ECサイト運営では、詐欺や不正注文への対策が欠かせません。代表的な手口が、クレジットカードの不正利用です。一般社団法人日本クレジット協会によると、2025年の被害額は510億5000万円でした。このうち475億4000万円はカード番号を盗み取る「番号盗用」による被害で、全体の9割以上を占めます。番号盗用はECサイトのような非対面取引で起こりやすく、商品発送後にチャージバックが発生すると、商品と代金の両方を失うなど、事業者に直接的な被害が及びます。
この記事では、不正注文の仕組みや手口を解説し、被害を減らす対策を紹介します。自社に必要な不正対策に取り組みましょう。
ECサイト詐欺とは
ECサイト詐欺とは、オンライン取引を悪用して、事業者や消費者から金銭や情報をだまし取る行為を指します。なかでも、事業者が直接的な金銭被害を受けやすいのが不正注文です。不正注文では、個人情報やクレジットカード情報が悪用されることがあり、こうした情報はダークウェブで売買されることもあります。また、盗まれた情報が海外で悪用されるケースもあり、被害の把握や追跡が難しい場合があります。
このように、不正注文は発見や対応が難しく、サイバー犯罪者に悪用される手口の一つです。事業者は、こうした詐欺被害を防ぐため、対策に取り組む必要があります。
ECサイトに不正対策が必要な理由
売上と利益を守るため
不正注文によって、商品と代金の両方を失う可能性があります。盗まれたカードで注文が入れば、商品は犯人の手に渡り、カード保有者が不正利用を申し立てると、チャージバックによって入金済みの代金も回収されてしまうためです。
利益率の低い商材では、数件の被害で月の利益が消えることもあります。
顧客からの信用を守るため
不正対策が不十分なサイトだと認識されれば、顧客からの信用を失います。「セキュリティ対策が十分ではないか」「自分のカード情報を預けても大丈夫だろうか」と受け取られるためです。
顧客が被害に遭えば、その体験は周囲やSNSへ伝わります。購入前に口コミなどを参考にする人も多いため、既存顧客が離れるだけでなく、まだ買ったことのない人まで購入をためらいかねません。
法令やガイドラインを遵守するため
割賦販売法では、クレジットカードを取り扱う事業者に、不正利用防止に向けた必要な措置が求められています。その実務上の指針となるのが、経済産業省が公表する「クレジットカード・セキュリティガイドライン」です。
義務を負うのは、事業者だけではありません。決済を担うカード会社や決済サービス事業者などは、犯罪収益移転防止法にもとづき、本人確認や取引の監視、疑わしい取引の届出といった対応を求められています。
運営の負担を抑えるため
不正への対応には、1件ごとにカード会社への異議申し立て、取引記録の確認、証拠の収集、その後の事務処理などに手間がかかります。本来なら商品開発や集客などのコア業務に充てられる時間が、不正対応によって失われます。
ECサイト詐欺の種類
クレジットカード不正利用
盗んだクレジットカードやデビットカードの情報を使って商品を購入する手口です。実店舗と違って支払い時にカードの現物を示す必要がないため、ECサイトでは不正利用が起こりやすくなります。
犯人はまず少額決済でカードの有効性を試し、その後高額商品を注文する傾向があります。さらに、商品発送後にカード保有者から申し立てがあると、入金済みの代金は回収され、事業者にはチャージバック手数料が発生する場合もあります。
フレンドリー詐欺
フレンドリー詐欺（本人不正使用）はチャージバック詐欺とも呼ばれ、商品を受け取った購入者自身が「注文していない」とカード会社に申告し、チャージバックによって支払いを免れる手口です。チャージバックは本来、身に覚えのない請求からカード保有者を守る制度ですが、それを悪用しています。商品も代金も購入者の手に渡り、損失はすべて事業者が負担します。
さらに、チャージバックが多発すると、決済代行業者が特定のカード会社経由の決済を停止するなどの措置を取ることもあります。1件につき1300円程度の手数料もかかり、件数が増えれば小規模な事業者には重い負担です。
アカウント乗っ取り詐欺
個人情報の不正利用の一種で、サイバー犯罪者が顧客のログイン情報を入手し、パスワードや登録情報を変更して無断で買い物をする手口です。
