【2026年最新版】クレジットカード・セキュリティガイドラインとは？ECサイトに義務付けられる対策を解説

クレジットカード決済を導入しているECサイトには、「クレジットカード・セキュリティガイドライン」に沿ったセキュリティ対策が求められます。ガイドラインはほぼ毎年改訂されており、2025年3月の6.0版ではEC加盟店の「脆弱性対策」が新たに必須の対策に加わりました。

カード情報の漏えいや不正利用は、ECサイトの一時閉鎖や信用の低下に直結します。本記事では、ガイドラインの基本から最新版の変更点、EC事業者が講じるべき具体的な対策、対応の進め方までをわかりやすく解説します。

クレジットカード・セキュリティガイドラインとは

クレジットカード・セキュリティガイドラインは、カード会社や加盟店、決済代行事業者などが参加する「クレジット取引セキュリティ対策協議会」が策定する、カード取引のセキュリティ対策の指針です。事務局は日本クレジット協会が務め、経済産業省もオブザーバーとして関わっています。

割賦販売法との関係

割賦販売法は、カードを取り扱う加盟店に「カード番号等の適切な管理」と「不正利用の防止」のための措置を義務付けています。その具体的な中身を示す「実務上の指針」として位置付けられているのが、このガイドラインです。

つまり、ガイドラインの「指針対策」を実施していれば、法律が求める「必要かつ適切な措置」を講じているとみなされます。逆に対応していなければ、法律上の義務を果たしていないと判断されるおそれがあります。形式は「ガイドライン」ですが、実質的には義務と考えるべきものです。

対象となる事業者

対象はカード会社、加盟店、決済代行事業者、ECシステム提供事業者など、カード取引に関わる幅広い事業者です。本記事では、このうち自社サイトでカード決済を提供する「EC加盟店」に求められる対策を中心に解説します。規模の大小に関わらず、カード決済を導入しているすべてのECサイトが対象です。

改訂の経緯と最新版（6.1版）のポイント

現在の最新版は、2026年3月に公表された6.1版です。指針対策の追加や変更はなく、6.0版で定められた対策を「確実に実施してもらうこと」に重点が置かれています。EC事業者にとっては、6.0版の内容に対応できているかどうかが引き続き問われます。

このように、ここ数年の改訂で「カード情報を持たない」だけでは不十分とされ、サイト自体の守りと、不正利用を止める仕組みの両方が求められるようになりました。

その背景にあるのが、不正利用被害の高止まりです。2024年の被害額は555.0億円と過去最悪を記録しました。2025年は510.5億円と11年ぶりに減少したものの、依然として500億円を超える水準が続いています（出典）。

ECサイトに義務付けられる主な対策

EC加盟店に求められる対策は、大きく「カード情報保護対策」と「不正利用対策」の2つに分かれます。前者はカード情報を「漏らさない」ための対策、後者は盗まれたカード情報を「使わせない」ための対策です。

■カード情報保護対策

対策1：カード情報の非保持化（またはPCI DSS準拠）

自社のシステムでカード情報を「保存・処理・通過」させない仕組みにすることです。決済代行事業者の決済画面に遷移させる「リンク型（リダイレクト型）」や、カード情報をトークンに置き換える「JavaScript型（トークン型）」で実現するのが一般的です。カード情報を保持する場合は、国際的なセキュリティ基準であるPCI DSSに準拠する必要があります。

対策2：ECシステム・Webサイトの脆弱性対策（6.0版で追加）

非保持化が進んだ一方で、ECサイトが改ざんされ、決済画面で入力されたカード情報が盗まれる事案が相次いでいます。原因の多くは、管理画面の権限管理やウイルス対策などの不備です。そのため6.0版では、以下の5つすべての実施が求められるようになりました。

ECシステムの構築や運用を外部に委託している場合も、加盟店自身がこれらの対策を理解したうえで、委託先に対応を求めることが必要です。

■不正利用対策

不正利用対策では、取引を「点」ではなく「線」で捉える「線の考え方」が示されています。決済の瞬間だけでなく、決済前・決済時・決済後のそれぞれで適切な対策を組み合わせ、被害を最小化する考え方です。

