ECサイトのセキュリティ対策｜決済代行利用時の確認先と守るポイント

ECサイトでは、商品を販売するだけでなく、お客様の氏名や住所、ログイン情報、購入情報なども預かります。

さらに、商品を選んでから決済を終えるまでの流れも、安全に保つことが欠かせません。

お客様に安心して購入してもらうためには、決済の仕組みだけでなく、管理画面や会員機能、購入フォームなどにも目を向けることが大切です。

決済代行会社を利用していても、ECサイト側で確認しておきたい部分は残ります。

この記事では、カード決済を扱うEC事業者が確認しておきたい範囲と、それぞれの確認先をご紹介します。

セキュリティー診断さん

ECサイトのセキュリティって、うちみたいな小さいお店でも本当に必要なのかな？関係ないと思ってたけど…

ECサイトでは、お客様の情報と購入までの流れを守る

ECサイトでは、配送に必要な氏名や住所、会員ページのログイン情報、注文内容や購入履歴などを扱います。

こうした情報をきちんと管理することは、お客様に安心して購入してもらうための大切な前提です。

また、商品をカートへ入れてから決済を終えるまでの途中に問題があると、情報を盗まれたり、購入手続きを完了できなくなったりする可能性があります。

大切なのは、細かな設定や攻撃の手口まで、自分たちですべて把握することではありません。

自社がどの情報や機能を管理していて、わからないことを誰に確認すればよいのかを把握しておきましょう。

見た目だけでは気づきにくい3つの被害

ECサイトは、ページがいつもどおり表示されていても、問題が起きている場合があります。

なかでも次の3つは、購入する側も運営する側も、見た目だけでは気づきにくい被害です。

偽の決済ページへ誘導される

購入手続きの途中で、本物によく似た偽の決済ページへ利用者を誘導する攻撃があります。

そこでカード番号や有効期限などを入力すると、その情報が攻撃者へ渡るおそれがあります。

本物の画面とよく似ている場合もあるため、決済画面への移動先や外部サービスとの接続が意図した状態になっているか、きちんと確認しておくことが大切です。

入力情報を盗む不正なプログラムが入る

ECサイトに不正なプログラムを仕掛け、購入者が入力した氏名や住所、カード情報などを外部へ送る攻撃もあります。

表面上はいつもどおりサイトが動いていても、その裏で情報が送られている場合があります。

管理画面へ不正にログインされる

管理画面のIDやパスワードを盗まれると、商品情報や振込先、購入フォームの動作などを勝手に変更される可能性があります。

正規の管理機能を使って変更されてしまうと、公開されている画面を見るだけでは原因に気づきにくいこともあります。

こうした被害が起きれば、販売の一時停止だけでなく、原因や影響範囲の調査、システムの改修、顧客への連絡、問い合わせ対応なども必要になります。

画面を見ただけで異常があるかどうかを判断するのは難しいため、何も起きていないうちから確認先を決めておきましょう。

カード決済を扱うEC事業者が確認しておきたい対応範囲

クレジットカード決済を扱うEC加盟店には、カード情報の漏えいや不正利用を防ぐための対応が求められます。

どこまで対応する必要があるかは、カード情報を自社で保存・処理しているか、どの決済方式を使っているか、契約先がどこまで対応しているかによって変わります。

自社だけでは判断しにくい場合は、カード会社や決済代行会社へ次の点を確認してみましょう。

自社の決済方式で加盟店に求められる対策
カード情報を自社で保存・処理しているか
本人認証や不正利用対策について自社が担う範囲
契約先と自社の役割分担

具体的な対策はクレジットカード・セキュリティガイドライン6.1版、制度上の位置付けは経済産業省のクレジットカード・セキュリティ対策で確認できます。

決済代行会社を利用していても自社側の確認は必要

決済代行会社を利用すれば、自社で管理するカード情報の範囲を減らせます。

ですが、ECサイト全体の安全まで任せられるわけではありません。

管理画面や会員機能、購入フォームなど、自社側で管理している部分については次のような点を確認しておきましょう。

管理画面の認証や権限が適切に設定されているか
会員ページで本人以外の情報が見えないようになっているか
購入フォームに改ざんや不正なプログラムが入り込んでいないか
決済画面や外部サービスへ正しく接続されているか
ECシステムや追加機能が適切に更新されているか