ログイン情報は、フィッシング詐欺によって取得されることが多くあります。フィッシング詐欺とは、実在する企業を装ったメールで偽サイトへ誘導し、情報を入力させる手口です。
事業者にはチャージバックや手数料の負担に加え、顧客からの苦情や口コミによって、ストアの評判が下がるリスクもあります。
インターセプト詐欺
インターセプト詐欺は、盗んだ決済情報で商品を購入し、配送途中で荷物を横取りする詐欺の手法です。注文も支払いも正常に処理されるため、注文時点では不正に気づけません。犯人は注文確定後、オンラインストアのカスタマーサービスに配送先の変更を依頼したり、配送業者に直接指示したりして、荷物を自分が指定した場所に届けさせます。
三角詐欺
三角詐欺は、盗んだ個人情報を悪用して利益を得る手口で、犯人とEC事業者、購入者の3者が関わります。
まず犯人が偽のECサイトを立ち上げ、人気商品を相場より大幅に安い価格で出品します。安さに惹かれた購入者が注文すると、支払われた代金と決済画面で入力されたカード情報が犯人の手に渡ります。犯人は、その情報を使って正規のECサイトから商品を購入し、購入者のもとへ発送します。
購入者の手元には注文どおりの商品が届くため、クレームが発生しにくく、すぐには詐欺だと気づかれません。その間に犯人は、手に入れた情報を使って別の商品を購入したり、ダークウェブで売却したりします。
アフィリエイト詐欺
アフィリエイト詐欺とは、報酬を不正に受け取ろうとする手口です。報酬は紹介リンクを経由した訪問者のブラウザに保存されるクッキーなどの記録で判定されるため、この記録を不正に付与すれば、紹介していない購入まで自分の成果として計上できます。
手口には、リンクをクリックしていない訪問者のブラウザにクッキーを保存させる「クッキースタッフィング」や、URLの打ち間違いで来た人を紹介リンク経由で正規のサイトへ送る「タイポスクワッティング」などがあります。商品は正規に購入されるため取引は正常に見えますが、本来払う必要のない報酬が発生します。
返金詐欺
正当な理由があるように装って、不正に返金を受け取る詐欺の一種です。よくある例は次のとおりです。
- 注文品が届いていないと虚偽の申告をして、ギフトカードなど通常とは異なる方法での返金を求める
- 届いた箱が空だった、または欠陥品だったと偽の苦情を申し立てる
- 購入していない商品について、偽の領収書や注文確認メールを示して返金を要求する
- 盗んだカードで購入したあと、そのカードが停止されたことを理由に別の方法での返金を求める
ECサイトの不正対策12選
- 不正解析ツールを活用する
- 本人認証で購入者を確認する
- 注文数に上限を設ける
- 各種ポリシーの抜け穴をふさぐ
- リスクの高い注文を確認する
- 不正対応のワークフローを作る
- 従業員に不正対策を教育する
- セキュリティ対策を定期的に見直す
- PCI DSSに準拠する
- 取引記録を正確に残す
- チャージバック補償サービスを利用する
- 繁忙期は警戒を強める
1. 不正解析ツールを活用する
不正解析ツールは、注文ごとの不正リスクをスコアで示す仕組みです。IPアドレスや注文情報などのデータをもとにリスクの高さを判定するほか、住所の不一致を検出したり、ボットによる注文かどうかを分析したりできます。
リスクが高い注文には、次のような対策を行いましょう。
- 配送先住所を調べ、偽の住所や疑わしい建物でないかを確認する
- メールを送って購入者本人による取引か確認する
- 必要に応じて注文をキャンセルする
- 疑わしいアカウントをブロックリストに記載する
2. 本人認証で購入者を確認する
会計ページで決済を行っている利用者が、カード保有者本人かを確認する仕組みです。次の3つを組み合わせると効果的です。
- 本人確認：ワンタイムパスワードや生体認証で、購入者が本人かどうかを確かめる
- カード確認：カード裏面のセキュリティコードの入力を求め、カードを手元に持っていることを確かめる
- 住所確認：入力された請求先住所などの情報を照合し、不正利用の可能性を確認する
