ECサイトが不正アクセスされたら最初にやること｜決済の停止・カード会社への連絡・個人情報保護委員会への報告の流れ

「カード会社から、カード情報が漏れている可能性があると連絡が来た」「管理画面に見覚えのない操作がある」——そんなとき、最初の数日の動き方で、お客様への影響と、その後の立て直しにかかる時間が変わります。この記事では、クレジットカード・セキュリティガイドライン6.1版と個人情報保護委員会のガイドライン（通則編）をもとに、最初の72時間でやること、カード会社・決済代行会社への連絡、証拠の残し方、委員会への報告の期限、お客様への告知、再開までの流れを順に整理します。記載内容は2026年10月22日時点で確認したものです。

最初の72時間でやること

不正アクセスや漏えいが疑われたら、最初の72時間（3日間）は「被害を広げない」「記録を消さない」「関係先に連絡する」の3つを優先し、個人情報保護委員会への速報（概ね3〜5日以内）に間に合うよう準備を進めるのが目安です。個人情報保護委員会のガイドライン（通則編）は、漏えい等の事案が発覚したときに講じる措置として、社内での報告と被害拡大の防止、事実関係の調査と原因の究明、影響範囲の特定、再発防止策、委員会への報告と本人への通知を挙げています。これを店舗の動きに置きかえると、次の順番になります。

1. STEP1（当日）：責任者に報告し、記録を始める

   気づいた人がすぐに責任者へ伝え、気づいた日時・きっかけ・見えた現象を時系列でメモします。委員会への報告期限は、法人の場合「いずれかの部署が事態を知った時点」から数えるため、最初に気づいた日時を残しておくことが大切です。

2. STEP2（当日）：被害が広がらないようにする

   カード情報が関わる場合は、カード会社・決済代行会社の要請に沿って、カード決済の一時停止や、漏えい元のネットワークからの切り離しを判断します。管理画面のパスワード変更や不要なアカウントの停止も候補ですが、調査に必要な記録を消さないよう、保守会社や調査会社と相談しながら進めます。

3. STEP3（当日〜1日目）：関係先に連絡する

   契約しているカード会社（アクワイアラー）または決済代行会社、カート会社や保守会社に連絡します。必要に応じて、警察（都道府県警察のサイバー事案の相談窓口）への相談や、専門の調査会社への依頼も検討します。

4. STEP4（1〜2日目）：影響範囲の見当をつける

   どの期間に、どの画面やデータが、どのお客様に関わる可能性があるかを、分かる範囲で整理します。この時点で全容が分からなくても問題ありません。分かっていることと、分かっていないことを分けて記録します。

5. STEP5（3〜5日目まで）：委員会へ速報し、お客様対応を準備する

   報告対象に当たる場合は、個人情報保護委員会へ速報します。速報は、報告しようとする時点で把握している内容で足りるとされています。並行して、お客様への通知文と問い合わせ窓口を準備します。

反対に、慌ててサーバーを初期化する、ログを削除する、確認できていない情報を発信するといった動きは、後の調査やお客様対応を難しくするおそれがあります。迷ったら手を止めて、決済代行会社や保守会社に相談するのが目安です。

カード会社・決済代行会社への連絡

カード情報が漏えいした、またはその懸念がある場合は、速やかに契約しているカード会社（アクワイアラー）または決済代行会社（PSP）に連絡し、その要請に沿って初動対応を行うことが、クレジットカード・セキュリティガイドライン6.1版（2026年3月）の示す流れです。ガイドラインは初動対応として、漏えい元（データベースなど）のネットワークからの切り離し、カード決済の一時停止などの措置、フォレンジック調査、PCI DSS準拠などの確認と再発防止の措置を挙げています。

漏えいは、店舗が自分で気づく前に外部から知らされることもあります。EC参謀のECの情報漏えい 公表事例台帳（2026年10月22日時点で31件）には、カード会社からの連絡や警察からの情報提供で漏えいの可能性が分かったと公表された事例があります。連絡を受けたら、その日時と担当者、伝えられた内容を記録し、指示を受けた対応を一つずつ進めます。カード情報の守り方そのものはECサイトのカード情報漏えい対策で整理しています。

証拠の保全

証拠の保全とは、原因と影響範囲を後から調べられるよう、ログやファイル、操作の記録を消さず・上書きせずに残しておくことです。委員会のガイドラインは事実関係の調査・原因の究明・影響範囲の特定を求めており、カード情報が関わる場合はフォレンジック調査（専門家による調査）が初動対応に含まれるため、その材料を残しておく必要があります。

