「セキュリティを強くすると、お客様が逃げる」。EC担当者の多くが、どこかでそう感じています。ですが、かご落ちや離脱を生んでいる“犯人”の一部が、実は自社の不正対策そのものだとしたら――。強い認証は、正規のお客様を追い返すブレーキではなく、むしろ売上を伸ばすアクセルになり得ます。この記事は、その反転の話です。
「安心して買える」がブランドを選ばせる時代
EC市場が成熟し、価格でも品揃えでも差がつきにくくなりました。同じ商品が複数のサイトで買える今、お客様が最後に店を選ぶ理由は、少しずつ「安心して買えるかどうか」へと移っています。
だからこそ、セキュリティを「守りのための出費」とだけ捉えるのは、もったいない見方かもしれません。安心して買える体験は、そのままブランドへの信頼になり、リピートや客単価に返ってきます――セキュリティは「攻めの施策」の土台でもある、という視点です。
この記事では、その“攻め”の入口として、多くのEC事業者が見落としがちな「認証」に焦点を当てます。専門のセキュリティ人材がいない中小・中堅のEC担当者の方が、「まず何から見ればいいのか」を判断できる粒度でお伝えします。
ECの信頼は「決済の入口」より前で失われている
かご落ち・離脱の“裏側”で起きている見えない被害
不正というと、多くの方が「決済時のクレジットカード不正利用」を思い浮かべます。もちろんそれも重要です。ただ、ブランドへの信頼が損なわれる被害の多くは、実はもっと手前――「アカウントの入口」で起きています。
たとえば、他社サービスから流出したIDとパスワードを使い回して侵入する「なりすまし」や「不正ログイン」。その主要な入口になっているのがフィッシングです。フィッシング対策協議会に寄せられた報告は、2026年5月の約12.6万件から6月は72,370件へと減少したものの、単月でなお7万件を超える高い水準が続いています（フィッシング対策協議会「2026年6月フィッシング報告状況」 https://www.antiphishing.jp/report/monthly/202606.html ・2026年7月16日公表）。日々これだけの“釣り”が仕掛けられ、盗まれたIDとパスワードが不正ログインの燃料になっているわけです。
乗っ取られたアカウントでポイントが抜かれたり、登録情報を書き換えられたりすれば、被害に遭ったお客様はそのブランドを二度と信頼してくれません。しかもこの被害は、売上データには「かご落ち」や「離脱」としてしか現れないことがあります。表向きはUXの問題に見えて、実際には認証をめぐる問題が裏に潜んでいる――そんな“見えない被害”が、静かに進行しているケースは少なくありません。
「守りを固めるほど正規顧客が逃げる」というジレンマ
ここに、EC担当者を悩ませる古典的なジレンマがあります。不正を止めようとパスワードのルールを複雑にし、追加の確認ステップを増やすほど、正規のお客様の手間も増え、離脱が起きるのです。
具体的な場面を思い浮かべてみてください。半年ぶりに買い物をしようとログインした、いつものお客様。パスワードが思い出せず再設定に進むと、「英大文字・数字・記号を含む12文字以上」という条件に何度もはじかれます。ようやく送られてきたはずの再設定メールは迷惑メールに紛れて見つからず、数分粘ったあげく、そっとタブを閉じる――。これは不正の被害ではありません。ですが、確実に売上を1件失っています。不正を止めるための厳しいルールが、正規のお客様のほうを追い返してしまっているのです。
かご落ちの“犯人”の一部は、実は自分たちの不正対策そのものだった――これは決して珍しい話ではありません。守りと売上が「あちらを立てればこちらが立たず」の関係になっている限り、セキュリティはいつまでも「コスト」の顔をしたままです。
「守り」から「攻め」へ――強い認証がブランド体験を良くする
まず整理：EC不正ログイン対策は「認証」の話です
ここで、混同されやすい2つの言葉を整理させてください。EC事業者が日々向き合うログインやなりすまし対策は「認証」の領域です。一方、身分証やeKYCで“その人が実在する誰か”を証明する「本人確認(KYC)」は、犯罪収益移転防止法などが関わる別の領域を指します。
- 認証――ログインしようとしている相手が「正規のアカウント保有者本人か」を確かめること
- 本人確認(KYC)――口座開設などで「実在するその人か」を身元証明で確かめること
なりすまし・不正ログイン・アカウント乗っ取りの文脈で問われているのは、前者の「認証」です。本記事もこの意味で「認証」という言葉を使います。ここを分けて考えるだけで、「何を強くすべきか」がぐっと見通せるようになります。
パスワード依存の限界――リスト型攻撃・総当たりという現実
多くのECサイトは、いまだにIDとパスワードだけを鍵にしています。しかし、パスワードは「他人に知られたら終わり」の鍵です。
流出したIDとパスワードのリストを機械的に試す「リスト型攻撃」や、パスワードを片端から試す「総当たり(ブルートフォース)」は、自動化されて日常的に行われています。お客様がパスワードを使い回している限り、自社に落ち度がなくても侵入されてしまう――パスワードだけに頼る認証は、構造的に限界を迎えています。
