ECサイトの2要素認証は必要？ EMV 3-Dセキュアだけでは不十分になった理由

クレジット決済の安全対策は「決済画面だけ」では足りなくなっている

ECサイトを運営していると、どうしても商品ページ改善や広告運用、SNS施策、SEO、CRMなど、売上を伸ばすための施策に意識が向きやすくなります。もちろん、それらは非常に重要です。

しかし近年、ECサイト運営において、売上と同じくらい重要になってきているのが「セキュリティ対策」です。

特にここ数年は、クレジットカードの不正利用や会員アカウントの乗っ取り被害が急増しており、経済産業省やクレジット取引セキュリティ対策協議会による「クレジットカード・セキュリティガイドライン」でも、EC加盟店に求められる対策内容が大きく変化しています。

現在、多くのECサイトでは、トークン決済やEMV 3-Dセキュアへの対応が進んでいるかと思います。決済代行会社からの案内に沿って導入したり、ECカート側の標準機能として対応したりと、「カード情報を保持しない」「決済時に本人認証を行う」という考え方は、かなり一般化してきました。

一方で、まだ見落とされやすいのが、会員ログイン時の2要素認証やアカウントロック、管理画面のアクセス制限、サイト本体の脆弱性対策です。実際、不正利用の現場では、決済画面そのものよりも、その手前にある「ログイン」が突破されるケースが増えています。

つまり現在のECサイトでは、決済だけ守ればよい時代ではなくなってきています。

今のECサイトでは「ログイン対策」が重要になっている

現在のECサイトでは、EMV 3-Dセキュアの導入だけで十分とは言えなくなっています。もちろん、EMV 3-Dセキュアは非常に重要です。カード番号と有効期限だけで決済できてしまう状態を防ぎ、カード会社側で本人認証を行うことで、不正利用リスクを大きく下げることができます。

ただし、近年増えているのは「会員アカウント乗っ取り型」の不正です。他サービスから漏えいしたID・パスワードを使ってECサイトへログインし、登録済みの会員情報やポイント、配送先情報を悪用するケースが増えています。

つまり、決済時だけを強化しても、ログイン部分が弱ければ、不正利用の入口を残してしまうことになります。

そのため現在は、「EMV 3-Dセキュア」「2要素認証」「アカウントロック」「脆弱性対策」を組み合わせた、多層的な防御が重要になっています。

クレジットカード・セキュリティガイドラインで求められていること

経済産業省が実務上の指針として位置づけている「クレジットカード・セキュリティガイドライン」は、クレジット取引セキュリティ対策協議会によって策定されています。

2025年に公表された6.0版では、EC加盟店に対して、「EMV 3-Dセキュア導入」「ECサイトの脆弱性対策」「適切な不正ログイン対策」などが重要な対策として整理されました。

さらに6.1版では、これらの対策を「いかに実装・運用していくか」という観点での整理や理解促進が進められています。

ここで重要なのは、これらが単なる「推奨レベル」の話ではなく、割賦販売法に関連する実務指針として扱われている点です。

つまり、「決済代行会社がやってくれるから大丈夫」ではなく、「EC加盟店側も適切に運用・管理する必要がある」という考え方になっています。

2要素認証とアカウントロックは、今後さらに重要になる

近年、ECサイトで増えているのが「リスト型攻撃」です。これは、他サービスから流出したメールアドレスとパスワードを利用し、別のECサイトへ大量にログインを試みる攻撃です。利用者は複数サービスで同じパスワードを使い回していることが多いため、一定数のアカウントが突破されてしまいます。

そして不正ログインに成功すると、登録済みクレジットカードの悪用、ポイント不正利用、配送先変更、なりすまし注文などが行われます。

ここで重要になるのが、2要素認証です。2要素認証とは、ID・パスワードだけではなく、別の認証手段を組み合わせる仕組みです。例えば、SMS認証、メール認証コード、認証アプリ、端末認証などがあります。

