セキュリティガイドライン6.0の重要改訂ポイント

ガイドラインは、クレジットカード取引の関係事業者ごとに対面取引と非対面取引別に講ずべきセキュリティ対策を定め、それを講じなさい、と言っています。

ガイドラインの対象となるのは、セキュリティ対策の実施主体者である加盟店、イシュアー、アクワイアラー、決済代行業者、コード決済事業者とその委託会社、加盟店向け決済システム提供事業者などです。なお、セキュリティ対策は「クレジットカード情報保護対策」と「不正利用対策」の2つに大きく分けられ、その対策を講ずべき場面は「対面取引」と「非対面取引」に分けられています。

2025年4月以降、全てのインターネットによりカード情報の通知を受ける加盟店（EC加盟店）は、以下の（1）から（5）の全ての項目を含む脆弱性対策を導入することが求められることとなります。

（1）システム管理画面のアクセス制限と管理者のID・パスワード管理

システム管理画面のアクセス可能なIPアドレスを制限する。IPアドレスを制限できない場合は管理画面にベーシック認証などのアクセス制限を設ける。取得されたアカウントを不正使用されないよう2段階認証または2要素認証を採用する。 システム管理画面のログインフォームでは、アカウント機能を有効にし、10回以下（PCI DSS v4.0.1基準）のログイン失敗でアカウントをロックする。

（2）データディレクトリの露見に伴う設定不備への対策

公開ディレクトリには、重要なファイルを配置しない。つまり、特定のディレクトリを非公開にしたり、公開ディレクトリ以外に重要なファイルを配置したりする。 WebサーバやWebアプリケーションによりアップロード可能な拡張子ファイルを制限するなどの設定を行う。

（3）Webアプリケーションの脆弱性対策

脆弱性診断またはペネトレーションテストを定期的に実施し、必要な修正対応を行う。 SQLインジェクションの脆弱性やクロスサイト・スクリプティングの脆弱性対策として、最新のプラグインの使用やソフトウェアのバージョンアップを行う。 Webアプリケーションを開発またはカスタマイズされている場合には、セキュアコーディング済みであるか、ソースコードレビューを行い確認する。その際は、入力フォームの入力値チェックも行う。

（4）マルウェア対策としてのウイルス対策ソフトの導入、運用

マルウェア検知・除去などの対策としてウイルス対策ソフトを導入し、シグネチャーの更新や定期的なフルスキャンなどを行う。

（5）悪質な有効性確認、クレジットマスターへの対策

悪質な有効性確認、クレジットマスターに対して、「EC加盟店におけるセキュリティ導入ガイド【附属文書20】」（以下、「導入ガイド」）1. 脆弱性対策に記載の対策を1つ以上実施する。

2025年4月以降、全てのEC加盟店は、その実態に合わせ、会員登録時、ログイン認証時、属性情報変更時といった各タイミングで最適な以下の8つの項目から、1つ以上の不正ログイン対策を網羅的に実施することが求められこととなります。

（1）不審なIPアドレスからのアクセス制限

（2）2要素認証などによる本人確認

（3）会員登録時の個人情報確認（例：氏名、住所、電話番号、メールアドレス）

（4）ログイン試行回数の制限強化（アカウントパスワードクラッキングの対応）

（5）ログイン時のメールやSMS通知

（6）属性・行動分析

（7）デバイスフィンガープリント

（8）その他の対策（導入ガイド【附属文書20】の3. 不正ログイン対策［決済前の対策］から選択）

2025年4月以降、全てのEC加盟店は原則としてEMV 3-Dセキュアの導入が必要となりました。

クレジットカードの加盟店契約はあるものの、過去一定期間、クレジットカード番号などの取扱いがないEC加盟店についても、EMV 3-Dセキュアの導入が求められます。また、EMV 3-Dセキュア以外の不正対策を講じていて、不正が減少傾向にあるとしても、2025年4月以降、「原則として」全てのEC加盟店はEMV 3-Dセキュアを導入することが求められています。

