティキーなど、フィッシング耐性の高い方式を優先 |
| 高リスク操作（メール・パスワード・配送先・決済手段の変更、ポイント利用、返金、権限変更） | 操作の実行時に再認証・追加認証を要求 |
| アカウント復旧 | 本人確認を厳格化し、サポート窓口経由の安易な変更を防止 |
Bot対策・WAFの導入（システム的な入口対策）
WAF、Bot対策、CAPTCHA、レート制限は、機械的な大量アクセス、既知の攻撃パターン、ログイン試行の急増への対策として有効です。ただし、正規のID・パスワードを使うパスワードリスト攻撃では、通常のログインに近い通信として到達する場合があり、WAFだけでは防ぎきれません。そのため、これらの入口対策だけに依存せず、不正ログイン検知、リスクベース認証、多要素認証、ログイン後の重要操作に対する追加認証を組み合わせることが重要です。
不正ログイン検知の導入
ログイン時のIPアドレス、デバイス情報、行動パターンなどを自動でスコアリングし、通常と異なるログインを検知してアラートを出す、または追加認証を要求する仕組みです。多要素認証と組み合わせることで、普段と同じ環境からのログインでは認証の手間を省きつつ、怪しいログインだけを的確に検知する運用も可能になります。
脆弱性診断の実施
管理者アカウントへの不正アクセスは、認証情報の窃取だけでなく、脆弱性の悪用、誤設定、不要な管理画面の公開、過剰な権限付与などを入口として発生することがあります。認証強化と並行して、脆弱性診断、パッチ適用、権限の最小化、管理画面へのアクセス制限を実施することが重要です。
アクセスログの監視
ログイン試行や管理画面での操作ログを記録・監視し、通常と異なるアクセスがあった場合に早期発見できる体制を整えます。被害の兆候をいち早く捉えるための土台になるだけでなく、万が一被害が発生した際の原因調査や再発防止策の検討にも役立ちます。
これらの対策は個別に導入するよりも、多要素認証やBot対策・WAFを軸にしながら、不正ログイン検知・脆弱性診断・アクセスログ監視を組み合わせて多層的に運用することで、より強固な防御体制を構築できます。
まとめ
アカウント乗っ取りは、パスワードリスト攻撃やフィッシングなど複数の手口によって発生し、顧客・管理者どちらのアカウントが被害を受けても、EC事業者にとって大きなリスクにつながります。
パスワードの強化やWAFといった入口対策だけでは防ぎきれないケースもあるため、多要素認証や不正ログイン検知など複数の対策を組み合わせた多層的な防御が欠かせません。中でも、ログイン時の行動データをリアルタイムで分析する不正ログイン検知の仕組みは、入口対策をすり抜けた不正ログインを検知する有効な対策として注目されています。