【2025最新】クレジットカード・セキュリティガイドライン6.0版へ準拠する方法

ECサイトにおけるクレジットカード決済は、ユーザーの利便性を高める一方で、不正利用や情報漏えいのリスクも伴います。

特に、サイバー攻撃の高度化や、不正アクセス手法の巧妙化が進む中で、EC事業者はより厳格なセキュリティ対策を講じる必要があります。

クレジットカード情報が漏えいすると、ユーザーの経済的被害だけでなく、ECサイトの信用失墜や損害賠償責任など、事業運営に深刻な影響を及ぼします。

また、一度セキュリティ事故が発生すると、取引先の決済代行会社やカード会社からの信頼を失い、最悪の場合、クレジットカード決済の取り扱いができなくなることもあります。

こうしたリスクを未然に防ぎ、安全な取引環境を確保するために、EC事業者はクレジットカード情報を適切に管理し、不正利用対策を強化することが求められています。

その指針となるのが、2025年3月に改訂された「クレジットカード・セキュリティガイドライン6.0版」です。

本記事では、EC事業者に向けて、6.0版での主な改訂ポイントと、ガイドラインに準拠し、安全なサイト運営を行うための具体的な対策について詳しく解説していきます。

目次

1. クレジットカード・セキュリティガイドライン6.0版
2. EC事業者が実施すべき具体的な対策
3. ガイドライン準拠のために実施すべき手順
4. まとめ

策定・改訂の背景

クレジットカード・セキュリティガイドラインは、クレジット取引セキュリティ対策協議会が策定する、EC事業者や決済代行業者が遵守すべきセキュリティ基準をまとめたガイドラインです。

2018年の「改正割賦販売法」の施行により、EC事業者に対してクレジットカード情報の適切な管理が義務付けられたことを受け、ガイドラインも継続的に改訂されています。

今回の6.0版への改訂の背景としては以下になります。

☑︎不正利用被害額は、2023年には541億円、内93％がEC加盟店における「なりすまし」の不正利用

☑︎「線の考え方」に基づき、カード決済前の「不正ログイン対策の実施」とカード決済 時の「EMV 3-Ｄセキュアの導入」を軸に適切な対策導入により不正利用被害防止の実効性を高める

☑︎この不正利用は、クレジットマスターにより生成したカード番号やカード情報漏えい及びフィッシングにより窃取したカード情報、アカウント（ID）・パスワード、属性情報等を使用して、カード決済時のカード不正利用のほか、カード決済前の場面では不正なアカウント登録や本人になりすまして不正ログインをする手口により行われている

☑︎さらに、不正利用がされる「カード決済時」、商品の配送・転売がされる「カード決済後」 の対策と共に「カード取引の流れ」に沿って、各場面を考慮した適切な対策導入が必要 （「線の考え方」に基づく対策導入）

☑︎また、不正利用被害額の上位加盟店においては、約7割が「ログイン」必須としていることから、不正ログイン防止のために「カード決済前」の対策が重要

[線の考え方の概念図]

※ クレジットカード・セキュリティガイドライン【6.0版】改訂ポイント｜クレジット取引セキュリティ対策協議会 より引用

今回の改訂では、近年の不正利用増加を踏まえ、特にEC事業者が重点的に取り組むべき対策が強化されています。

例えば、システム及びWebサイトの脆弱性対策の実施や、EMV 3-Dセキュアの導入、適切な不正ログイン対策の実施などが重要なポイントとして挙げられています。

また、サイバー攻撃に対する防御策や、管理体制の強化についても具体的な指針が示されています。

ガイドラインの目的と適用範囲

クレジットカード・セキュリティガイドラインは、クレジットカード取引の安全性を確保し、不正利用や情報漏えいのリスクを低減することを目的とした指針です。

クレジット取引セキュリティ対策協議会が策定しており、特にEC事業者や決済代行業者が準拠すべき セキュリティ基準や実施すべき対策を明確に示しています。

このガイドラインは、以下の事業者を対象としています。

・EC加盟店（オンラインショップを運営する事業者）
・決済代行事業者（ECサイトとカード会社の間で決済処理を担う事業者）
・クレジットカード会社（発行会社や決済ネットワークを提供する企業）

