不正注文・不正ログイン

ECサイトの不正ログイン対策｜ガイドラインが挙げる対策と小規模店舗の優先順位

公開：2026.11.11 ／ EC参謀編集部

※本記事は2026年11月11日時点で確認した、クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月）と附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」（2.1版・2026年3月）に基づきます。運用や契約の扱いは変わることがあるため、最新は公式の情報と契約先・専門家でご確認ください。

カード会社から「不正利用の疑いがある注文が続いています」と連絡が来て、調べてみると正規のお客さまのアカウントからの注文だった。こうした「ログインそのものは正常に見える」不正に備えるのが、ECサイトの不正ログイン対策です。クレジットカード・セキュリティガイドラインでは、会員登録時・ログイン時・登録情報の変更時の3つの場面を考えて、対策を1つ以上入れることが求められています。

ECサイトの不正ログイン対策とは

ECサイトの不正ログイン対策とは、盗まれたIDやパスワード、カード情報などを使った不正なログインや会員登録を防ぎ、カードの不正利用につなげさせないための対策のことです。附属文書20では、決済の前に行う対策として「決済前の対策」と位置づけられています。

クレジットカード・セキュリティガイドラインは、不正利用を「決済前・決済時・決済後」の線で捉えて対策する考え方をとっています。決済前が不正ログイン対策、決済時がEMV 3-Dセキュアやオーソリの体制、決済後が配送先のチェックなどです。6.0版から、EC加盟店の指針対策として「適切な不正ログイン対策の実施」と「EMV 3-Dセキュアの導入」が加わりました。

ガイドラインは、会員登録をしてログインしたうえで購入する「会員登録型」のお店が主流になり、IDやパスワードを悪用したカードの不正利用が増えていると説明しています。ログイン機能がないゲスト購入だけのお店は、決済時の対策で備える形が示されています。

狙われる3つの場面

附属文書20は、不正ログインを起点とする不正の手口を「不正アカウント作成」と「アカウント乗っ取り」の2つに分け、対策が必要な場面を3つ挙げています。

附属文書20では、IDがメールアドレスであることが多く、なりすましによるログインは「正常なログイン」に見えるため、お店が気づきにくいと説明されています。ログイン画面は誰でも開ける場所に置く必要があり、アクセスを絞りにくいことも挙げられています。

ログインの時だけを守っていても、会員登録や配送先の変更が手薄だと、別の入口から不正が入りやすくなります。3つの場面をそろえて考えることが、ガイドラインの前提になっています。

ガイドラインが優先として挙げる7つの対策

ガイドライン6.1版は、附属文書20の対策から1つ以上を入れることを求め、次の①〜⑦を優先して入れることが望ましいとしています。表の○は、ガイドラインがその場面で有効とした対策です。

それぞれの中身を、言葉の意味がわかる範囲で整理します。

• ①アクセス制限……附属文書20では、すべての場面に共通する対策とされています。海外からのアクセスが不要なお店は遮断も選択肢に挙がっています。
• ②2段階認証……不正にログインされても、本来のお客さまが気づけるようにする目的が示されています。パスキーなどの認証も附属文書20の一覧に入っています。
• ③個人情報の確認……登録された氏名・住所・電話番号などに、不自然な表記や組み合わせがないかを確かめます。
• ④試行回数の制限……同じアカウントへのログインの失敗が続いたときに止めたり、短時間の試行を遅らせたりする対策です。
• ⑤通知……ログインや登録情報の変更があったときに、お客さまへメールやSMSで知らせます。
• ⑥⑦分析と端末の識別……ふだんと違う行動や端末からのアクセスを見分ける仕組みで、外部のサービスを使う形が多いとみられます。

1つの対策だけに頼りにくい理由も、附属文書20に書かれています。会員登録時や登録情報の変更時については、海外の攻撃者が日本国内の協力者に指示する手口もあり、IPアドレスだけでは不正と見分けにくいとされています。そのため、アクセス制限に加えて、登録内容の確認や2段階認証、行動の分析を組み合わせる形が示されています。