対策3：EMV 3-Dセキュアの導入（決済時）

EMV 3-Dセキュアは、カード会員本人による取引かを確認する本人認証の仕組みです。2025年3月末までにすべてのEC加盟店での導入が求められ、原則として決済の都度、認証を実施することとされています。取引のリスクに応じて追加認証の要否を判断する「リスクベース認証」により、多くの取引では購入者の手間を増やさずに済みます。仕組みの詳細は「3Dセキュア2.0（本人認証サービス）とは?」の記事もご覧ください。

対策4：不正ログイン対策（決済前）

会員登録時・ログイン時・属性情報（配送先やメールアドレスなど）の変更時の3つの場面で、不正なアカウント作成やなりすましを防ぐ対策です。不審なIPアドレスからのアクセス制限、2段階認証、デバイスフィンガープリント、属性・行動分析などの中から、自社に合う対策を導入します。

対策5：属性・行動分析などの対策（決済時・決済後）

購入者の属性情報や行動の傾向から不正な取引を見分ける「不正検知サービス」の活用や、配送先情報の確認などがこれにあたります。特に転売目的の不正が多い商材を扱うサイトでは、EMV 3-Dセキュアと組み合わせた多層的な対策が重要です。

ガイドライン対応の進め方

対策の範囲が広いため、まずは自社の現状を正しく把握し、不足している対策から優先順位をつけて進めるのが効率的です。一般的には、次の5つのステップで進めます。

1. カード情報の流れと体制を把握する：カード情報が自社のどのシステムを通るか、決済方式（リンク型・トークン型など）、構築・運用の委託先を整理します。
2. ガイドラインとのギャップを確認する：指針対策ごとに、実施済み・未実施・不明を洗い出します。脆弱性対策の5項目は、技術的な確認が必要なため専門家によるチェックが有効です。
3. 脆弱性診断で実態を確かめる：Webアプリケーションやサーバー、クラウド設定に脆弱性がないかを診断し、リスクの大きさを把握します。
4. 対策を実施する：診断結果をもとに、システムの改修、WAFの導入、EMV 3-Dセキュアや不正検知サービスの導入などを行います。
5. 継続的に運用・見直す：脆弱性は日々新たに見つかります。定期的な診断やログの監視を続け、ガイドラインの改訂にも合わせて対策を見直します。

なお、加盟店契約の際などに、カード会社や決済代行会社から対策状況の申告を求められることがあります。日頃から対応状況を整理しておくと、こうした確認にもスムーズに応じられます。

対応しない場合のリスク

ガイドラインへの対応が不十分なまま事故が起きると、被害はカード情報の漏えいだけにとどまりません。主なリスクは次のとおりです。

• カード決済の停止やサイトの閉鎖：漏えいの疑いがあると、調査が完了するまでカード決済を停止するのが一般的です。数か月単位で売上が大きく落ち込むケースもあります。
• 調査・補償の費用：フォレンジック調査、システムの改修、顧客へのお詫びやコールセンター対応など、多額の費用が発生します。
• チャージバックによる損失：不正利用された取引は、チャージバックとして加盟店の負担になることがあります（詳しくは「チャージバックとは？」の記事をご覧ください）。
• 信用の低下：情報漏えいは公表が必要になることが多く、顧客離れやブランドイメージの低下につながります。
• 法律上の責任：割賦販売法で求められる措置を講じていないと判断されれば、行政による指導や改善命令の対象となる可能性があります。

事故が起きてからの対応には、事前の対策を大きく上回るコストと時間がかかります。「自社は大丈夫」と思わず、定期的に対策状況を確認することが大切です。

まとめ

クレジットカード・セキュリティガイドラインは、割賦販売法で求められる対策の具体的な中身を示すもので、カード決済を提供するすべてのECサイトが対応すべき内容です。最新の6.1版では新たな対策の追加はありませんでしたが、6.0版で加わった「脆弱性対策」や「不正ログイン対策」を確実に実施することが求められています。

「非保持化」と「EMV 3-Dセキュア」だけで対応を終えたつもりになっていないか、あらためて自社のECサイトの対策状況を確認してみてください。

DGBTのセキュリティ対策支援について

DGビジネステクノロジーでは、ガイドラインで求められる脆弱性対策5項目の対応状況を確認する「ガイドライン準拠チェック」や「Webアプリケーション脆弱性診断」から、WAFや不正検知サービスの導入までを一気通貫でご支援しています。カード情報の非保持化やEMV 3-Dセキュアについても、グループ会社のDGフィナンシャルテクノロジーと連携して対応可能です。