特にEC加盟店に対しては、カード情報の管理や不正利用対策を適切に実施することが求められており、6.0版ではその具体的な方法がより詳しく解説されています。

前バージョン（5.0版）からの主な改訂ポイント

クレジットカード・セキュリティガイドライン6.0版では、前バージョン（5.0版）と比較して不正利用対策の強化や技術的なセキュリティ対策の推進が大きく強化されています。
特に以下の3点が注目すべき改訂ポイントです。

・EC加盟店のシステム及びWebサイトの「脆弱性対策」の実施
・EMV 3-Dセキュアの導入
・適切な不正ログイン対策の実施

これらの改訂により、EC事業者はより高度なセキュリティ対策を講じる必要があるため、適切な対応が求められます。

1. EC加盟店のシステム及びWebサイトの「脆弱性対策」の実施

近年、ECサイトを狙った不正アクセスや情報漏えいの事例が増加しています。特に、SQLインジェクションやクロスサイトスクリプティング（XSS）などの脆弱性を突いた攻撃が問題視されており、6.0版ではこれらに対する防御策の強化が求められています。

具体的には、EC加盟店は以下の対策を全て実施する必要があるとされています。

①システム管理画面のアクセス制限と管理者のID/パスワード管理

②データディレクトリの露見に伴う設定不備への対策

③Webアプリケーションの脆弱性対策

④マルウェア対策としてのウイルス対策ソフトの導入、運用

⑤悪質な有効性確認、クレジットマスターへの対策

これらの対策を講じることで、EC加盟店は不正アクセスや情報漏えいのリスクを低減し、カード情報の安全性を確保することができます。

2. EMV 3-Dセキュアの導入

3Dセキュアは、オンライン決済時に追加認証を行うことで、なりすましによる不正利用を防ぐ仕組みです。

6.0版では最新の「EMV 3-Dセキュア」への対応が必須とされています。

またEMV 3-Dセキュアを導入した上で、原則として決済の都度、EMV 3-Dセキュアによる認証の実施が提唱されています。

EMV 3-Dセキュアの特徴

・ワンタイムパスワードや生体認証を活用し、ユーザーの負担を軽減
・不正取引の検知機能が強化され、リスクに応じた認証を自動で選択可能
・クレジットカード会社側での認証プロセスが強化され、ECサイトの責任軽減につながる

EC事業者が実施すべき対応

・決済代行会社が提供する「EMV 3-Dセキュア対応」の決済サービスを導入する
・顧客への告知を行い、必要に応じて決済フローの変更内容についての説明を行う
・3Dセキュア導入後も問題なく決済が無事完了して注文が入っているか確認する

EMV 3-Dセキュアの導入メリット

・不正利用リスクの低減
・カード会社によるチャージバック（不正利用時の返金）の対象となるケースが増加
・消費者の安心感が向上し、コンバージョン率の向上にも寄与

3. 適切な不正ログイン対策の実施

下記の表「対策項目」の内、カード決済前の「会員登録」「会員ログイン」「属性情報変更」の各場面を考慮した適切な対策を１つ以上導入することが提唱されています。

出典： クレジットカード・セキュリティガイドライン【6.0版】改訂ポイント｜クレジット取引セキュリティ対策協議会

EC事業者は、自社のサイトが適切なセキュリティ対策を講じているかを確認し、ガイドラインに準拠することで、安全な決済環境を確保するとともに、ユーザーの信頼を得ることが求められます。

※「クレジットカード・セキュリティガイドライン6.0版」の詳細は以下の経済産業省公式ページにてご確認ください。
「クレジットカード・セキュリティガイドライン」が改訂されました｜経済産業省

