ECサイトのセキュリティ対策｜決済代行利用時の確認先と守るポイント

ECサイトは、商品の販売だけでなく、お客様の氏名・住所・ログイン情報・購入情報と、購入から決済へ進む経路を預かっています。

安心して購入してもらい、販売を続けるには、決済情報を扱う仕組みだけでなく、管理画面、会員機能、購入フォームなどが安全な状態かを確認する必要があります。

決済代行会社を利用している場合も、ECサイト側に残る確認があります。

契約や決済方式、システム更新、外部から見えるWebサイトの弱点は、それぞれ適切な相手へ確認することが大切です。

この記事では、カード決済を扱うEC事業者が確認する範囲と、内容ごとの確認先をご紹介します。

セキュリティー診断さん

ECサイトのセキュリティって、うちみたいな小さいお店でも本当に必要なのかな？ 関係ないと思ってたけど…

ECサイトが預かる情報と購入経路を守る

ECサイトでは、配送に必要な氏名や住所、会員ページのログイン情報、注文内容や購入履歴などを扱います。

こうした情報が適切に管理されていることは、お客様が安心して購入するための前提です。

また、商品をカートへ入れてから決済を終えるまでの経路に問題があると、情報を盗まれたり、購入手続きを完了できなくなったりする可能性があります。

経営者が設定や攻撃手法をすべて理解する必要はありません。

どの情報と機能を自社が管理し、分からない点を誰へ確認するかを把握することが重要です。

決済代行会社を利用していても自社側の確認は残る

カード情報を自社の機器やネットワークで保存・処理しない仕組みにすると、自社で管理する決済情報の範囲を減らせます。

その代表的な方法が決済代行会社の利用です。

ただし、決済を任せていることは、ECサイト全体の安全を意味しません。

加盟店側には、次のような確認対象が残ります。

• 管理画面へ不正にログインされないための認証と権限
• 会員ページで本人以外の情報を見られないための制御
• 購入フォームへ不正なプログラムや改ざんが入り込んでいないこと
• 決済画面や外部サービスへ正しい経路で接続していること
• ECシステムや追加機能が適切に更新されていること

自社でカード情報を保持する場合に必要な対応は、PCI DSS準拠とセキュリティ診断で確認できます。

Shopifyを利用している場合は、Shopifyのセキュリティ診断で確認すべきリスクもあわせて確認してください。

契約内容や決済方式によって、加盟店と決済事業者の対応範囲は変わります。

自社の契約で必要な対応は、カード会社や決済代行会社へ確認しましょう。

画面だけでは気づきにくい3つの被害

ECサイトの異常は、ページが表示されているだけでは分からない場合があります。

特に次の3つは、購入者や運営者が見た目だけで判断しにくい被害です。

偽の決済ページへ誘導される

購入手続きの途中で、本物によく似た偽の決済ページへ利用者を誘導する攻撃があります。

カード番号や有効期限などを入力すると、その情報が攻撃者へ渡るおそれがあります。

正規の画面と見た目が似ている場合があるため、決済画面への移動先や外部サービスとの接続が意図した状態かを確認する必要があります。

入力情報を盗む不正なプログラムが入る

ECサイトへ不正なプログラムを仕掛け、購入者が入力した氏名、住所、カード情報などを外部へ送る攻撃があります。

サイトが普段どおり表示されていても、裏側で情報が送られる場合があります。

管理画面へ不正にログインされる

管理画面のIDやパスワードを盗まれると、商品情報や振込先、購入フォームの動作などを変更される可能性があります。

正規の管理機能を使って変更されると、公開画面だけでは原因を見分けにくいことがあります。

こうした被害が起きると、販売の一時停止、原因と影響範囲の調査、システムの改修、顧客への連絡や問い合わせ対応が必要になります。

経営者が画面だけで異常の有無を判断するのは難しいため、平常時から確認先を決めておくことが大切です。

カード決済を扱うEC事業者が確認する対応範囲

ECサイトを運営するすべての事業者に、同じセキュリティ対策が一律に法的義務として課されているわけではありません。

一方、クレジットカード決済を扱うEC加盟店には、カード情報の漏えいと不正利用を防ぐための対応が求められます。

求められる内容は、カード情報を自社で保持するか、どの決済方式を使うか、契約先がどこまで対応するかによって変わります。

自社が対象か判断できない場合は、カード会社や決済代行会社へ次の点を確認します。

• 自社の決済方式で加盟店に求められる対策
• カード情報を自社の機器やネットワークで保存・処理しているか
• 本人認証や不正利用対策について自社が担う範囲
• 契約先が対応する範囲と、加盟店側に残る確認

