近年、ネットショッピングの利用拡大に伴い、ECサイトの決済システムを狙った詐欺も増加しています。EC事業において不正注文対策に関わる担当者を対象に行われた調査（かっこ株式会社『EC事業者実態調査2025』）では、ECサイトへの不正ログイン被害を経験した企業は2社に1社に上り、クレジットカードの不正利用や悪質転売などによる不正注文を経験した企業も38.0%に達しています。
決済情報や個人情報が漏洩した場合、金銭的損失だけでなく、企業やブランドに対する顧客の信頼も損なわれます。顧客情報を保護し、安全な決済環境を維持するために、決済セキュリティの強化が欠かせません。
本記事では、決済セキュリティの種類や重要性、ECサイトで実施すべき対策に加え、Shopifyで利用できる決済セキュリティ機能について解説します。
決済セキュリティとは
決済セキュリティとは、決済情報や決済システムを、不正利用や不正アクセス、情報漏洩などから保護するための技術や仕組みです。主な対策には、通信の暗号化や多要素認証の導入などがあり、これらを組み合わせることで、顧客の決済情報を安全に処理し、適切に管理できます。
決済セキュリティの主な仕組みと対策
暗号化通信
暗号化通信とは、クレジットカード情報や銀行口座情報などの個人情報を、第三者が読み取れない形式に変換して送受信する技術です。暗号化されたデータを復号（元の状態に戻すこと）するには、対応する暗号鍵が必要なため、通信途中でデータが盗み見られても、内容を読み取られるリスクを低減できます。
暗号化方式には、同じ鍵で暗号化と復号を行う「対称暗号化」と、公開鍵で暗号化し、秘密鍵で復号する「非対称暗号化」の2種類があります。インターネット上の通信では、安全性と処理効率を両立するために、これらを組み合わせて利用することが一般的です。
通信の保護には、主にTLS（Transport Layer Security）と呼ばれる暗号化プロトコルが広く利用されています。Shopifyでは、管理画面やストアとの通信にTLSを採用しており、顧客情報や決済情報などの送受信を保護しています。
トークン決済
トークン決済とは、決済情報を「トークン」と呼ばれる意味のない文字列に置き換え、加盟店がクレジットカード情報を直接保持しないようにする決済方式です。元のカード情報は安全なトークン保管庫で管理されます。トークンは、カード情報とひも付けられた識別情報として機能します。
取引では、ECプラットフォームや決済ゲートウェイなどの決済関連サービス間でトークンのみがやりとりされます。そのため、万が一情報が漏洩しても、元のカード情報を直接取得されるリスクを低減できます。
本人認証
決済を承認する前に利用者が正当な本人であることを確認し、不正利用を防止するための仕組みです。主な認証方式には、以下のようなものがあります。
- 単一要素認証（SFA）：パスワードやPINなど、1つの認証要素のみを使用して本人認証を行います。
- 二要素認証（2FA）：パスワードに加え、登録デバイスに送信されたワンタイムパスワードなど、異なる2種類の認証要素を組み合わせて本人認証を行います。
- 多要素認証（MFA）：パスワードなどの知識情報、トークンなどの所持情報、生体認証など、複数の認証要素を組み合わせて本人認証を行います。
PCI DSS
PCI DSS（Payment Card Industry Data Security Standard）は、クレジットカード情報を保護するための国際的なセキュリティ基準です。大手クレジットカードブランド5社が設立したPCI SSC（Payment Card Industry Security Standards Council）が策定し、管理しており、カード会員データを保存、処理、送信する事業者を対象としています。PCI DSSの要件に沿って適切なセキュリティ対策を講じることで、カード情報への不正アクセスや情報漏洩などのリスクを低減できます。
ShopifyはPCI DSSの最高レベルであるレベル1のサービスプロバイダーとして準拠しており、Shopifyを利用するストアには、PCI DSSの要件に沿った決済セキュリティの基盤がデフォルトで提供されています。
安全な決済ゲートウェイ
決済ゲートウェイは、ECサイトなどの加盟店から送信された決済情報を、クレジットカード会社や金融機関などの決済処理ネットワークに安全に中継し、承認結果を返すシステムです。信頼できる決済ゲートウェイを利用することで、決済情報の暗号化やトークン化、TLSによる通信保護、3Dセキュアによる本人認証など、複数のセキュリティ対策を利用でき、不正利用や情報漏洩のリスクを低減できます。また、PCI DSSに準拠したサービスを選ぶことで、カード情報を適切に取り扱える環境で決済処理を行えます。
ネットワークセキュリティ
ネットワークセキュリティとは、ネットワークに接続されているデバイスやシステム、その中で扱われるデータを保護するための対策全体を指します。さまざまな技術やプロセスがあり、決済システムの保護にも活用されています。
主なネットワークセキュリティ対策には、以下のようなものがあります。