ECサイトでクレジットカード決済を提供する場合、適切なセキュリティ対策を実施しなければ、不正アクセスや情報漏えい、不正利用のリスクが高まります。

しかし前提としてEC事業者にとって自社で1から対策を実施し、日々アップデートを行っていくためには莫大な時間やリソース、費用を投じる必要があり、とても大変です。

できるだけ対応コストを下げ、商品の販売に専念するためにはガイドラインに準拠して対策を実施しているECカートの利用をおすすめします。

そうすることでEC事業者は技術的な対応をせずとも、利用するECカートのセキュリティレベルを享受して、適切に対策を講じることができます。

ここまでは、EC事業者がクレジットカード・セキュリティガイドライン6.0版にあたって改訂となったポイントについての対策について主に記載していましたが、ここからは、ガイドライン全体に準拠するために実施すべき具体的な対策を改めて詳しく解説します。

また実施すべき対策の項目に対し、弊社の提供するASP型ECカート「aiship」ではどのように対応をしているか、どのようなセキュリティ対策を享受できるのかについてもご紹介します。

1. クレジットカード情報の保護

EC事業者は、クレジットカード情報の漏えいリスクを最小限に抑えるために、以下のいずれかの方法を選択する必要があります。

■ 非保持化（カード情報を保存しない）
・決済代行サービスを利用し、ECサイトがカード情報を直接扱わないようにする（SBペイメントサービスなどの提供するリンク型決済を活用）。
・「カード情報入力ページをEC事業者側ではなく決済代行会社側で管理する方式」を導入する。

■ PCI DSS準拠（保存する場合は厳格な基準を適用）
・PCI DSS（Payment Card Industry Data Security Standard）の要件に基づいたセキュリティ対策を実施。
・物理的・技術的な保護対策を強化し、社内で適切なアクセス管理を行う。

2018年6月施行の「改正割賦販売法」において、クレジットカード加盟店に対してクレジットカード情報の保護が義務付けられました。

これにより、クレジットカード情報の非保持化対策またはPCI DSS準拠対処が必須となっています。

aishipでは決済代行サービス提供会社と連携をとりながら、クレジットカード・セキュリティガイドラインに準拠したECサイトを構築できるように、決済機能・セキュリティ機能をアップデートし続けています。
最新のセキュリティ対策｜aiship

2. システムおよびWebサイトの脆弱性対策

① システム管理画面のアクセス制限と管理者のID/パスワード管理

ECサイトの管理画面が不正アクセスを受けると、システムの改ざんや顧客情報の漏えいにつながる可能性があります。そのため、管理画面へのアクセス制限を徹底し、以下の対策を講じることが重要です。

・IP制限の導入
管理画面へのアクセスを許可されたIPアドレスのみに限定する

・多要素認証（MFA）の導入
管理者アカウントへのログイン時に、ワンタイムパスワードなどを追加

・強固なパスワードの運用
英数字・記号を組み合わせた長いパスワードを設定し、定期的に変更

・アカウントの権限管理
必要最低限の権限を付与し、不要な管理者アカウントを削除

② データディレクトリの露見に伴う設定不備への対策

データディレクトリの設定ミスにより、機密情報が外部から閲覧可能な状態になるケースがあります。以下の対策を実施し、適切なアクセス制御を行いましょう。

・ディレクトリリスティングの無効化
ApacheやNginxの設定で Indexes を無効にする

・重要ファイルへの直接アクセスを防ぐ
.htaccess を使用し、機密ファイル（config.php など）へのアクセスを禁止

・適切なファイル・フォルダ権限の設定
サーバー上の機密ファイルの権限を適切に設定し、外部からのアクセスを制限

③ Webアプリケーションの脆弱性対策

ECサイトのWebアプリケーションには、SQLインジェクションやクロスサイトスクリプティング（XSS）などの脆弱性が潜んでいる可能性があります。これらを防ぐために、以下の対策を実施しましょう。

