カード情報・決済

クレジットカード・セキュリティガイドライン6.1版とは｜EC加盟店がやることを要約

公開：2026.11.10 ／ EC参謀編集部

※本記事は2026年11月10日時点で確認した、クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月）と附属文書、日本クレジット協会の公表資料に基づきます。運用や契約の扱いは変わることがあるため、最新は公式の情報と契約先・専門家でご確認ください。

決済代行会社やカード会社から「セキュリティ対策の実施状況を申告してください」と書類が届いて、何を答えればよいか迷ったことはないでしょうか。その根拠になっているのが、2026年3月に改訂されたクレジットカード・セキュリティガイドライン6.1版です。6.1版は新しい義務を足す改訂ではなく、6.0版で加わった対策を着実に進めるための改訂と本文に書かれています。

クレジットカード・セキュリティガイドライン6.1版とは

クレジットカード・セキュリティガイドラインとは、カード会社・決済代行会社・加盟店などが取り組むセキュリティ対策を、クレジット取引セキュリティ対策協議会がまとめた文書です。事務局は日本クレジット協会で、2020年3月に最初の版がまとめられ、6.1版（2026年3月）は6回目の改訂とされています。

EC加盟店にとって大事なのは、このガイドラインが割賦販売法で求められる措置の「指針対策」として位置づけられている点です。割賦販売法は、カードを扱う加盟店にカード番号等の適切な管理と不正利用の防止を求めていて、ガイドラインはその具体的な中身を示すものとして使われています。

つまり、2026年11月時点でEC加盟店に求められている対策の中身は、6.0版で加わったものが中心です。EMV 3-Dセキュアの導入期限（2025年3月末）はすでに過ぎていて、導入済みであることが前提の段階に入っています。

EC加盟店がやること｜カード情報の保護と不正利用対策の2本柱

EC加盟店がやることは「カード情報の保護」と「不正利用対策」の2つに分かれ、それぞれに具体的な対策が決められています。6.1版の5章（EC加盟店の部分）を要約すると、次のとおりです。

ガイドラインは、不正利用を決済前・決済時・決済後の「線」で防ぐ考え方を示しています。決済前は不正ログイン対策、決済時はEMV 3-Dセキュアとオーソリ、決済後は配送先のチェックなど、複数の対策を重ねて使うイメージです。

不正ログイン対策は、附属文書20に挙げられた方法から1つ以上を入れることとされ、例として不審なIPアドレスからの接続の制限、2段階認証・多要素認証、ログインの試行回数の制限、ログインや情報変更のときのメール・SMSでの通知などが並んでいます。EMV 3-Dセキュアは決済のたびに認証するのが原則ですが、ほかの対策の内容に応じて、カード番号の登録時に認証する運用なども認められています。詳しくはEMV 3-Dセキュアの記事にまとめています。

非保持化でも脆弱性対策が要る理由

非保持化でも脆弱性対策が要るのは、ガイドラインが現在の主な情報漏えいは、非保持化を実現したEC加盟店でWebサイトの脆弱性などを原因に起きていると説明しているためです。カード情報をサーバーに残さなくても、入力画面を書き換えられると、お客様が入力した情報がそのまま第三者に送られるおそれがあります。

2026年11月にも、カード決済が非保持化に対応していたECサイトで、PC向けの決済入力処理に不正なプログラムが組み込まれたと公表された例があります（エディオンの速報）。

脆弱性対策の中身は、附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」に書かれています。主な項目は次のとおりです。

• 管理画面へのアクセスの制限と、管理者のIDとパスワードの管理
• データを置くフォルダが外から見えてしまうなどの設定の不備をなくす
• 脆弱性診断またはペネトレーションテストを定期的に行う
• Webアプリケーションの脆弱性（SQLインジェクション・クロスサイトスクリプティング）への対策
• ウイルス対策ソフトの導入と更新
• クレジットマスターなど、カードの有効性を確かめる不正な決済への対策

附属文書20では、オープンソースのカートやCMSを使う場合、導入後のセキュリティパッチの更新などはEC加盟店の責任で行うこととされています。自社構築や拡張機能の多いサイトほど、更新の担当と頻度を決めておくのが現実的です。具体的な防ぎ方はカード情報漏えい対策の記事で取り上げています。