• ログを消さない……サーバーのアクセスログ、管理画面のログイン履歴、カートや決済の管理画面の操作履歴などを削除・上書きしない。保存期間が短い設定なら、保守会社にエクスポートを依頼する。
• 改ざんされたファイルを勝手に直さない……原因の特定に必要な場合があるため、修正や削除の前に調査会社・保守会社に相談する。
• 対応の記録を残す……いつ・誰が・何をしたか（停止、パスワード変更、連絡など）を時系列で記録する。
• お客様や外部からの連絡を保存する……「身に覚えのない請求があった」などの問い合わせや、カード会社からの連絡内容を日時つきで残す。

IPAは2026年10月9日の注意喚起で、異常なログやアカウントが見つかった場合はセキュリティインシデントとして対応を進め、専門のセキュリティベンダーに詳細な調査を依頼するよう強く勧めています。調査会社の選び方や費用は状況によって大きく変わるため、まずは決済代行会社やカード会社に、求められる調査の条件を確認するのが現実的です。

個人情報保護委員会への報告

ECサイトからクレジットカード番号を含む個人データが漏えいした（またはそのおそれがある）場合は、件数にかかわらず、個人情報保護委員会への報告と本人への通知が必要な事態とされています（通則編、令和8年6月一部改正版）。報告の対象となる事態は次の4つで、いずれも「発生したおそれ」がある段階から含まれます。

ガイドラインは、Webサイトの入力ページが第三者に改ざんされ、入力された個人情報が第三者に送られた場合や、入力ページへのリンクやボタンが改ざんされて偽のページに移った場合も、不正の目的による事態の例に挙げています。自社のデータベースに届く前に盗まれた場合も対象になりうる点は、決済画面の改ざんが多いECでは押さえておきたいところです。

報告は原則として委員会のWebサイトの報告フォームから行います。確報の期限には土日・祝日も含まれます。不正の目的による事態に加えて他の事態にも当たる場合も、確報は60日以内です。なお、2026年7月に成立した改正個人情報保護法では本人通知や速報の扱いが見直される予定ですが、施行は公布から2年以内とされており、現時点（2026年10月）では上記の現行ルールが適用されます。用語の整理は個人情報の漏えい等報告の解説ページも参考にしてください。

お客様への告知の注意点

お客様への通知は「当該事態の状況に応じて速やかに」行い、確認できた事実と、お客様にお願いしたいこと、問い合わせ窓口を伝えるのが基本です。ガイドラインが本人に通知すべきとしている事項は、概要、漏えい等が起きた（おそれがある）個人データの項目、原因、二次被害やそのおそれの有無と内容、その他参考となる事項です。すべてが判明するまで待つ必要はない一方、初期対応が終わる前に通知すると被害が広がるおそれがある場合などは、通知の時期を判断できるとされています。

• 時点を書く……「〇月〇日時点で確認できている範囲」と明記し、調査中の点は調査中と書く。「被害はありません」と言い切らない。
• お願いを具体的にする……カードの利用明細の確認、心当たりのない請求があったときの連絡先など、お客様が取れる行動を示す。
• 便乗した偽メールに触れる……公表事例台帳には、流出した注文情報を含む不審なメールが購入者に送られたと公表された事例もあります。店からの連絡方法を明示し、不審な連絡への注意を添えておくと安心です。
• 連絡がつかない人への代わりの措置……個別に通知できない場合は、事案の公表や問い合わせ窓口の設置・公表で代えることが認められています。

ガイドラインは、事実関係や再発防止策などを速やかに公表することが「望ましい」ともしています。告知の文面は、決済代行会社や弁護士と内容を確認してから出すと、事実と異なる表現を避けやすくなります。

再開までの流れ

カード決済の再開は店舗だけで決めるものではなく、カード会社（アクワイアラー）または決済代行会社と再発防止策の内容を協議し、SAQ（PCI DSSの自己問診）などの提出や対策を講じたうえで、契約するカード会社の判断を求める流れです（ガイドライン6.1版、2026年3月）。大まかな順番は次のとおりです。