附属文書20には、これら以外にもCAPTCHAなどのボット対策、短いパスワードの排除、生体認証などが「その他の対策」として挙がっています。

小規模なお店が確かめる順番

小規模なお店は、まず使っているカートに標準でどの対策があるかを確かめ、足りない部分を設定やアプリで補う順番が進めやすいと考えられます。自分で作り込むより、カートや決済代行会社が用意している仕組みを使うほうが負担を抑えやすいためです。

1. STEP1：会員機能の有無を確かめる

   ゲスト購入だけか、会員登録してログインする仕組みがあるかを確認します。ゲスト購入だけなら、決済時の対策（EMV 3-Dセキュアなど）が中心になります。

2. STEP2：カートの標準機能を一覧にする

   カートの公式ヘルプで、ログイン試行の制限、2段階認証、ログインや変更時の通知、アクセス制限が使えるかを確かめます。上の表の①〜⑦に当てはめると、足りない場面が見えやすくなります。

3. STEP3：3つの場面に1つずつ当てる

   登録時・ログイン時・変更時のそれぞれに、少なくとも1つの対策が効いているかを見ます。①アクセス制限や⑥⑦の分析は3つの場面すべてに効くとされています。

4. STEP4：足りない部分を決済代行会社に相談する

   カートだけで足りない場合は、決済代行会社やカード会社に、使える不正検知の仕組みを聞いてみるのが目安です。費用や効果は商材やお店の規模で変わります。

5. STEP5：お客さまへの案内を整える

   通知メールが届いたときの問い合わせ先や、パスワードを使い回さないお願いを、お知らせやよくある質問に載せておくと、お客さま自身も気づきやすくなります。

なお、対策を入れたあとも、カード会社や決済代行会社から「短期間に不正利用が増えている」と連絡を受けた場合は、速やかに対策を追加することがガイドラインで求められています。

また、カード会社が把握する不正利用の金額が「3ヵ月連続50万円超」となったお店は「不正顕在化加盟店」とされ、カード会社や決済代行会社のサポートを受けながら、対策の追加や設定の見直しを行うことになっています。

つまずきやすいポイント

不正ログイン対策は、入れたつもりでも場面に抜けがあったり、お客さまの使い勝手とぶつかったりしやすい分野です。よくあるつまずきを3つ挙げます。

海外からのアクセスを止めない場合について、附属文書20では、ログイン時に姓名のカナを入力させるなど、本人確認を強める工夫が例に挙がっています。

また、お店側の管理画面のアカウントも守る対象です。スタッフ用の管理画面の2段階認証や共有IDの見直しは、出店者のアカウント乗っ取り対策にまとめています。

不正ログインが疑われるときの相談先

不正ログインが疑われるときは、まず契約している決済代行会社やカード会社に相談するのが基本です。不正利用の状況によって、追加の対策や設定の見直しを案内されることがあります。

会員情報が外部に漏れたおそれがある場合は、個人情報保護委員会への報告が必要になることもあります。初動の流れは不正アクセスされたときの対応、ほかのお店が公表した事案はEC情報漏えいの公表事例台帳で確認できます。セキュリティ全体の進め方はECサイトのセキュリティ対策ガイドをご覧ください。

よくある質問

Q. 7つの対策をすべて入れる必要がありますか？

A. ガイドライン6.1版では、3つの場面を考えて附属文書20の対策から1つ以上を入れ、①〜⑦を優先して入れることが望ましいとされています。どこまで入れるかは、扱う商材や不正利用の状況によって変わるため、契約先の決済代行会社やカード会社に相談しながら決めるのが目安です。

Q. ゲスト購入だけのお店も不正ログイン対策が必要ですか？

A. 附属文書20では、ゲスト購入のみでログイン機能がないお店は、決済時の対策で有効なものを講じることとされています。EMV 3-Dセキュアやオーソリの体制など、決済時の対策を確かめておくのが現実的です。

Q. 2段階認証を入れるとお客さまの手間が増えませんか？

A. 手間が増える面はあります。ガイドラインでは、登録情報の変更時など場面を絞って本人確認をする形や、ログイン時の通知なども有効な対策として挙がっています。お客さまの使い勝手と合わせて、どの場面に何を入れるかを選ぶ考え方があります。