ECサイトのカード情報漏洩はなぜ起きる？決済画面の改ざんのしくみ、気づき方、発覚後の流れと防ぐ4つの対策

01この記事でわかること（3行まとめ）

• カード番号は、決済画面の改ざんで盗まれるのが主流です。カード情報を自社で持たない「非保持化」をしていても、サイトの弱点から入られて入力画面に不正なプログラムを仕込まれると、入力した瞬間に盗まれます。
• 疑いが出たら、まず契約しているカード会社か決済代行会社に連絡します。その指示に沿って、サイトの切り離し、カード決済の停止、フォレンジック調査（事故の調査）を進め、個人情報保護委員会への報告とお客様への通知も行います。
• 防ぐ柱は4つです。カード情報を自社に通さない仕組み、EMV 3-Dセキュア、管理画面のアクセス制限、ソフトやプラグインの更新と脆弱性診断です。ガイドラインはこれらを割賦販売法の義務を果たすための実務の指針としています。

ハッキング全体の基本はハッキングのまとめ、サイトが改ざんされたときの技術的な対処はホームページがハッキングされたときの記事にあります。この記事はカード情報に絞って説明します。

02ECサイトのカード情報漏洩はいまも続いている（数字で見る）

クレジットカード・セキュリティガイドライン6.1版の改訂資料によると、日本クレジット協会の集計で2025年のカードの不正利用被害額は510.5億円でした。過去最高だった2024年（555.0億円）より44.5億円減りましたが、高い水準が続いています。そのうち他人のカード番号を使う「番号盗用」の被害が475.4億円で、9割を超えます。

ガイドラインは、不正利用被害のおよそ9割がEC加盟店（ネットで売る店）での「なりすまし」だとしています。そして、その背景の1つに、EC加盟店からの情報漏えいが断続的に起きていることを挙げています。盗まれたカード番号は、別の店での不正な買い物に使われます。1つの店で漏れると、すぐに他の店の被害に広がると附属文書20は書いています。

JPCERT/CCの四半期レポート（2026年7月1日〜9月30日、10月22日公開）では、報告が寄せられたWebサイト改ざんは603件で、前の四半期の181件から大きく増えました。その中には、EC-CUBEで作られた国内の複数のECサイトが改ざんされ、外部のサーバーから取ってきたコードを動かすJavaScript（ブラウザで動くプログラム）が埋め込まれていた事例があります。アクセスした人が購入画面にいるかどうかを判定する処理もあり、JPCERT/CCはカード情報などを盗む目的だった可能性があるとしています。

当サイトでも、2026年8月にRIZAPの「APORITOオンラインストア」で不正なスクリプトが見つかった件（記事）、9月に「ドズル社ストア」で決済の途中に偽のページへ誘導された件（記事）を取り上げました。規模の大小に関係なく起きています。

03カード番号はどうやって盗まれる？決済画面の改ざん3つの型

お客様がカード番号を入れる画面のどこかが書き換えられ、入力した内容が攻撃者に送られる。これが基本の形です。「ウェブスキミング」と呼ばれることもあります。お店のレジに読み取り機を仕掛けてカードの情報を写し取る「スキミング」の、ネット版です。大きく3つの型があります。

1つ目の例がRIZAPの件です。同社は2026年8月5日、ストアのシステムで外部へ情報を送る不審なプログラムを見つけ、同日にストアを非公開にしました。対象は5月1日から8月5日までに注文や入力をした人で、カード番号、有効期限、セキュリティコードが流出した可能性があると発表しています。3か月余り、見た目は普通のまま動いていたことになります。

2つ目の例がドズル社ストアの件です。ドズルとShopifyの調査で、ストアに入れていた外部アプリが原因と特定されました。偽のページは左上に「Checkout」と出てストア名やロゴがなく、英語表示で、実際より高い金額が出ていたと発表されています。店のサーバーに入られなくても、決済に関わる部品が1つおかしくなるだけで起きる例です。