申告書と「不正顕在化加盟店」の扱い

決済代行会社やカード会社から届くセキュリティ対策の申告書は、附属文書20の別紙にある「ECサイトのセキュリティ対策実施状況申告書（例）」がもとになっていると考えられます。新規の契約のときと、すでに契約している加盟店の定期的な調査で使うものとして示されています。

もう一つ知っておきたいのが「不正顕在化加盟店」です。カード会社（アクワイアラー）各社が把握する不正利用の金額が「3ヵ月連続50万円超」になった加盟店がこれにあたり、カード会社や決済代行会社の支援を受けて対策を追加・強化することとされています。追加する対策の例として、属性・行動分析、配送先情報のチェック、配送の停止・保留などが挙がっています。

また、デジタルコンテンツ（オンラインゲームを含む）・家電・電子マネー・チケット・宿泊予約サービスの5つは、不正に狙われやすい「高リスク商材」として扱われています。これらを扱うお店は、対策を厚めにしておくのが目安です。

不正利用の被害は、どのくらい起きているか

日本クレジット協会の公表では、2025年のクレジットカード不正利用被害額は年間510.5億円で、そのうち番号盗用が475.4億円（93.1%）でした。2024年は555.0億円で、統計の中で最も多い年とされています。

2026年4〜6月は107.7億円で、番号盗用が100.1億円（92.9%）でした。ただし2026年分は対象の会社数が年間の表と異なるため、単純に比べないよう注意が必要です。また、この統計には対面・非対面の内訳がないため、番号盗用のすべてがネット通販で起きたとは言えません。6.1版の本文では、2025年の被害額のうち約9割がEC加盟店でのなりすましによるものとされています。

小規模な店舗がまず確かめる順番

小規模な店舗は、まず「自店の決済がどの方式か」を確かめ、次に管理画面とカート・拡張機能の更新を見直す順番が進めやすいと考えられます。ガイドラインの対策の多くは、カートや決済代行会社が仕組みとして用意している部分と、店舗が自分で設定・運用する部分に分かれるためです。

1. STEP1：決済の方式を確かめる

   決済代行会社の画面に移って入力する方式か、自社のページで入力する方式かを確認します。非保持化の扱いになっているかは、決済代行会社やカートの窓口に聞けます。

2. STEP2：EMV 3-Dセキュアが有効か確かめる

   カートや決済代行会社の管理画面・ヘルプで、3-Dセキュアの設定状況を確認します。契約や申し込みが別に必要なカートもあります。

3. STEP3：管理画面の入口を絞る

   管理画面のパスワードを見直し、2段階認証を有効にします。退職者や取引が終わった会社のアカウントが残っていないかも確かめます。

4. STEP4：カートと拡張機能を最新に保つ

   自社構築やプラグインを使うお店は、更新の担当と確認の頻度を決めます。使っていない拡張機能は外すことも検討します。

5. STEP5：会員まわりの不正ログイン対策を確かめる

   お客様のログインの試行回数の制限や、情報変更時の通知など、カートで設定できる対策を確認します。

全体の対策の流れはECサイトのセキュリティ対策ガイド、ほかのお店で起きた事案はEC情報漏えいの公表事例台帳にまとめています。万一のときの動き方は不正アクセスされたときの対応をご覧ください。

よくある質問

Q. 6.1版で新しい義務が増えたのですか？

A. 6.1版の本文では、6.0版で指針対策に加えた対策の着実な実施を目的に、各事業者の理解を進めるための改訂と説明されています。EC加盟店に関わる脆弱性対策・不正ログイン対策・EMV 3-Dセキュアは、2025年3月の6.0版で加わったものです。細かな記載の変更点は、協議会が公表している改訂の資料でご確認ください。

Q. ガイドラインを守らないと罰則がありますか？

A. ガイドラインそのものは協議会がまとめた文書で、割賦販売法が求めるカード番号等の適切な管理や不正利用の防止について、その措置の指針となる対策として位置づけられています。対策が足りない場合の扱いは、加盟店契約や行政の運用によって異なるため、具体的なケースは契約先のカード会社・決済代行会社や専門家にご確認ください。

Q. ShopifyやBASEなどのカートを使っていれば、店舗は何もしなくてよいですか？

A. カートが決済の仕組みや基盤の安全対策を担う部分は大きいものの、管理画面のパスワード、スタッフのアカウント、追加したアプリやプラグインの管理などは店舗側の作業として残ります。決済代行会社やカード会社から、セキュリティ対策の実施状況の申告を求められることもあるため、カートの公式ヘルプで対応状況を確かめておくのが目安です。