・WAF（Web Application Firewall）の導入
不正なリクエストをブロック

・エスケープ処理の徹底
入力フォームなどでユーザーの入力を適切にエスケープし、XSSを防止

・SQLインジェクション対策
プリペアドステートメントを使用し、直接SQLクエリを組み立てない

・フレームワークのセキュリティ機能活用
LaravelやDjangoなどのセキュリティ機能を有効活用

④ マルウェア対策としてのウイルス対策ソフトの導入、運用

サーバーや管理者のPCがマルウェアに感染すると、顧客情報の漏えいやサイトの改ざんにつながる可能性があります。以下の対策を徹底しましょう。

・ウイルス対策ソフトの導入
最新のウイルス対策ソフトをサーバーや管理端末に導入

・定期的なスキャンの実施
スケジュールスキャンを設定し、不審なファイルを検出・削除

・ソフトウェアのアップデート
OSやCMS、プラグインなどを常に最新の状態に保つ

・不審なメールやリンクの警戒
フィッシングメールによるマルウェア感染を防ぐため、社員のセキュリティ教育を実施

⑤ 悪質な有効性確認、クレジットマスターへの対策

攻撃者はECサイトを悪用し、クレジットカード情報の有効性を自動でチェックする「クレジットマスター攻撃」を行うことがあります。これを防ぐために、以下の対策を導入しましょう。

・EMV 3-Dセキュアの導入
本人認証を強化し、不正利用を防止

・レートリミットの設定
短時間に多数の決済リクエストが発生した場合にブロックする

・reCAPTCHAの導入
決済フォームにreCAPTCHAを設置し、自動スクリプトによる攻撃を防ぐ

・決済APIの適切な設定
決済システムのAPIを利用する際、不正アクセスを防ぐための制限を設定

・モニタリングとアラート設定
異常な決済トランザクションが発生した際に即座に通知を受け取る

これらの対策を実施することで、ECサイトの脆弱性を最小限に抑え、安全な取引環境を確保できます。

aishipではシステムおよびWebサイトの脆弱性対策として、様々な対策を講じています。

例えば、WAFによるパターン化された攻撃的なアクセスの自動検知・ブロックを行ったり、 脅威検出サービスを用いてサーバーへの不正アクセスや侵入のリアルタイム検知を行い、サービスの提供元である弊社へ自動通知を行う仕組みを構築しています。
改ざん対策｜aiship

その他、EMV 3-Dセキュア、reCAPTCHA、IP制限なども全て標準で対応しています。
最新のセキュリティ対策｜aiship

3. 不正利用防止策

EMV 3-Dセキュア（3Dセキュア2.0）の導入

・クレジットカードの本人認証を強化する仕組みで、不正利用防止に有効。
・生体認証やワンタイムパスワードを活用することで、セキュリティと利便性を両立。
・経済産業省も導入を推奨しており、EC事業者は早期の対応が求められる。

導入計画の策定と早期実施

・決済代行会社と連携し、EMV 3-Dセキュア対応の決済を導入。
・テスト環境での事前検証を行い、スムーズな運用が可能か確認。
・消費者向けに事前案内を実施し、決済時の流れを周知。

不正利用が多発している場合の即時導入

・一定金額以上の取引には、本人認証を必須化する設定を検討。

aishipでは不正利用防止策としてEMV 3-Dセキュア（3Dセキュア2.0）の対応はもちろん、「API型連携」「リンク型連携」のどちらにも対応しています。

詳細については以下のページもご参考ください。
2025年導入義務化！3Dセキュア2.0対応のECカート｜aiship

4. 不正ログイン対策

ログイン時の本人認証強化

・一般的なID・パスワード方式だけでなく、追加認証を導入。
・不正ログインを防ぐため、アカウントロック機能を設定（一定回数の失敗でロック）。

多要素認証（MFA）の導入

・ワンタイムパスワード（OTP）やSMS認証の活用。
・管理者アカウントだけでなく、一般ユーザーのアカウントにもMFAを推奨。

aishipでは不正ログイン対策として、管理画面のログインとエンドユーザーの会員登録・ログインにおいて、 いずれも2段階認証やログイン失敗回数による制限を用いて、万全なセキュリティ対策を実施しています。

詳細については以下のページもご参考ください。
不正ログイン対策｜aiship

5. 不正利用のモニタリングと検知

取引の監視と異常検知システムの導入

・決済時の異常検知システム（リスクベース認証）を導入し、不審な取引を即時ブロック。
・特定のIPアドレスからの大量注文や、異常な購入パターンを自動検知する仕組みを整備。
・AIを活用した不正検知ツールを導入し、不正利用の兆候を迅速に察知。