3つ目は、ガイドラインが「通過型」と呼ぶ仕組みで起きやすい型です。カード情報が店の機器やネットワークを通る作りだと、意図せず保存されることがあり、不正アクセスやウイルス、改ざんで盗まれる危険が高いとしています。ガイドラインは、過去の漏えい事故の多くがこの通過型の店で起きたと書いています。

入口はどこか：附属文書20は、ECサイトからの漏えいの多くが、オープンソース（無料で公開されているソフト）を中心とするECサイトの構築パッケージやCMS（サイトを作る管理ソフト）の設定不備と脆弱性（ソフトの弱点）を狙った攻撃で起きていると書いています。管理画面のURLが「admin」など推測しやすい、管理者のIDとパスワードが初期設定のまま、会社名やドメイン名を使った推測しやすいパスワード、といった点も攻撃の糸口として挙げています。JPCERT/CCは2021年のブログで、購入時の入力欄に不正な文字列を入れて注文し、管理者がその注文を管理画面で開いたときに乗っ取る攻撃を紹介し、プラグインまで含めた更新が大切だとしています。弱点の基本は脆弱性の用語ページ、改ざんそのものはWebサイトの改ざんの用語ページで説明しています。

04「非保持化しているから安全」ではない理由

非保持化とは、ガイドラインの定義で「自社で保有する機器・ネットワークにおいて『カード情報』を『保存』『処理』『通過』のいずれも行わないこと」です。カード情報を持たなければ盗まれない、という考え方で、長く対策の中心でした。

ところがガイドラインは、いまの主な漏えいは「非保持化を実現したEC加盟店においてWebサイトの脆弱性等を原因としてカード情報が窃取されているもの」だと書いています。カード番号が店のサーバーを通らなくても、お客様が番号を打ち込む画面は店のサイトの中にあります。その画面に不正なプログラムが入れば、お客様のブラウザの中で盗まれます。サーバーに番号が残っていなくても、漏えいは起きるのです。

そのためガイドラインは6.0版（2025年3月公表）から、EC加盟店に対して、カード情報を持つか持たないかにかかわらず、システムとWebサイトの「脆弱性対策」を指針対策（割賦販売法の義務を果たすための実務の指針）に加えました。附属文書20の表では、2025年4月に新たに加わった指針対策として、脆弱性対策、EMV 3-Dセキュアの導入、適切な不正ログイン対策などが示されています。

決済代行会社の画面に移る方式でも、そこへ移る直前の画面やリンク先を書き換えられれば、2つ目の型（偽の決済画面）が起こりえます。非保持化は必要ですが、それだけでは足りない、というのがガイドラインの立場です。

05気づくきっかけ：こんなサインに注意

決済画面の改ざんは、店の画面の見た目が変わらないことが多く、自分では気づきにくいものです。次のようなことが起きたら、漏えいを疑って調べてください。

• カード会社や決済代行会社から連絡が来た：ガイドラインは、カード会社（店と契約する側の「アクワイアラー」）や決済代行会社から、不正利用が急に増えたという情報連携を受ける場面を想定しています。こうした連絡は外からの重要なサインです。
• お客様から「身に覚えのない請求」の相談が続く：自分の店で買った人から同じような相談が複数来たら要注意です。
• 「注文確認メールが届かない」という問い合わせが急に増えた：偽の決済画面で入力した人には、店からの確認メールが届きません。ドズル社ストアの件では、確認メールが届いた注文は有効と案内されていました。
• サイトの中に見覚えのないファイルやスクリプトがある：JPCERT/CCが紹介した攻撃では、情報を盗むJavaScriptや、外から操るための不正なファイルが置かれていました。
• 管理画面に知らない管理者アカウントや、覚えのないログインがある：入られた跡の可能性があります。
• 使っている外部アプリやプラグインに問題が見つかったと知らせが来た：提供元やECサービスからの注意喚起は必ず読んでください。

どれも「漏えいした」と決めるものではありませんが、放っておくと被害の期間が延びます。RIZAPの件は3か月余り、対象の期間が続きました。会社のサイトに入られたかどうかの見分け方はハッキングされたか確認する方法でも説明しています。