具体的な対策はクレジットカード・セキュリティガイドライン6.1版、制度上の位置付けは経済産業省のクレジットカード・セキュリティ対策で確認できます。

ECサイトの構築・運用時に行う対策は、IPAのECサイト構築・運用セキュリティガイドラインも参考になります。

経営者が「できている・分からない」で確認する項目

細かな設定方法を調べるのではなく、次の項目が実施できているか、分からないかを確認してください。

• 管理画面の認証：管理者を必要な人に限り、多要素認証などで本人確認を強化できていますか？
• 不要な公開物：設定ファイル、バックアップ、ログ、管理用の画面など、公開する必要がないものを外部から見られない状態にできていますか？
• システム更新：ECシステム、追加機能、サーバーなどの更新を担当する相手と、更新状況を把握できていますか？
• 脆弱性の確認：公開前や重要な変更後に、Webサイトへ外部から悪用できる弱点がないか確認できていますか？
• 異常時の連絡先：販売停止や不審な変更に気づいたとき、決済代行会社、制作・保守会社、社内担当者へ連絡できる状態ですか？

「分からない」という回答は、経営者自身で設定を調べる合図ではありません。

確認する相手を決めるきっかけとして扱いましょう。

セキュリティー診断さん

管理画面のパスワード、他のサイトと同じかも…！ これってマズイよね？ どうしよう…

個人情報は必要な範囲に絞って管理する

商品の発送や問い合わせ対応に必要な情報を整理し、目的のない情報を集め続けないことが基本です。

情報にアクセスできる人を業務上必要な範囲へ絞り、担当者の変更や退職時には権限を見直します。

保管場所や削除時期が分からない場合は、ECシステムの制作会社や保守会社へ確認します。

決済情報の保存・処理範囲は、カード会社や決済代行会社へ確認してください。

分からない内容ごとに確認先を分ける

分からない項目をすべて同じ相手へ尋ねると、確認漏れが生じやすくなります。

内容に応じて次のように分けます。

この役割分担により、経営者が設定や攻撃対策を一つずつ調べなくても、必要な確認を専門先へつなげられます。

購入・会員機能の弱点を診断し、修正相談へつなげる

セキュリティー診断さん

自分たちでチェックするだけじゃなくて、プロの目で見てもらうのが大事ってことか！ それなら安心だね！

管理画面、購入フォーム、会員登録、ログインなどは、売上と顧客情報に直接関わる機能です。

普段どおり操作できても、外部から悪用できる弱点がないとは判断できません。

Web脆弱性診断は、診断対象として指定したWebサイトや公開機能について、外部から見える弱点を確認する手段です。

『セキュリティー診断さん』も、ECサイトの状態を自社だけで判断しにくいときの確認に活用できます。

診断で問題の場所と優先度を把握できれば、その結果を制作会社や保守会社へ渡し、修正方法と対応時期を相談しやすくなります。

修正後は、指摘された問題が解消したかを再確認する流れへつなげます。

診断する範囲は、利用するサービスの仕様と対象URLを確認して決めます。

決済代行会社側の環境や契約上の対応範囲は、カード会社や決済代行会社へ確認してください。

『セキュリティー診断さん』の案内を確認し、管理画面、購入フォーム、会員機能など、自社で安全性を判断できないWeb機能について相談してみてください。

まとめ：安心して購入できる状態を保ち、販売を続ける

ECサイトのセキュリティ対策は、顧客の氏名・住所・購入情報と、購入から決済へ進む経路を守り、販売を続けるための確認です。

契約や決済方式が分からない場合はカード会社や決済代行会社へ、システムの更新・改修状況が分からない場合は制作会社や保守会社へ確認します。

管理画面、購入フォーム、会員登録、ログインなど、外部から利用できるWeb機能の状態を自社で判断できない場合は、『セキュリティー診断さん』によるWebサイト診断を検討してください。

診断結果を修正相談へ活用し、お客様が安心して購入できる状態を保ちましょう。

セキュリティー診断さん

ヨシ！ まずはプロに診断してもらって、うちのサイトの弱点を知ることから始めるよ！ (๑•̀ㅂ•́)و✧