不正注文・不正ログイン

クレジットマスター対策｜攻撃の兆候と止め方、ECサイトで気づくポイントと決済会社への相談

公開：2026.11.12 ／ EC参謀編集部

※本記事は2026年11月12日時点で確認した、クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月）、附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」（2.1版・2026年3月）と同 別紙a・別紙b、日本クレジット協会の統計に基づきます。攻撃の手順は扱いません。運用や契約の扱いは変わることがあるため、最新は公式の情報と契約先・専門家でご確認ください。

決済代行会社の管理画面を開いたら、見覚えのないカード決済のエラーがずらりと並んでいた。こうした場面で疑われるのが、機械的に作ったカード番号が使えるかを確かめる「クレジットマスター攻撃」です。カードのガイドラインは、クレジットマスター対策として4つの対策を挙げ、カードの登録・変更の画面とゲスト購入の決済画面を狙われやすい場面としています。

クレジットマスター攻撃とは

クレジットマスターとは、カード番号の採番の規則性を悪用して、機械的にカード番号を作る手口のことです。附属文書20では、こうして作ったカード番号や、フィッシングなどで盗んだカード番号が実際に使えるかを、EC加盟店での利用などを通じて確かめる手口を「悪質な有効性確認」と呼んでいます。

お店から見ると、自分のサイトのカード決済の仕組みが、他人のカード番号を「試す場所」として使われてしまう形です。使えると確かめられたカード番号は、その後の不正利用につながるおそれがあります。附属文書20は、不正利用の流れの入口として、他社の情報漏えいやフィッシングと並べてクレジットマスターと悪質な有効性確認を挙げています。

狙われやすい2つの場面

附属文書20は、クレジットマスターと悪質な有効性確認で狙われやすい場面として、次の2つを挙げています。

会員機能のないお店は関係ない、と考えがちですが、ゲスト購入の決済画面も狙われる場面に入っている点が見落とされやすいところです。附属文書20では、攻撃者は日本国内よりも海外のIPアドレスから有効性確認を行うことが多いとも説明されています。

会員機能があるお店は、不正ログインの対策もあわせて見直すと抜けが減らしやすくなります。ログインまわりの対策はECサイトの不正ログイン対策にまとめています。

ECサイトで気づくポイント

クレジットマスター攻撃は、決済の記録や外部からの連絡で気づくことが多いと考えられます。別紙aでは、攻撃者は攻撃プログラムを組んで機械的にカードが本物かを確かめると説明されています。この説明から、次のような様子が見えたら注意したいところです。

• オーソリの拒否が続く……決済代行会社の管理画面で、カード決済のエラーや承認されない取引が、ふだんより多く続いている。
• 同じアカウントで登録・変更が繰り返される……1つの会員アカウントで、カード番号の登録や変更が何度も試されている。
• 海外からのアクセスが増える……海外向けに販売していないのに、決済画面への海外からのアクセスが目立つ。
• 承認率が下がる……カード決済の承認される割合が、理由がわからないまま下がっている。
• 外部から連絡が来る……決済代行会社やカード会社から、不正利用や不審な取引についての連絡が届く。

どれか1つが当てはまっても、すぐに攻撃と決まるわけではありません。セール中の混雑や、カードの入力ミスが重なってエラーが増えることもあります。判断がつかないときは、取引の記録を手元に置いたうえで決済代行会社に見てもらうのが確実です。

ガイドラインが挙げる4つのクレジットマスター対策

附属文書20は、クレジットマスターと悪質な有効性確認への対策として、次の4つを挙げています。

それぞれの考え方を、附属文書20と別紙aの説明から整理します。

• ①アクセス制限……すべての場面に共通する対策とされています。海外のお客さまを対象としていないお店は、海外IPアドレスの遮断が望ましいとされ、方法は接続している決済代行会社に相談すると導入できることが多いと書かれています。
• ②エラー表示の制限……カード番号・有効期限・セキュリティコードのどれが違ったのかをわからなくすることで、攻撃者にとって確かめる効率が悪くなり、狙われにくくなる可能性があるとされています。
• ③本人認証……決済時の対策としてEMV 3-Dセキュアが挙がっています。ただし附属文書20は、EMV 3-Dセキュアだけですべての被害を防げるものではないとしています。
• ④回数制限……アカウントに登録するカードの変更のリトライ回数や、同じカード番号での一定期間内の試行回数などから異常を見つける仕組み（ベロシティチェック）が一覧に入っています。