06漏えいが疑われたら最初にやること

1. 契約しているカード会社か決済代行会社にすぐ連絡する：ガイドラインは、カード情報が漏えいしたときは速やかに契約するカード会社（アクワイアラー）または決済代行会社に連絡するよう求めています。附属文書20も「情報漏えいの疑い」の段階で連絡するとしています。確証を待たずに知らせてください。
2. カード会社の指示に沿って、被害の広がりを止める：ガイドラインは初動として、漏えい元のネットワークからの切り離しや、カード決済の一時停止などを挙げています。RIZAPは見つけた日にストアを非公開にし、ドズルは緊急メンテナンスでストアを閉じました。
3. 証拠を消さない：怪しいファイルをすぐ削除したり、サーバーを初期化したりすると、いつから何が漏れたかが分からなくなります。調査の前に消さないでください。
4. 社内の責任者に報告し、記録を始める：気づいた日時、誰が気づいたか、何をしたかをメモします。後の報告書に必要になります。
5. 制作会社やサーバー会社、ECサービスの提供元に連絡する：サイトの構築や保守を任せている場合は、すぐに知らせて協力を求めます。

サイトを止めるとその間の売上はなくなります。それでも、止めずに動かし続けると漏えいが続きます。止める判断は、カード会社と相談しながら早めに行ってください。

07漏えいが分かったあとの流れ：カード会社・決済代行・委員会・調査・公表

カード情報の漏えいでは、相手が複数います。おおまかな流れは次のとおりです。順番は事情で前後し、同時に進むこともあります。

RIZAPの件では、8月5日に発見してストアを非公開にし、8月8日にカード情報が漏えいした可能性がある利用者へメールで個別に連絡、8月10日に公表しました。この時点で個人情報保護委員会へ速報を出していて、外部のフォレンジック調査会社が範囲と原因を調べていると発表しています。流れの1つの例として参考になります。

会社として個人情報が漏れたときの全体の手順は個人情報が漏れたときに会社がやることの記事で詳しく説明しています。次の2つの節では、カード情報ならではの点を補います。

08個人情報保護委員会への報告とお客様への通知

個人情報保護委員会の「漏えい等の対応」のページは、報告が必要な場合の例として「ECサイトからクレジットカード番号を含む個人データが漏えいした場合」を挙げています（財産的被害が生じるおそれがある場合）。また、不正の目的で行われたおそれがある場合の例に「ウェブサイトが改ざんされ、ユーザーが入力した個人情報が第三者に送信された場合」を挙げています。決済画面の改ざんは、この2つの両方に当たりうるものです。人数が少なくても報告の対象です。

• 期限：速報は発覚日から3〜5日以内、確報は30日以内。不正の目的で行われたおそれがある場合は60日以内です。改ざんによる漏えいは60日の方になります。
• 「おそれ」でも対象：漏れたと確定していなくても、漏れたおそれがあれば報告します。
• 報告の方法：権限の委任の対象業種でなければ、委員会の個人データ向けの漏えい等報告フォームから行います。
• 下4桁だけなら：同じページは、カード番号の下4桁とその有効期限だけの組み合わせの漏えいなら、それだけでは直ちに報告の対象にはならないとしています。決済画面で全桁が入力される改ざんの場合は当てはまりません。

お客様への通知は、報告が必要な場合は義務です。カード会社と相談しながら、対象の期間に入力した人へ個別にメールや郵便で知らせます。RIZAPは公表より前に個別のメールを送っていました。

お知らせに書くこと：対象の期間、漏れた可能性がある情報（カード番号・有効期限・セキュリティコード・氏名・住所など）、分かっている原因、二次被害の有無、お客様にしてほしいこと、問い合わせ窓口です。お客様にしてほしいことは、カードの利用明細を確かめること、身に覚えのない請求があればカード裏面の番号からカード会社へ連絡すること、店やカード会社を名乗って暗証番号などを聞く電話・メール・SMSに注意することです。RIZAPもドズルも、自社から暗証番号やカード情報を尋ねることはないと明記していました。お知らせが出たあとは、それを利用した偽のメールが増えやすいためです。