不正利用発生時の迅速な対応プロセスの確立

・顧客からの「身に覚えのない請求」問い合わせに迅速対応できる体制を整備。
・決済代行会社やクレジットカード会社と連携し、不正利用の被害を最小限に抑える。
・万が一情報漏えいが発生した場合、被害範囲を特定し、速やかに報告・対応する体制を構築。

クレジットカード・セキュリティガイドライン6.0版では、EC事業者に求められるセキュリティ対策がより高度化しています。特に、

・カード情報の非保持化
・システムの脆弱性対策
・不正利用防止策（EMV 3-Dセキュアの導入等）
・不正ログイン対策（MFAの導入等）
・不正利用のモニタリング・迅速な対応

といった実践的なセキュリティ対策が必須となります。

EC事業者はこれらの対策を適切に実施し、ユーザーにとって安全な決済環境を提供することが求められます。

クレジットカード・セキュリティガイドライン6.0版に準拠し、安全なECサイト運営を行うためには、計画的な対策が必要です。

ここでは、EC事業者が実施すべき手順を「現状分析」「対策の計画と実施」「定期的な評価と改善」の3つのステップに分けて解説します。

1. 現状分析

自社のセキュリティ対策状況の評価

まず、自社ECサイトのセキュリティ対策が現在どの程度実施されているのかを把握することが重要です。
以下の観点で現状を評価しましょう。

■ カード情報の取り扱い状況
・クレジットカード情報をECサイトで保存・処理・送信していないか（非保持化の状況）
・PCI DSSに準拠したセキュリティ対策が実施されているか

■ 決済システムのセキュリティ
・EMV 3-Dセキュアの導入状況
・決済代行会社の選定基準が適切か（PCI DSS準拠の決済代行会社を利用しているか）

■ システムの脆弱性対策
・ウイルス対策ソフトの導入・定期更新を実施しているか
・サーバーやWebアプリケーションに脆弱性がないか（脆弱性診断の実施）

■ 不正利用防止策の実施状況
・ログイン時の本人認証が強化されているか（MFAの導入）
・取引の監視・異常検知システムを導入しているか

脆弱性の洗い出し

現状評価の結果をもとに、改善すべき課題を特定します。
特に以下のような脆弱性がある場合は、早急な対策が必要です。

・ECサイトがクレジットカード情報を直接保存・処理している
・管理画面のID・パスワードが簡単で、多要素認証が未導入
・セキュリティパッチやウイルス対策が最新の状態になっていない
・異常な決済を自動検知するシステムが導入されていない

これらの問題点をリストアップし、次のステップで解決策を計画・実行します。

2. 対策の計画と実施

優先度に基づく対策計画の策定

特定した脆弱性に対して、優先度を決めて対策を実施します。

各社の状況に応じて優先度を決める必要があるため、一概には言えませんが、以下は対策の優先度の一例になります。

■ 最優先（早急に実施すべき対策）
・クレジットカード情報の非保持化（決済代行サービスの導入）
・EMV 3-Dセキュアの導入（不正利用のリスク軽減）
・管理者アカウントの強化（ID・パスワードの強化、多要素認証の導入）

■ 優先（中期的に対応すべき対策）
・不正ログイン対策（ログイン履歴の監視、アカウントロック機能の追加）
・異常決済の検知システムの導入
・サーバーやWebサイトの定期的な脆弱性診断の実施

■ 推奨（継続的に実施すべき対策）
・従業員のセキュリティ教育
・セキュリティインシデント対応のシミュレーション訓練
・最新のセキュリティ技術へのアップデート

必要なリソースの確保

対策を実施するために、以下のリソースを確保する必要があります。

・人的リソース
社内のセキュリティ担当者、外部の専門家（コンサルタント、決済代行会社）

・技術リソース
セキュリティ対策ソフト、不正検知システム、脆弱性診断ツール

・予算
ECシステム自体の改修費用、セキュリティサービスの契約費用

対策の実施と進捗管理

対策を進める際は、進捗を管理しながら計画的に実施します。以下のようなプロセスで管理するとスムーズに進められます。

1. 具体的なタスクを定義（例：「多要素認証の導入」「決済システムの切り替え」）
2. 担当者を割り当てる（社内担当者、外部業者など）
3. スケジュールを設定（対策の実施時期、検証期間）
4. 進捗を定期的に確認（週次・月次で進捗チェック）