• 調査……フォレンジック調査などで原因と影響範囲を確かめる。
• 再発防止策……脆弱性の修正、管理画面の認証強化など、調査結果に沿った対策を決めて実施する。
• 協議と提出……カード会社・決済代行会社と対策の中身を協議し、求められた書類を提出する。
• カード会社の判断……再開してよいかの判断をカード会社に求める。
• 報告とお知らせの更新……委員会への確報や、お客様向けのお知らせの続報を出す。

附属文書20（EC加盟店におけるセキュリティ対策 導入ガイド）は、漏えいが起きた場合、カード取引の停止に加えてフォレンジック調査から決済再開の審査などにかなりの時間がかかること、調査費用や不正利用の補償、カードの差し替え費用などが加盟店に請求されることがある点に留意するよう書いています。公表事例台帳でも、続報を重ねてもカード決済の停止が続いている事例が見られます。再開の時期をお客様に案内するときは、見込みであることを添えておくのが無難です。

委託先（カート・決済会社）で起きたとき

カート会社や決済代行会社など委託先で漏えいが起きた場合も、個人情報保護委員会のガイドラインでは、原則として委託元（店舗）と委託先の双方が報告義務を負うとされています（通則編3-5-3-2）。連名で報告することもでき、委託先が委託元に必要な事項を通知した場合は委託先の報告義務が免除され、通知を受けた委託元が報告します。委託元は、遅くとも委託先から通知を受けた時点で事態を知ったことになり、そこから速やかに報告する必要があります。

ただし、SaaS型（ASP型）カートの利用がこの「委託」に当たるかどうかは、契約内容や個人データの扱いによって整理が分かれる可能性があり、本記事では確認できていません。カート会社から通知や公表があった場合は、店舗としての報告の要否と分担をカート会社の案内で確認し、迷うときは委員会の相談窓口に問い合わせるのが確実です。あわせて、管理画面のパスワード変更や2段階認証の設定、自店のお客様からの問い合わせへの答え方、便乗した偽メールへの注意喚起を進めておくと、お客様の不安を和らげやすくなります。運営形態ごとの備えはECサイトのセキュリティ対策ガイドでも整理しています。

よくある質問

Q. 漏えいが「確定」していなくても、個人情報保護委員会への報告は必要ですか？

必要になる場合があります。個人情報保護委員会のガイドライン（通則編、令和8年6月一部改正）では、報告の対象となる事態は、漏えい等が「発生したおそれ」がある段階から含まれます。たとえば不正アクセスで個人データが漏えいしたおそれがある場合は、調査の途中でも、事態を知ってから概ね3〜5日以内に、その時点で分かっている内容を速報として報告するのが目安です。確定した内容は確報（不正の目的によるおそれがある場合は60日以内）で報告します。

Q. 漏えいした件数が少なければ、報告しなくてもいいですか？

件数だけでは決まりません。ガイドラインでは、ECサイトからクレジットカード番号を含む個人データが漏えいした場合は、件数にかかわらず報告対象の事例として挙げられています。また、不正アクセスなど不正の目的によるおそれがある漏えいも、人数に関係なく対象です。本人の数が1,000人を超える場合も対象になり、発覚当初は1,000人以下でも、その後超えた時点で該当します。判断に迷うときは、委員会の相談窓口に確認するのが確実です。

Q. カート会社から「漏えいがあった」と連絡が来たら、店舗も報告が必要ですか？

原則として、委託元（店舗）と委託先の双方が報告義務を負うとされています（通則編3-5-3-2）。連名での報告もでき、委託先が委託元に通知した場合は委託先の報告義務が免除され、通知を受けた委託元が報告します。ただし、SaaS型カートの利用がこの「委託」に当たるかどうかは契約や個人データの扱いによって整理が分かれる可能性があり、本記事では確認できていません。カート会社の案内を確認し、個人情報保護委員会の相談窓口や専門家に確かめてください。

出典

• 個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会・令和8年6月一部改正）
• 漏えい等の対応とお役立ち資料（個人情報保護委員会・2026年10月22日閲覧）
• 個人情報保護法等の一部を改正する法律について（個人情報保護委員会・令和8年7月）
• クレジットカード・セキュリティガイドライン【6.1版】（クレジット取引セキュリティ対策協議会・2026年3月・PDF）
• 附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」2.1版（同協議会・2026年3月・PDF）
• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（IPA・2026年10月9日）
• サイバー事案に関する相談窓口（警察庁・2026年10月22日閲覧）

※本記事は2026年10月22日時点の公開情報に基づきます。最新かつ正確な内容は各発表元の原文をご確認ください。