逆転の発想：正規顧客はスムーズに、不正だけ止める
「セキュリティを強くすると、UXが犠牲になる」。冒頭で触れたこの前提を疑うところに、“攻めの認証”の入口があります。
強い認証とは、すべてのお客様の手間を増やすことではありません。目指すべきは、「正規のお客様には摩擦を感じさせず、不正の踏み台になる接点だけを止める」という状態です。認証がブレーキではなくアクセルになれば、セキュリティはコストから“売上装置”に変わります。
実際、ログインの手間を減らして離脱を防ぐこと自体が、CVR(購入完了率)の改善に直結します――先ほどの、再設定に挫折して離脱したお客様を取り戻すことが、そのまま攻めの成果につながるわけです。
中小ECは「まず何から」――認証まわりの現状点検
専門人材がいなくても判断できる、5つの観点
セキュリティ担当者がいなくても、次の5点はEC担当者の目線で点検できます。
- パスワード依存度――ログインがID・パスワードだけになっていないか
- 攻撃の可視化――リスト型攻撃や不審なログイン試行を、そもそも検知できているか
- 正規顧客の摩擦――追加の確認ステップで、どれだけの離脱が起きているか
- 高リスク接点の特定――新規登録・ポイント利用・高額注文など、狙われやすい場面を洗い出せているか
- 顧客層との相性――高齢のお客様が多いなら、複雑な操作を強いる対策が逆効果になっていないか
この5点を眺めるだけでも、「守りが厚すぎて売上を削っている場所」と「守りが薄くて危険な場所」が見えてきます。
多要素認証の“考え方”――要素と経路を分ける
対策を一段引き上げる鍵が「多要素認証」です。ポイントは、確認する“要素”を複数に分けること――「知っているもの(パスワード)」だけでなく、「持っているもの(スマホ・電話番号など)」を組み合わせる考え方です。
さらに一歩進めるなら、通す“経路”も分けます。インターネット網とは別の経路を併用できれば、偽サイトに認証情報を盗まれても突破されにくくなります。「要素を増やす」「経路を分ける」――この2軸で考えると、自社に足りないものが整理できます。
電話番号を鍵にする、1秒の認証という選択肢
私たち Infront Security が提供しているのも、この考え方に基づく認証の仕組みです。特徴は、鍵に「電話番号」を使うこと。
お客様がログイン時に画面をワンタップすると、スマホから指定番号へ1コールだけ自動発信されます(通話料は無料・約1秒)。この発信者番号と端末情報をサーバー側で照合し、正規のご本人かを確かめます――企業からお客様に電話をかけるのではなく、お客様自身がワンタップで発信する方式です。同じ端末からの次回以降は、端末の照合だけで完了し、ワンタップすら不要になります。
強さの理由は2つあります。1つは、電話回線がインターネット網とは別経路であること。もう1つは、携帯電話の音声通話回線が、携帯電話不正利用防止法にもとづき契約時にキャリアの「本人確認(KYC)」を経ている点です(これは前述した“身元証明”としての本人確認であり、ログイン時の「認証」とは別のレイヤーの話です)。この社会インフラを土台にしているため、偽サイトは、あなたのお客様の「電話回線」までは持てません。だからフィッシングに強く、実績として不正利用率はほぼ0%です。
そして狙いは、あくまで「攻め」です。パスワード入力という3分の壁を1秒に縮め、正規のお客様の離脱を減らしながら、不正だけを入口で止める――ある化粧品・健康食品のD2C通販企業の導入事例(自社調べ)では、ログイン完了率が最大45%向上し、かご落ちが35%削減、顧客維持率は28%向上しました。EC/DtC向けのシミュレーション(月間15万ログイン想定)でも、ログイン離脱の約80%削減、不正注文の約88%削減という試算が出ています。
料金は初期費用100万円・月額10万円から、認証1回あたり数円〜10円の従量課金です(いずれも2026年時点の目安。実際は個別のお見積りとなります)。
「まず何から」に、外部パートナーと伴走する
ここまで読んで、「重要なのはわかるが、自社だけで判断しきれない」と感じた方は多いはずです。それは自然なことで、中小・中堅のEC事業者に専門のセキュリティ人材がそろっていないのは、むしろ一般的です。
大切なのは、いきなり完璧を目指すことではなく、「現状点検 → 高リスク接点から着手 → 効果を測って広げる」という順番で進めること。この最初の一歩を、外部のパートナーと一緒に踏み出す選択肢もあります。私たちも、要件整理から小さく始めるPoC(概念実証)まで、現場実装を伴走する立場でお手伝いしています。
私たちはこの先を、「認証」から「接点保証」へという発想でとらえています。「電話をかける」という、若い世代から高齢のお客様まで説明なしで使える“誰もが使える国民的インターフェース”を鍵にすれば、認証は一部の人にとっての関門ではなく、すべてのお客様との確かな接点そのものになります。
セキュリティを「守り」で終わらせるか、「安心して買える」というブランド価値に変えるか。その分かれ道は、多くの場合、いちばん手前の「認証」にあります。
お客様の認証まわりの現状点検について詳しく知りたい方は、お気軽にお問い合わせください。