09フォレンジック調査と決済再開までにかかる時間・費用

ガイドラインは、カード情報が漏えいしたときは、契約するカード会社または決済代行会社の要請に従って、フォレンジック調査、PCI DSS（カード業界の国際的なセキュリティ基準）への準拠などの確認、再発防止の措置を行うとしています。フォレンジック調査とは、サーバーの記録やファイルを調べて、侵入の経路や漏れた範囲を明らかにする調査です（用語ページ）。

カード決済の再開には、カード会社や決済代行会社と再発防止の具体的な内容を話し合い、SAQ（PCI DSSの自己問診票）などの提出や対策を十分に行ったうえで、カード会社の判断を求めることになっています。店の判断だけでは再開できません。

附属文書20は、EC加盟店で漏えいが起きた場合、カード取引の停止に加えて、フォレンジック調査から決済再開の審査などに「かなりの時間」がかかると書いています。さらに、フォレンジック調査費用、不正利用の被害の補償額、被害にあったカードの差し替え費用などが店に請求され、大きな費用負担が出ることに注意するよう求めています。RIZAPは9月18日の第3報で、調査の完了とストアの再開を2027年1月下旬の見込みとしていました。発見から半年近くかかる見通しです。

調査を頼む会社は事故対応・フォレンジックを頼める会社で探せます。事故の費用への備えとしてはサイバー保険があり、調査費用などが補償の対象かどうかは契約の内容によって違うため、加入している人は約款を確かめておくと判断が早くなります。

10防ぐ対策①カード情報を自社に通さない（非保持化）

• 自社の決済の仕組みが「通過型」か「非通過型」かを確かめる
• 通過型なら、非通過型へ移るか、カード情報を持つ必要があるならPCI DSSに準拠する
• 非通過型の例は、決済代行会社の画面に移す「リダイレクト（リンク）型」と、決済代行会社のJavaScriptを組み込む「JavaScript型（トークン型）」

ガイドラインは、EC加盟店の指針対策として、カード情報を保持しない非保持化、または保持する場合はPCI DSSに準拠することを求めています。注意したいのは、自社の決済が通過型か非通過型かを店が知らず、漏えい事故が起きてから通過型だったと分かる例がある、とガイドラインが書いている点です。サイトを作った会社や決済代行会社に、一度はっきり確かめてください。

ここまで見たとおり、非保持化はカード情報を守る土台ですが、決済画面の改ざんは防げません。次の②③とセットで考えます。

11防ぐ対策②EMV 3-Dセキュアを入れる

• EC加盟店はEMV 3-Dセキュアを導入する（ガイドラインの指針対策）
• 原則は決済のたびに認証する。ほかの対策の内容に応じて、カード登録時だけ、店のリスク判断で、という運用も認められる
• 導入や設定は、契約している決済代行会社やカード会社に相談する

EMV 3-Dセキュアは、ネットでのカード決済のときに本人かどうかを確かめる仕組みです。カード会社（カードを発行する側の「イシュアー」）が、お客様の端末の情報などから、なりすましの危険を判断します。危険が高いと判断したときだけ、ワンタイムパスワードの入力や生体認証などを求めます。

盗まれたカード番号が別の店で使われるのを防ぐ対策で、自分の店からの漏えいそのものを止めるものではありません。それでも、ガイドラインは不正利用対策の柱として、EC加盟店に導入を求めています（導入しなくてよい取引は別に定められています）。カード番号の盗難は業界全体の問題で、各店が入れることで、盗んだ番号が使いにくくなるからです。

12防ぐ対策③管理画面のアクセス制限と脆弱性対策（ガイドラインの5項目）

1. 管理画面のアクセス制限と管理者のID・パスワード管理：管理画面に入れるIPアドレス（接続元）を限る。限れない場合はベーシック認証などのアクセス制限を設ける。2段階認証か多要素認証を使う。10回以下のログイン失敗でアカウントをロックする。
2. データの置き場所の設定不備への対策：公開されるディレクトリ（フォルダ）に重要なファイルを置かない。アップロードできる拡張子やファイルを制限する。
3. Webアプリケーションの脆弱性対策：脆弱性診断かペネトレーションテストを定期的に受けて直す。最新のプラグインを使い、ソフトを更新する。独自に開発・カスタマイズしたなら、ソースコードを見直し、入力フォームの入力値のチェックも確かめる。
4. ウイルス対策ソフトの導入と運用：サーバーや業務用の端末に入れ、定義ファイルの更新や定期的なフルスキャンを行う。
5. 悪質な有効性確認・クレジットマスターへの対策：盗んだ番号や機械的に作った番号が使えるかを店のサイトで試す手口に対し、別紙aの対策を1つ以上行う。