さらに、2要素認証と合わせて重要なのが「アカウントロック」です。これは、短時間に一定回数以上ログインに失敗した場合、一時的にログインを停止する仕組みです。

リスト型攻撃では、大量のID・パスワードを自動的に試すケースが多いため、アカウントロック機能があるだけでも、不正ログイン成功率を大きく下げることができます。

実務では、「5回失敗で30分ロック」「短時間大量アクセス遮断」「海外IP制限」「不審ログイン通知」などを組み合わせるケースが多く見られます。

特に重要なのは、2要素認証だけに依存しないことです。例えば、SMSを受信できない利用者もいますし、メール認証に気づかないケースもあります。

だからこそ、「2要素認証＋アカウントロック＋ログイン試行回数制限＋異常検知」という多層防御が重要になります。

非保持化していても「サイト改ざん」は防げない

ECサイト運営者の中には、「トークン決済だから安全」「カード情報を保持していないから問題ない」と考えている方も少なくありません。もちろん、非保持化は非常に重要です。

しかし、近年の攻撃は「サーバー内に保存されたカード情報を盗む」だけではありません。

例えば、ECサイトそのものが改ざんされ、決済画面に見せかけた不正コードが埋め込まれるケースがあります。利用者がカード情報を入力した瞬間に、その情報が外部へ送信されるわけです。

つまり、カード情報を保存していなくても、入力時点で盗まれる可能性があります。

実際、古いプラグインやCMSの脆弱性が放置されているサイトが狙われるケースは珍しくありません。

そのため現在は、「CMSアップデート」「プラグイン更新」「WAF導入」「管理画面IP制限」「不要アカウント削除」「マルウェア対策」「脆弱性診断」などが重要視されています。

特にEC-CUBEやWordPressなど、カスタマイズ性が高いシステムでは、「古いまま放置されること」が最大のリスクになるケースもあります。

「線」で考えるセキュリティが必要になっている

以前のECセキュリティは、「決済を守る」という発想が中心でした。しかし現在は、「取引全体を守る」という考え方へ変化しています。

不正利用は、決済時だけで起きるわけではありません。まず不正ログインが行われ、次に配送先変更や属性変更が行われ、その後に不正注文が行われます。

つまり、「ログイン → 属性変更 → 決済 → 配送 → 転売」という一連の流れがあります。

このどこか一箇所だけを守っていても、別の部分が突破されれば被害につながります。

そのため現在のガイドラインでは、「線の考え方」による対策が重視されています。

ログイン時には2要素認証やアカウントロック。決済時にはEMV 3-Dセキュア。管理画面ではIP制限や強固な認証。サイト本体には脆弱性対策。このように、複数の防御を組み合わせることが重要です。

自社ECサイトに当てはめると、どこを確認すべきか

まず確認したいのは、EMV 3-Dセキュアが有効になっているかです。意外と多いのが、「契約は済んでいるが、管理画面設定がOFFのまま」というケースです。

次に、会員ログイン対策です。2要素認証は導入されているか。アカウントロック機能はあるか。短時間大量ログインへの制限はあるか。ログイン通知は送信されるか。このあたりは、実際に確認してみると未対応なケースも少なくありません。

さらに、管理画面側も重要です。実務では、「共有アカウント利用」「退職者アカウント放置」「admin のまま運用」「簡単なパスワード」などもまだ見かけます。

最後に、CMSやプラグインの更新状況です。古いプラグイン放置は、現在でも非常に危険なポイントです。

「決済代行会社を使っているから安全」は危険

よくある誤解が、「決済代行会社を使っているから、うちは大丈夫」という考え方です。

もちろん、決済代行会社は重要です。しかし、決済代行会社が守ってくれるのは主に「決済部分」です。

一方で、「管理画面」「会員ログイン」「CMS」「プラグイン」「サーバー設定」「管理者運用」などは、ECサイト側の責任範囲になります。

実際、不正被害の多くは「運用の隙」から発生しています。

だからこそ現在は、「導入して終わり」ではなく、「継続的に運用を見直す」ことが重要になっています。

よくある質問

まとめ

現在のECサイトでは、トークン決済やEMV 3-Dセキュア対応だけでは十分とは言えなくなっています。

近年は、会員アカウント乗っ取りや不正ログインが増えており、2要素認証やアカウントロックの重要性が高まっています。

さらに、サイト改ざんや脆弱性悪用を防ぐためには、CMS更新や管理画面制御も欠かせません。

これからのECサイトでは、「決済だけ守る」のではなく、「ログインから配送まで全体で守る」という考え方が必要になっています。

まずは、自社サイトのログイン部分や管理画面運用を、一度見直してみることが重要かもしれません。