別紙aの一覧には、このほかに短時間のリクエスト数を制限する仕組み（スロットリング）、CAPTCHAなどのボット対策、セキュリティコードの入力を必須にする券面認証、属性・行動分析なども挙がっています。1つに頼るより、場面に合わせて重ねる形が示されています。

攻撃に気づいたときの止め方

攻撃が疑われるときは、自分だけで設定を変えるより、決済代行会社に相談しながら止めるのが進めやすい順番です。附属文書20でも、不審なIPアドレスのアクセス制限は、接続している決済代行会社に相談すると導入できることが多いとされています。

1. STEP1：取引の記録を残す

   エラーが出た日時、件数、アカウント、アクセス元などを、管理画面から書き出しておきます。記録を消したり、確かめる前にサイトを作り直したりしないことが大切です。

2. STEP2：決済代行会社に連絡する

   契約している決済代行会社やカード会社に、気づいた様子と記録を伝えます。アクセス制限や回数制限など、すぐに入れられる対策を案内されることがあります。

3. STEP3：カートの設定を確かめる

   使っているカートの公式ヘルプで、カード登録の制限、エラー表示、ボット対策などの設定があるかを確認し、決済代行会社の案内とあわせて有効にします。

4. STEP4：カード決済を一時的に止めるか決める

   攻撃が続いて止まらない場合は、決済代行会社と相談して、カード決済の受付を一時的に止めるかどうかを判断します。止める場合は、ほかの支払い方法の案内をサイトに出しておくとお客さまが迷いにくくなります。

5. STEP5：再発を防ぐ対策を決める

   落ち着いたら、4つの対策のうち足りなかったものを決済代行会社と相談して入れます。

ガイドライン6.1版では、カード会社が把握する不正利用の金額が「3ヵ月連続50万円超」となったお店は「不正顕在化加盟店」とされ、対策の追加や強化が必要になります。不正利用が増えているという連絡を受けた場合も、速やかに対策を追加することが求められています。

カード情報や会員情報が外部に漏れたおそれがある場合は、個人情報保護委員会への報告が必要になることもあります。初動の流れは不正アクセスされたときの対応にまとめています。

海外のお客さまがいるお店の注意点

海外にも販売しているお店は、アクセス制限の入れ方に注意が必要です。海外からのアクセスを一律に止めると、海外のお客さまが買えなくなります。

附属文書20では、海外IPアドレスを遮断せずに取引する場合は、入力制限、エラー表示の制限、本人認証、回数制限で抑止につなげる形が示されています。

相談先とあわせて読みたいページ

クレジットマスター攻撃が疑われるときの最初の相談先は、契約している決済代行会社やカード会社です。カード決済のルール全体はクレジットカード・セキュリティガイドライン6.1版の要約、セキュリティ全体の進め方はECサイトのセキュリティ対策ガイドをご覧ください。ほかのお店が公表した事案はEC情報漏えいの公表事例台帳で確認できます。

よくある質問

Q. 小さなお店でもクレジットマスターに狙われますか？

A. 附属文書20では、海外からの大量の不正アクセスによって、ネット経由の対策まで手が届いていないことが多い小規模なEC加盟店でも多くの情報漏えい事案が起きていると説明されています。お店の規模にかかわらず、カード決済の画面があれば確かめておくのが目安です。

Q. 海外からのアクセスを止めると、海外のお客さまが買えなくなりませんか？

A. 買えなくなる可能性があります。附属文書20では、海外のお客さまを対象としていないお店は海外IPアドレスの遮断が望ましいとし、遮断しない場合は入力制限やエラー表示の制限、本人認証、回数制限などで抑止する形を示しています。販売先に合わせて、決済代行会社と相談しながら選ぶのが現実的です。

Q. EMV 3-Dセキュアを入れていれば、クレジットマスター対策は十分ですか？

A. 十分とは言い切れません。附属文書20では、EMV 3-Dセキュアだけですべての被害を防げるものではないとされ、本人認証のほかに、アクセス制限や回数制限などを組み合わせる形が示されています。どこまで入れるかは、決済代行会社やカード会社と相談して決めるのが目安です。