これはガイドライン6.1版が、EC加盟店に「下記のすべての対策を講じる」として挙げる脆弱性対策の5項目です。別紙aは、管理画面のURLやIDが「admin」など推測しやすいものになっていないか、変更後に元の「admin」フォルダが残っていないかを確かめることも挙げています。管理画面は、お客様には見せる必要のない場所です。入口を絞るだけで、狙われにくくなります。

IPAの「ECサイト構築・運用セキュリティガイドライン」（2023年3月16日公開）は、中小企業の経営者と担当者向けに、ソフトの最新化、管理画面へのアクセス制限、ログとバックアップの保管などを要件として並べ、チェックリスト（Excel）も用意しています。どこから手をつけるか迷ったら、まずこのチェックリストで自分の店を点検するのが近道です。

ガイドラインの5項目には入っていませんが、サイトのファイルが書き換えられたら知らせる「改ざん検知」の仕組みや、決済の前後の画面を定期的に自分で操作して見た目や移動先の変化を確かめる習慣も、早く気づく助けになります。外から届く攻撃を止めるWAF、専門家に弱点を探してもらう脆弱性診断は、図鑑でサービスを比べられます。

13外部アプリ・プラグイン・委託先を確認する

• 入れているアプリやプラグインを一覧にし、使っていないものは外す
• それぞれの提供元と、決済画面に関わる権限を持つかを確かめる
• サイトの構築や保守を任せている会社に、更新と脆弱性対策が契約に入っているかを確かめる
• ECサービスやソフトの提供元からの注意喚起を受け取れるようにしておく

ドズル社ストアの件は、店が導入していた外部アプリが原因でした。ShopifyのようなECサービスは、アプリを足すだけで機能を増やせて便利です。その分、決済に関わる部品が増えるほど、1つの部品の問題が決済画面に及ぶ危険も増えます。

ガイドラインは、ECサイトの構築や運用を外部に任せる場合、その委託先にも店が行うべき脆弱性対策を理解したうえで構築・運用するよう求めることとしています。附属文書20は、オープンソースのソフトを使う場合は、導入後のセキュリティパッチの更新などを店の責任で行う必要があると書いています。「作ってもらったから任せている」では足りず、誰が更新するのかを決めておく必要があります。

個人情報保護委員会の「WARNING」（2026年10月7日改訂）も、システムを作る契約だけで保守の契約を結んでいなかった、保守の契約に脆弱性対応が入っていなかった、という原因で脆弱性が放置された事例を挙げています。契約書の中身を一度読み直してください。取引先や委託先の管理についてはWebサイトへの攻撃の悩みのページにもまとめています。

14困ったときの相談先

• 契約しているカード会社・決済代行会社：カード情報の漏えいが疑われたら最初に連絡する相手です。調査や決済の停止・再開の手順もここが窓口になります。
• 個人情報保護委員会：漏えい等の報告は報告フォームから行います。制度についての質問は個人情報保護法相談ダイヤル（03-6457-9849）で受け付けています。
• IPA 不正アクセス特別相談窓口（事業者向け）：03-6759-5760（平日9時30分〜17時30分、12時〜13時を除く）。IPAが2026年10月16日に公開した不正アクセス対策の特設ページで案内しています。
• JPCERT/CC：サイトの改ざんや不正アクセスなどのインシデントの報告を、Webフォームなどで受け付けています。
• 警察：不正アクセスの被害は、都道府県警察のサイバー犯罪相談窓口へ相談できます。

会社として漏えいに備える全体像は情報漏えいの悩みのページにあります。

15よくある質問