本人確認については、経済産業省の「クレジットカード・セキュリティガイドライン」により、原則すべてのEC加盟店がEMV 3-Dセキュアの導入を求められています。EMV 3-Dセキュアとは、カード決済時にカード発行会社の画面で本人認証を行う仕組みです。認証を通した取引で不正利用によるチャージバックが発生した場合、原則として加盟店は免責され、カード発行会社側がリスクを負担します。
3. 注文数に上限を設ける
盗んだカードを使う犯人は、一度に大量の注文を出す傾向があります。複数の店舗に分散して注文するより、少数の店舗に集中したほうが見つかりにくいためです。
この手口を防ぐには、1回の注文で買える数量に上限を設ける手法が有効です。上限をいくつにするかは、過去の注文データから決めましょう。自社の顧客が普段どのくらいの数量を購入しているかを把握しておけば、正規のまとめ買いを妨げずに、不正注文だけを抑えられます。
4. 各種ポリシーの抜け穴をふさぐ
不正利用の中には、返品ポリシーやポイント制度の抜け穴を突く手口もあります。自社のポリシーに悪用できる余地がないか点検しましょう。
たとえば「14日以内なら全額返金」という条件だけでは、製造タグが外された商品が返品されても自社が販売した商品かどうかの確認が難しくなります。「タグが付いた状態であること」を条件に加えれば、不適切な返品を防ぎやすくなります。
返金による損失が大きいなら、現金ではなく交換やストアクレジットに変えるのも有効です。盗品や着用済みの商品を返品して現金を得る不正リスクを抑えられます。
5. リスクの高い注文を確認する
不正注文には、いくつかの特徴があります。次のような注文は、発送前に確認しましょう。
- 配送先住所とカード保有者の登録住所が大きく離れている
- 決済が完了するまで何度も試行されている
- 不自然に少額の注文が入っている（盗んだカードがまだ使えるかを試している可能性がある）
3つ目に挙げた少額決済によるカードの有効性確認は、「悪質な有効性確認」と呼ばれます。クレジット取引セキュリティ対策協議会の「EC加盟店におけるセキュリティ対策」によると、国内より海外のIPアドレスから実施されることが多いとされています。
6. 不正対応のワークフローを作る
不正検知ツールを導入したあとは、検出された注文をどう扱うかの手順も決めておきましょう。「リスクが高い注文は発送を止める」と決めておけば、担当者によって判断が変わることを防げます。手順を自動で実行する仕組みを使えば、注文が増えても確認漏れを防げます。
7. 従業員に不正対策を教育する
経営者ひとりで全注文に目を配るのは困難です。スタッフ自身が不正の可能性に気づき、報告できるよう、教育に力を入れましょう。
研修では次の項目を扱います。
- 不正対策がなぜ必要なのか
- 顧客情報や社内情報の取り扱い方
- 実際に起こりやすい不正の手口
- 不正を検知するために使うツールと操作方法
- 不審な注文を見つけたときの報告先
8. セキュリティ対策を定期的に見直す
マルウェアやランサムウェア、アカウントへの不正アクセスから会社を守る対策も欠かせません。まずは監査とリスク評価で、自社の対策のどこが弱いかを洗い出します。全アカウントに二要素認証を設定し、ほかのサービスと使い回していないパスワードに変更します。業務用の端末には、ファイアウォールやウイルス対策ソフトを導入します。
犯罪者は、既存のセキュリティ対策を破るために手口を更新し続けています。監査は一度きりにせず、定期的に繰り返しましょう。
9. PCI DSSに準拠する
PCI DSSは、カード決済を安全に取り扱うために定められた国際的なセキュリティ基準です。クレジットカード決済を受け付けるオンラインストアは、カード会員データなどを適切に保護するため、この基準に沿った対応が必要です。
ShopifyはPCI DSSに準拠したホスティングプロバイダーで、Shopifyで開設したストアは標準でその要件に対応しています。
10. 取引記録を正確に残す
不正なチャージバックが発生した場合は、正当な取引であることを示す証拠が必要です。注文日時や配送先住所、配送業者の追跡番号、受け取りの記録、顧客とのやり取りを、いつでも確認できる状態にしておきましょう。
11. チャージバック補償サービスを利用する