3. 定期的な評価と改善

セキュリティ対策の定期的な見直し

一度対策を実施したからといって、安心してはいけません。ECサイトを取り巻く脅威は日々進化しており、定期的な見直しが不可欠です。

・年に1回以上、セキュリティ監査を実施（脆弱性診断、外部監査）
・システムのアップデートを適用し、古いセキュリティリスクを排除
・決済代行会社やクレジットカード会社と定期的に情報共有を行う

最新情報の継続的なキャッチアップ

EC事業者は、以下のような情報源を活用して、最新のセキュリティ情報を継続的にキャッチアップすることが重要です。

・クレジット協会の公式サイト（ https://www.j-credit.or.jp/ ）：ガイドラインの更新情報

・IPAの公式サイト（ https://www.ipa.go.jp/ ） ：最新の情報セキュリティ情報

・JPCERT/CC（ https://www.jpcert.or.jp/ ）：最新のサイバー攻撃情報

・決済代行会社やクレジットカード会社の通知：新しい決済技術や不正利用対策の情報

従業員へのセキュリティ教育の継続

セキュリティ事故の原因として 「人為的ミス」 によるものも多いのが実情です。従業員への教育を定期的に実施し、セキュリティ意識を向上させましょう。

■ 実施すべき教育内容
・フィッシング詐欺やマルウェアへの対策
・強固なパスワードの設定・管理方法
・社内システムのアクセス権限管理の重要性
・クレジットカード情報の取り扱いルール

■ 教育の実施方法
・年に1回のセキュリティ研修
・eラーニングやテストの活用
・インシデント発生時の対応訓練

クレジットカード・セキュリティガイドライン6.0版に準拠し安全にECサイトを運営するためには、「現状分析」→「対策の計画と実施」→「定期的な評価と改善」の流れで進めることが重要です。

EC事業者は、最新の脅威に備えながら継続的にセキュリティ対策を強化することで、安全な環境を提供できるようになります。

クレジットカード・セキュリティガイドライン6.0版は、クレジットカード取引の安全性を確保するために策定されています。EC事業者は、このガイドラインに準拠することで「顧客の信頼確保」「不正利用のリスク低減」「法的リスクの回避」など、多くのメリットを得ることができます。

セキュリティ対策は一度実施すれば終わりではなく、継続的に強化・見直しを行う必要があります。サイバー攻撃や不正利用の手口は日々進化しており、最新の脅威に対応しなければ、ECサイトの安全性を維持できません。

継続的なセキュリティ対策として、以下のポイントを意識しましょう。

・最新のセキュリティガイドラインや不正利用手口の情報収集

・定期的なセキュリティ監査（脆弱性診断、ログの監視など）

・最新のセキュリティアップデートの適用（CMS、決済システム、サーバーなど）

・最新のセキュリティ対策を実施しているECカートの利用

・従業員のセキュリティ意識向上（研修・テストの実施）

また、EMV 3-Dセキュアの導入、多要素認証（MFA）の導入など、新しい技術を積極的に取り入れることで、より強固なセキュリティを実現できます。

「セキュリティ対策は、顧客と自社を守る投資」という意識を持ち、安全なECサイト運営を実現していきましょう。


先述の通り、弊社の提供するクラウド型ECサイト構築ASP「aiship 」では毎月2回バージョンアップにより常に最新のセキュリティ対策を実施。セキュリティ世界最高水準のサーバー「AWS(Amazon Web Services)」上での稼働に加え、改ざんや不正ログインによるクレジットカードの不正利用にも万全の対策を講じることで安全なECサイト運営を担保しています。

aishipの改ざん対策
aishipの不正ログイン対策

セキュリティが万全なECサイト立ち上げや、セキュリティに課題がありリニューアルをご検討の事業者様は是非お気軽にご相談ください。