EC・ネットショップ
ECサイトのクレジットカード・セキュリティガイドライン対応
ネットショップを運営する事業者に求められる、カード情報を守るための対策。脆弱性対策や改ざんの検知など、まず押さえておきたい点を整理します。
・約7分で読めます
クレジットカードで支払えるネットショップを運営しているなら、知っておきたいのが「クレジットカード・セキュリティガイドライン」です。カード会社や決済代行会社、加盟店などでつくるクレジット取引セキュリティ対策協議会がとりまとめているもので、EC 加盟店に求められる対策が示されています。
この記事は考え方の整理を目的としたものです。最新の要求事項は、必ず協議会が公表しているガイドラインの原文と、契約している決済代行会社の案内でご確認ください。
なぜ EC サイトが狙われるのか
カード情報は、盗めばすぐにお金に換えやすい情報です。そのため EC サイトは、規模に関係なく狙われやすい対象です。
とくに注意したいのが、サイトの決済画面を改ざんして、入力されたカード情報をこっそり外部に送らせる手口です。画面は普段どおりに動き、注文も正常に完了するため、運営者も購入者も気づきにくいのが特徴です。
押さえておきたい対策の考え方
ガイドラインでは、EC 加盟店に対して、おおまかに次のような考え方で対策を求めています。
カード情報を「持たない」
自社のサーバーでカード情報を保存・処理・通過させない「非保持化」が基本です。決済代行会社が提供する、カード情報を直接受け取らない方式の決済画面を使うのが一般的です。
サイトの脆弱性をなくす
非保持化をしていても、サイト自体が改ざんされれば、決済画面に入る前のページでカード情報を盗まれる危険があります。そのため、次のような対策が重要になります。
- 定期的な脆弱性診断（またはペネトレーションテスト）を行い、見つかった問題を直す
- CMS・プラグイン・サーバーのソフトウェアを最新に保つ
- 管理画面へのアクセスを制限し、多要素認証を使う
改ざんに気づく仕組みを持つ
サイトのファイルや、ページが読み込むスクリプトが、知らないうちに変わっていないかを検知する仕組みです。改ざんに早く気づければ、被害を小さくできます。
不正な利用を見張る
なりすましによる不正な注文や、他人のアカウントへの不正ログインを防ぐための対策（本人認証の仕組みや、不審な取引の検知など）も求められています。
自社で確認したいチェックリスト
- カード情報を自社で保存・処理していない（非保持化）
- 決済画面は決済代行会社の方式に沿っている
- CMS・プラグインが最新で、サポート終了の版を使っていない
- 管理画面に IP 制限や多要素認証をかけている
- 定期的に脆弱性診断を受け、結果に対応している
- ファイルやスクリプトの改ざんを検知できる
- 不正ログイン・不正注文への対策がある
ネットショップ作成サービスを使っている場合
ネットショップ作成サービス（ASP やカート）を使っている場合、サーバーやシステムの多くはサービス提供者が管理しています。その場合でも、次の点は運営者自身で確認しておきましょう。
- 管理画面のパスワードの使い回しをやめ、多要素認証を有効にする
- 追加で読み込んでいる外部のスクリプト（アクセス解析や広告など）を把握する
- サービス提供者からのお知らせを受け取れるよう、連絡先を最新にしておく
当サービスの定期診断では、サイトで使われているソフトウェアの更新状況や、構成の変化を継続的に確認できます。