チャージバック補償サービスはチャージバック保険とも呼ばれ、防ぎきれなかった損失に備えるためのサービスです。保険料を定期的に支払うことで、チャージバックが発生した際に被害額の一部が補填されます。保険会社が提供するもののほか、決済代行会社が加盟店向けに用意する団体保険制度もあります。具体的には楽天ペイのチャージバック補償団体保険制度や、GMOペイメントゲートウェイのチャージバック補償団体保険などです。
12. 繁忙期は警戒を強める
年末年始などのショッピングシーズンは、トラフィックと売上が伸びる一方で、不正注文が紛れ込みやすい時期です。注文件数が急増すると1件ずつ確認する時間は取れず、いつもなら気づくサインを見落としやすくなるためです。繁忙期こそ、自動判定の基準を厳しめに設定し、確認にあたる人員を増やしておきましょう。
Shopifyで利用できる不正対策機能
Shopify Payments
Shopify標準の決済機能「Shopify Payments（ショッピファイペイメンツ）」は、EMV 3-Dセキュアによる本人認証に対応しています。あわせて、カードテスティングや、身元を隠すためのプロキシ接続の検出機能も備えています。機械学習と、人間かどうかを判定するテストを組み合わせて、会計ページでの不正な決済試行を防ぎます。
また、Shopify Paymentsでは、決済情報と注文情報を一元管理できます。不正なチャージバックが発生したとき、異議申し立てに必要な取引記録を確認しやすくなります。
Shopify不正解析
Shopifyの不正解析は、すべてのプランで使える標準機能です。クレジットカードの請求先住所やセキュリティコードの照合結果、複数のカードを試した形跡などをもとに、その注文のチャージバックリスクを低、中、高の3段階で判定します。中程度以上と判定された注文は管理画面で警告が表示され、注文通知メールでも知らせが届くため、発送前に確認できます。
Shopify Flow
Shopify Flow（ショッピファイフロー）を使うと、不正対応を自動化できます。「リスクが高いと判定された注文は決済を保留する」「担当者にメールで通知する」といったルールを、プログラミング不要で設定できます。注文処理の早い段階で対応できるため、確認漏れを防ぎ、不正注文による被害を抑えられます。
チャージバックの発生率を低く保つ
VisaやMastercardなどのカードブランドでは、チャージバック率に関する基準が設けられており、発生率が高い事業者は監視プログラムの対象になります。発生率が下がるまで、罰金や追加料金が課される可能性があるうえ、決められた期間内に改善されなければ、最悪の場合、加盟店契約を継続できなくなることもあります。
発生率を抑えるには、自社のチャージバックデータを分析し、原因に応じた対策を取ることが重要です。
まとめ
不正注文は手口を知り、仕組みで検知し、対応の手順を決めておくことで被害を抑えられます。犯罪者の手口は変わり続けるため、少なくとも半年に一度はセキュリティ対策やポリシーを見直す時間を取りましょう。
不正対策を備えたECサイトを立ち上げたいなら、ECプラットフォームのShopifyがおすすめです。注文ごとのリスクを判定するShopify不正解析、EMV 3-Dセキュアに対応したShopify Payments、不正対応を自動化するShopify Flowを標準で利用でき、すべてのストアがPCI DSSの要件に対応しています。無料体験もあるので、ぜひお試しください。
続きを読む
不正対策に関するよくある質問
ECサイト詐欺を防ぐ方法は？
- EMV 3-Dセキュアを導入する
- 不正解析ツールでリスクの高い注文を検知する
- 注文数の上限を設定する
- 返品やポイントのポリシーを見直す
- 発送前に不審な注文を確認する
- 従業員にセキュリティ教育を行う
- チャージバックのデータを定期的に分析する
ECサイト詐欺はどのようにして起きる？
フィッシングなどで盗まれたクレジットカード情報やログイン情報を悪用したり、ECサイトの仕組みや制度の隙を突いたりすることで発生します。
ECサイトの不正利用の被害額は？
一般社団法人日本クレジット協会によると、2025年のクレジットカード不正利用被害額は510億5000万円で、前年比8.0%減でした。ただし、そのうち475億4000万円はカード番号の盗用によるもので、被害の中心がECサイトのような非対面取引にあることに変わりはありません。
