EC用語集・運営・物流・法令・AI
Webスキミングとは？
- 意味
- ECサイトが不正アクセスで改ざんされ、決済画面や入力フォームでお客様が入力したカード情報などが盗み取られる被害のこと。
- 例
- 決済代行会社の画面に移る「リンク型」の決済を使っていても、通販サイト自体が改ざんされて偽の決済画面に誘導され、カード情報が盗まれた事例が、個人情報保護委員会事務局の注意喚起で紹介されています。
Webスキミング（決済画面の改ざん）とは
ECサイトが改ざんされ、お客様が決済画面や入力フォームに入力したカード情報や個人情報が第三者に盗まれる被害は、一般に「Webスキミング」と呼ばれることがあります。
クレジット取引セキュリティ対策協議会の導入ガイド【附属文書20】では、ECサイトからのカード情報漏えいの多くは、オープンソースのEC構築パッケージやCMSの設定不備・脆弱性を狙った攻撃で起きており、スクリプトの改ざんによって入力された情報が継続的に漏えいし続けるケースも確認されていると説明されています。
非保持化していても起こりうる理由
個人情報保護委員会事務局の注意喚起では、リンク型の決済は非保持化に有効な手段だとしつつ、通販サイトに脆弱性があれば偽の決済画面へ誘導するよう改ざんされ、カード情報が盗まれる可能性があると指摘されています。偽の決済画面が作られた場合、お客様が気づくことはきわめてまれとされています。被害に遭ったお客様に落ち度があるわけではなく、サイト側の備えが重要になります。
店舗ができる予防策
クレジットカード・セキュリティガイドラインでは、EC加盟店が講じる「脆弱性対策」として次のような項目が挙げられています。
- 管理画面に接続できるIPアドレスを制限し、できない場合はベーシック認証などを設ける。2段階認証や多要素認証を採用し、10回以下のログイン失敗でアカウントをロックする
- 公開ディレクトリに重要なファイルを置かず、アップロードできるファイルの種類を制限する
- 脆弱性診断やペネトレーションテストを定期的に行い、プラグインやソフトウェアを最新に保つ
- ウイルス対策ソフトを導入し、定義ファイルの更新や定期的なフルスキャンを行う
- オープンソースのソフトウェアを使っている場合、導入後のセキュリティパッチの更新は加盟店の責任で行う必要があるとされています（附属文書20）
改ざんに気づくための点検
警察庁は、事業者向けに次のような確認方法を案内しています。個人情報保護委員会事務局も、改ざん検知ツールなどの導入が有効としています。
- 検索サイトで自社ドメインを指定して検索し、見覚えのないページがないか確認する
- 入力画面や購入画面に、不審なJavaScriptが入っていないか確認する
- 入力画面のURLや表示内容が、いつもと違っていないか確認する
- サーバーやFTPなどのログに不審なアクセスがないか確認する
被害が疑われるときの初動
ガイドラインでは、カード情報の漏えいが分かったら速やかに契約するカード会社や決済代行会社に連絡し、その要請に従ってネットワークからの切り離し、カード決済の一時停止、フォレンジック調査などを行うとされています。クレジットカード番号を含む個人データの漏えいは、個人情報保護委員会への報告の対象にもなります。
附属文書20では、漏えいが起きると調査から決済再開の審査までに時間がかかり、調査費用やカードの差し替え費用などが加盟店に請求されることもあるとされています。日頃から委託先との連絡体制を決めておくと、初動を早めやすくなります。
Webスキミングのよくある質問
決済代行会社の画面に移る方式なら、改ざんの心配はありませんか？
個人情報保護委員会事務局の注意喚起では、リンク型を導入していたサイトでも、サイト自体が改ざんされて偽の決済画面に誘導された事例が紹介されています。決済の方式にかかわらず、ECサイト本体の脆弱性対策や改ざんの点検が必要とされています。
改ざんされていないかを自分で確かめる方法はありますか？
警察庁は、自社ドメインでの検索、購入画面の不審なJavaScriptの確認、ログの確認などを案内しています。技術的な確認が難しい場合は、制作・保守の委託先に点検を依頼したり、改ざん検知ツールの導入を相談したりするのがおすすめです。
Webスキミングについて詳しく読む
関連する用語
出典
- 個人情報保護委員会事務局（ウェブサイトを運営している事業者の皆様への注意喚起）
- クレジット取引セキュリティ対策協議会（EC加盟店におけるセキュリティ対策 導入ガイド【附属文書20】）
- 警察庁（偽ショッピングサイト・詐欺サイト対策）
2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。