- ファイアウォール：ネットワークを監視し、設定したルールに基づいて通信を許可または遮断することで、不正アクセスや悪意のある通信からシステムを保護します。
- アクセス制御：社外からの不正アクセスを防ぐだけでなく、社内でも担当業務に応じて必要なデータやシステムにのみアクセス権限を付与し、情報を保護します。
- ネットワークセグメンテーション：ネットワークを複数の領域に分割して分離することで、サイバー攻撃などが発生した場合の影響範囲を抑えます。
- 不正侵入防止システム（IPS）：ネットワークやサーバーを監視し、不正な通信や攻撃を検知した場合に通信を遮断することで、システムへの侵入を防止します。
- セキュア・インターネット・ゲートウェイ（SIG）：インターネットへのアクセスを安全に保つためのクラウド型セキュリティサービスです。ウェブフィルタリングやマルウェア対策により、社内ユーザーのインターネット通信を保護し、外部からの脅威が社内ネットワークに侵入するリスクを低減します。
- 定期的なセキュリティ評価と監査：システムの脆弱性や運用状況を定期的に確認し、セキュリティポリシーや関連する規制に沿って必要な対策を講じることでサイバー攻撃や情報漏洩のリスクを低減します。
セキュリティパッチ
セキュリティパッチとは、OSやソフトウェアに見つかった脆弱性や不具合を修正するためのプログラムです。ファイアウォールやアクセス制御などが不正な通信やアクセスを防ぐのに対し、セキュリティパッチはソフトウェア自体の脆弱性を修正し、攻撃の原因となる弱点を解消する対策です。
セキュリティパッチを適切に適用することで、決済システムや顧客データへの不正アクセスや情報漏洩のリスクを低減できます。
Shopifyの不正防止機能や対策
Shopifyでは、不正な取引を防止するためのさまざまな機能や対策を利用できます。主なものは以下のとおりです。
- 不正解析：注文ごとに不正リスクを高、中、低の3段階で評価し、不正の可能性がある注文にはフラグを表示します。リスク評価に使用された指標も確認できるため、注文を処理する際の判断材料になります。
- チャージバックに対する異議申し立て：Shopifyペイメントでは、注文から発送までの情報が自動的に記録され、管理画面から状況の確認や証拠の提出などのチャージバック対応を行えます。
- 3Dセキュア（3DS）： Shopifyペイメントでは、強力な顧客認証（SCA：Strong Customer Authentication）が義務付けられている地域で、3Dセキュア本人認証が自動的に追加され、不正利用や不正チャージバックを抑制できます。
- Shopify Flow：注文に関する処理を自動化するルールを設定でき、許可リストやブロックリストを作成して不正注文への対応を自動化できます。
- プロキシ検出：IPアドレスを隠蔽するプロキシの使用を検出して警告します。通常とは異なる通信経路が利用されている可能性があるため、不正注文のリスクを判断する際に役立ちます。
- 決済処理の制御：決済処理を自動または手動に設定でき、支払いを確定するタイミングもチェックアウト時もしくは発送時から選択できます。
- カードテスティング防止：組み込みのカードテスティング対策により、流出したカード情報を使った不正利用を防止できます。
- 不正注文レポート：決済承認率やリスクが高い注文の割合、不正注文によるチャージバック率や金額などを確認でき、不正注文の傾向を分析できます。
決済セキュリティを重要視すべきか
住所やクレジットカード番号、銀行口座情報などの顧客データを扱うEC事業者にとって、安全な決済環境の提供は欠かせません。 実際、一般社団法人中小企業個人情報セキュリティー推進協会の調査では、約9割がセキュリティ対応や個人情報保護に不安のあるECサイトでの買い物をためらうと回答しています。また、その理由として「個人情報が流出しそうだから」が70.1%で最も多く挙げられています。
Shopifyでは、TLSによる暗号化通信やPCI DSS準拠など、決済セキュリティの基盤がデフォルトで用意されています。さらに自社でも適切なセキュリティ対策を講じることで、安心して利用できる決済環境を整え、顧客との信頼関係の構築につなげることが重要です。
決済セキュリティを強化する方法
- リスク評価を実施する
- セキュリティポリシーを策定する
- 社内研修を実施する
- PCI DSSを遵守する
- 安全な決済ゲートウェイを使用する
- 不正な取引を監視する
- ソフトウェアを常に更新し、セキュリティパッチを適用する
- 定期的にデータのバックアップをとる
- トラブル対応計画を立てる
リスク評価を実施する
自社が取り扱う機密データの種類や、データの保存、処理、送信の流れ、利用している電子決済サービスの仕様を整理し、リスクとなるポイントを洗い出しましょう。現状の課題や改善点を把握することで、自社に必要なセキュリティ対策を優先順位に沿って実施できます。
セキュリティポリシーを策定する
セキュリティポリシーとは、組織やシステムで扱う情報を保護するための基本方針やルールを文書化したものです。機密データの取り扱い方法やトラブル発生時の対応、脅威や脆弱性への対策方法を定めることで、適切なリスク管理につながります。リスク評価で明らかになった課題や改善点をもとに、自社に必要なセキュリティ対策や運用ルールを定めましょう。