「原則として」ということは、裏を返せば、例外もあるということです。ガイドラインでは以下のようなEC加盟店は例外的にEMV 3-Dセキュアの導入が不要であると記載されています。

（1）EMV 3-Dセキュアの導入が技術的にできないもの

取引具体例：MO/TO取引、ゲーム機やスマートスピーカーといったEMV 3-Dセキュアが利用できない機器でのEC取引

（2）システムにより特定の者とのみ取引可能な措置が講じられており、なりすましによる不正が発生する蓋然性が極めて低いもの

取引具体例：個人事業主または法人が契約主体のクレジットカードに限定したサイトでのBtoB取引（事業者購買専用サイト、法人間取引専用サイト、宿泊代金精算用の法人契約カード取引など）、イントラネット環境、IPアドレスなどによる外部からの通信制限によって利用者を特定することにより、不特定多数の者が利用できない取引（例：従業員専用サイトでの取引、販売代理店専用サイトでの取引）　

（3）取引対象となる本人が特定されており、なりすましによる不正が発生する蓋然性が極めて低いもの

取引具体例：公共料金（電気、ガス、水道、固定電話）、国や自治体の請求に基づいて納付する税金・料金・手数料、保険料、共済掛金、学校教育費（学校教育法で定める「学校」「専修学校」「各種学校」が対象） ふるさと納税や学校への寄付など、本人が特定されていても不正が発生しているものについては、「不正が発生する蓋然性が極めて低い」とは言えないことから、EMV 3-Dセキュアの導入の対象外とはならず、導入が必要となります。

なお、上記の（1）から（3）に当てはまる場合でも、当該加盟店が不正顕在化加盟店（アクワイアラーが把握する不正利用金額が3か月連続で50万円を超えた加盟店）となった場合には、EMV 3-Dセキュアの導入が必要になることにご留意ください。

不正顕在化加盟店は、類似の不正利用の発生を防止するために、不正利用の発生状況等に応じて、適切な対策を追加導入することが求められるようになりました。ここでいう「適切な対策の追加導入」とは、属性・行動分析や配送先情報のチェック、配送停止・配送保留など、導入ガイド【附属文書20】に記載の不正利用対策から適切な対策を追加導入することとなります。

2025年4月以降、EC加盟店として新規に申し込む方も、既に契約を締結しているEC加盟店も、上記のセキュリティ対策（脆弱性対策、不正ログイン対策、EMV 3-Dセキュアの導入）が原則として求められます。

当社への新規申込加盟店様について、加盟店契約締結時に、既存加盟店様については定期的な調査をする際に、加盟店様のセキュリティ対策実施状況を申告書という形により確認させていただくことになります。具体的には、脆弱性対策についてどの項目の導入が欠けているか、不正ログイン対策として何を導入していて、何が必要か、販売方法や取引はEMV 3-Dセキュア導入の対象外か、といった点を確認させていただきます。

なお、今回6.0での変更点としてEC加盟店様のシステム及びWebサイトの脆弱性対策、適切な不正ログイン対策の実施、EMV 3-Dセキュアの導入並びに不正顕在化加盟店による適切な対策の追加導入をこれまで述べてきましたが、それ以外の対策であって、特に指針対策とされている対策（例：カード情報保護対策としてカード情報の非保持化又はPCI DSSの準拠、不正利用対策としてのオーソリゼーションの処理の体制整備、加盟店契約上の善管注意義務の履行）を講じることが重要なのは言うまでもありません。

お問い合わせはお気軽に

記事の内容や、Adyenの製品について。より詳しくお知りになりたい場合は、お気軽にお問い合わせください。

導入について相談する

Adyenや決済に関するさらなる情報は、当社の無料ニュースレターをご購読ください。最新のトピックやインサイトをお送りします。