クレジットカードセキュリティルール 2026: オンラインショッピングが当たり前になった今、クレジットカードの不正利用被害は静かに、しかし着実に拡大しています。日本クレジット協会のデータによると、2024年の不正利用被害額は555億円に達し、そのほとんどがECサイトにおけるなりすまし被害です。こうした状況を受け、経済産業省は2025年3月に「クレジットカード・セキュリティガイドライン6.0版」を正式に改訂しました。このガイドラインは2026年にわたって本格的に適用され、ECサイト運営者から個人のカード利用者まで、広く影響が及びます。新しい認証方式や不正防止策の中身を正確に理解しておくことが、今求められています。
不正被害555億円の現実
2024年に記録されたクレジットカード不正利用の被害額は、過去最高水準となる555億円です。被害の約93%がECサイトでのなりすましによるもので、フィッシングサイトや流出したカード情報を使った手口が主流となっています。専門家によれば、AIを活用した精巧な偽サイトが増加しており、一般利用者が本物と区別することが以前より格段に難しくなっているといいます。インドでも同様に、UPIやデビットカード詐欺が急増しているように、デジタル決済の普及は利便性と同時にリスクも拡大させる側面があります。
5.0版から何が変わったか
旧バージョンである5.0版では、事業者は「本人認証・券面認証・属性行動分析・配送先確認」の4方策のうちいずれか1つを導入すれば要件を満たせる仕組みでした。しかし6.0版では、この「4方策から1つ選択」という選択制が廃止されました。代わりに、脆弱性対策・不正ログイン対策・EMV 3-Dセキュアの3つが、全EC加盟店に対して明確に義務付けられています。推奨から義務への転換は大きな変化です。
EMV 3-Dセキュア 義務化の仕組み
EMV 3-Dセキュアとは、オンライン決済の際にカード所有者本人であることをリアルタイムで確認する国際標準の認証プロトコルです。2025年4月以降、原則として全ECサイトへの導入が求められており、2026年もこの方針が継続されます。決済時にカード会社がデバイス情報や購入履歴・位置情報などを自動分析し、リスクが高いと判断した場合のみワンタイムパスワードや生体認証を要求する仕組みです。リスクが低い取引はスムーズに処理されるため、利便性を損なわない設計になっています。
Visa・JCBなど主要ブランドの対応
現在、Visa（Visa Secure）、Mastercard（Mastercard ID Check）、JCB（J/Secure）、American Express（SafeKey）、Diners Club（ProtectBuy）の主要ブランドがEMV 3-Dセキュア2.0に対応済みです。ただし、カード発行会社やカードの種類によって対応状況に差がある場合があります。EC事業者は、利用中の決済代行会社に最新状況を確認することが望ましいとされています。
不正ログイン対策 新たな義務
6.0版で初めて明文化された重要な変更点のひとつが、不正ログイン対策の義務化です。これは、カード決済が行われる前の段階——会員登録・ログイン・属性情報変更の各場面——において、なりすましを防ぐための対策を1つ以上導入することを求めるものです。対策の具体的な選択肢としては、多要素認証の導入、不審なIPアドレスのブロック、ログイン試行回数の制限、パスキーの活用など8項目が示されており、事業者の状況に応じて選択できます。
「線の考え方」で守る決済フロー
6.0版が採用した新しい対策思想が「線の考え方」です。従来は決済の瞬間だけに対策が集中していましたが、新しいアプローチでは「カード決済前・決済時・決済後」の流れ全体を一本の線として捉え、各フェーズで適切な防御を設けます。例えば、決済後の転売監視や異常検知も対策の範囲に含まれ、包括的なリスク管理が求められるようになっています。
対面決済 署名廃止とPIN必須化
ECサイトだけでなく、実店舗での決済ルールも2025年から変わっています。6.0版では、対面取引における署名による本人確認が廃止され、暗証番号（PIN）入力が必須とされました。また、PINバイパス——つまり暗証番号の入力省略——も認められなくなっています。スーパーやコンビニのレジで「サインはいりません」と言われる場面が増えているのはこの変更が背景にあり、2026年もこの運用が続きます。ICチップカードの普及もあわせて進む見通しです。
中小EC事業者が取るべき手順
規模の小さいECサイトであっても、対応の猶予は限られています。まず、利用中の決済代行サービスがEMV 3-Dセキュアに対応しているか確認することが第一歩です。多くの代行業者はすでに対応パッケージを提供しており、初期費用を抑えた導入も可能とされています。次に、管理画面への多要素認証設定やソフトウェアの定期アップデートなど、脆弱性対策5項目の実施が求められます。準拠にかかる期間は小規模サイトで3〜6ヶ月程度が目安とされており、早期着手が推奨されます。
利用者が今すぐできる備え
ガイドラインへの対応は事業者だけの問題ではありません。カードを使う一般の方にとっても、日ごろの習慣が不正被害を防ぐ大きな鍵になります。利用明細をアプリで定期的に確認すること、カード会社からのEMV 3-Dセキュア認証通知が届いた際に速やかに対応すること、不審なメールのリンクからは決して決済しないことが基本的な行動として重要です。万一、不審な取引を見つけた場合は、早期にカード会社へ連絡することで補償制度が適用される可能性があります。
フィッシング詐欺の見分け方
カード会社や通販会社を装ったフィッシングメールは年々精巧になっています。専門家は、URLが公式ドメインと微妙に異なる点（例：「rakuten-security.com」のような偽ドメイン）に注意を払うよう指摘しています。また、公衆Wi-Fiでのカード決済は情報傍受のリスクが高まる場合があり、可能であればモバイルデータ通信を使用することが望ましいとされています。3-Dセキュアの通知に心当たりがない場合は、入力せずカード会社に確認することが重要です。
免責事項：本記事は公開情報をもとに作成した一般的な解説です。クレジットカードのセキュリティ対策や法令上の義務については、一般社団法人日本クレジット協会および経済産業省の公式ガイドラインをご参照ください。個別の事業者対応や補償内容は、カード会社・決済代行会社によって異なる場合があります。