社内研修を実施する
PCI DSSを含む関連規制やセキュリティポリシーを理解し、適切な管理運用やインシデント発生時の対応手順を身につけるための研修を実施しましょう。従業員が適切な対応方法を身につけておくことで、緊急時にも迅速に対応できます。
PCI DSSを遵守する
自社の決済環境がPCI DSSの対象となるかを確認し、必要な要件に沿って適切なセキュリティ対策を実施しましょう。Shopifyを利用する場合、PCI DSSに準拠した環境が提供されるため、カード情報を直接取り扱う範囲を抑えながら、セキュリティ対策を行えます。
安全な決済ゲートウェイを使用する
PCI DSSへの準拠や暗号化通信、本人認証など、十分なセキュリティ対策が講じられている決済ゲートウェイを選びましょう。
例えば、ShopifyペイメントはPCI DSSに準拠しており、3Dセキュアが必須の地域では、本人認証が自動的に追加されます。
不正な取引を監視する
不正取引は、チャージバックや商品の紛失などによる損失につながるため、継続的に監視することが重要です。Shopifyの不正解析機能を利用すると、不正の可能性がある注文を特定できます。また、Shopify Flowでは注文を自動的にブロックしたり、確認のために保留したりできます。リスクの高い注文を把握し、必要に応じて承認前に内容を確認しましょう。
また、Shopifyアプリストアにはサードパーティの不正対策アプリもあるため、自社の運用に応じて活用できます。
ソフトウェアを常に更新し、セキュリティパッチを適用する
サーバーやパソコンなどで使用するOSやソフトウェアを適切に更新し、セキュリティパッチを継続的に適用しましょう。これにより、決済システムや顧客データへの不正アクセスや情報漏洩につながる脆弱性を修正できます。
定期的にデータのバックアップをとる
システムへの不正アクセスや障害などでデータが失われた場合に備え、定期的にバックアップをとることが重要です。バックアップデータをシステムとは別の場所に保存しておくことで、インシデント発生時にもデータを復元しやすくなり、事業への影響を抑えられます。
トラブル対応計画を立てる
システムへの侵入や情報漏洩などのインシデントに備え、対応手順や連絡先、各従業員の役割をあらかじめ決めておきましょう。事前に対応体制を整えておくことで、トラブル発生時に適切に対応し、事業への影響を最小限に抑えられます。
Shopifyペイメントの決済セキュリティ
ShopifyペイメントはShopify公式の決済サービスで、決済の安全性を高めるさまざまな機能が利用できます。主な決済セキュリティ機能には以下のようなものがあります。
- 二段階認証によるアカウントの保護：Shopifyペイメントを利用するには、 Shopifyアカウントで二段階認証を有効にする必要があります。ログインパスワードに加え、別のデバイスやセキュリティキーを使用して本人認証を行うことで、アカウントの安全性を高められます。
- 不正防止ツール：Shopifyペイメントで処理される注文は、機械学習アルゴリズムによる不正分析によってリスクレベルが評価されます。リスク判定に使用された指標も確認できるため、注文をキャンセルするか、そのまま処理するかを判断する際に役立ちます。
- 3Dセキュア：クレジットカードやデビットカードの決済に3Dセキュアによる本人認証を自動的に追加し、不正利用や不正チャージバックの抑制につなげられます。ただし、一定期間内のチャージバック数が多い場合、決済の承認率が低下する可能性があるため注意が必要です。
まとめ
オンライン決済システムはECサイト運営には不可欠ですが、情報漏洩や不正利用などのリスクも抱えています。このようなリスクに対応するため、複数の決済セキュリティ対策を組み合わせ、定期的な監査や更新など、適切な運用管理を行うことが重要です。
Shopifyを利用している場合、基本的なセキュリティ機能がデフォルトで利用でき、Shopifyペイメントを活用することでさらに決済セキュリティを強化できます。
本記事を参考に決済セキュリティ対策を行うとともに、返品や返金のポリシーを明確に定めて公開することで、顧客が安心して利用できる環境を整え、信頼関係の構築につなげましょう。
決済セキュリティについてよくある質問
決済セキュリティとは？
決済セキュリティとは、金融取引を不正利用や不正アクセス、情報漏洩などから保護する仕組みや対策などのことです。暗号化技術の利用、多要素認証の導入、PCI DSSへの準拠などが含まれます。
決済セキュリティはなぜ重要？
決済の安全性が確保されていない場合、顧客は個人情報や決済情報の送信に不安を感じ、商品の購入をためらう可能性があります。決済セキュリティを強化することで、顧客が安心して利用できる環境を整え、顧客との信頼関係の構築や収益の向上につながります。
決済セキュリティの主な種類は？
- 暗号化通信
- トークン決済
- 本人認証
- PCI DSS
- 安全な決済ゲートウェイ
- ネットワークセキュリティ
- セキュリティパッチ