まずは決済代行会社との役割分担を確認し、そのうえで自社側に残る部分をチェックしていきましょう。

自社でカード情報を保持する場合に必要な対応は、PCI DSS準拠とセキュリティ診断を参考にしてみてください。

Shopifyを利用している場合は、Shopifyのセキュリティ診断で確認すべきリスクもあわせて確認してみましょう。

自社でできているかどうかのチェック項目

細かな設定方法まで調べるのではなく、まずは次の項目について、自社で把握できているか確認してみましょう。

個人情報の管理：商品の発送や問い合わせ対応などに必要な情報だけを集め、アクセスできる人や保管期間、削除のタイミングを決めていますか？
管理画面の認証：管理者を必要な人に限り、多要素認証などで本人確認を強化できていますか？
不要な公開物：設定ファイル、バックアップ、ログ、管理用の画面など、公開する必要がないものを外部から見られない状態にできていますか？
システム更新：ECシステム、追加機能、サーバーなどの更新状況を把握できていますか？
脆弱性の確認：公開前や重要な変更後に、Webサイトへ外部から悪用できる弱点がないか確認できていますか？
異常時の連絡先：販売停止や不審な変更に気づいたとき、決済代行会社や制作・保守会社などへすぐ連絡できる状態ですか？

担当者の変更や退職があったときには、個人情報や管理画面へアクセスできる権限も見直しましょう。

保管場所や削除する時期があいまいな場合は、ECシステムの制作会社や保守会社へ確認してみてください。

「わからない」があれば、その内容に応じて確認先を決めましょう。

決済やカード情報についてはカード会社・決済代行会社、システムの更新や設定については制作会社・保守会社へ確認するとスムーズです。

わからない内容ごとに確認先を分ける

ECサイトの安全性についてわからないことが出てきたら、内容に応じて相談先を分けることが大切です。

わからない内容	主な確認先	確認すること
契約・決済方式	カード会社、決済代行会社	加盟店の対応範囲、カード情報の扱い、本人認証や不正利用対策
システム更新・改修	制作会社、保守会社	更新の実施状況、管理権限、問題が見つかった場合の修正方法
外部から見えるWebサイトの弱点	Web脆弱性診断サービス	管理画面、購入フォーム、会員登録・ログインなど、公開Web機能の弱点

このように確認先を分けておけば、専門的な対処法まで自分たちで調べなくても、必要なチェックを進めやすくなります。

なかでも、管理画面や購入フォーム、会員登録、ログインなどは、売上や顧客情報に直接関わる大切な機能です。

いつもどおり使えていても、外部から悪用できる弱点が隠れているかどうかまでは、見た目だけでは判断できません。

こうした弱点を自社だけで確認するのが難しい場合は、Web脆弱性診断を利用する方法があります。

最近では、AIを活用して専門的な診断を手軽に受けられるサービスも登場しています。

その一つが、『セキュリティー診断さん』です。

診断で問題のある場所や優先度がわかれば、その結果を制作会社や保守会社へ共有し、どこから修正するかを相談しやすくなります。

診断を利用する際は、管理画面や購入フォームなど、確認したい機能が対象に含まれているかを事前に確認しましょう。

まとめ：安心して買い物できるECサイトを守ろう

ECサイトを安全に運営していくには、決済だけでなく、管理画面や購入フォーム、会員機能などにも目を向けることが大切です。

わからない点があれば、カード会社や決済代行会社、制作会社などに確認しましょう。

また、決済代行サービスを利用していても、自社のECサイト側で確認しておきたい部分は残ります。

自社だけでは気づきにくいWebサイトの弱点については、『セキュリティー診断さん』を活用して診断する方法もあります。

お客様が安心して買い物を続けられるよう、ECサイトの安全性を確かめておきましょう。