クレジットカード・セキュリティガイドライン【6.1版】を解説──6.0からの変更点と、EC事業者が今取るべき対応

3DS・チャージバック
公開日: 2025年4月21日｜最終更新日: 2026年7月17日
クレジットカード・セキュリティガイドライン【6.1版】を解説──6.0からの変更点と、EC事業者が今取るべき対応

クレジットカードの不正利用被害が依然として年間500億円を超える規模で続くなか、「クレジット取引セキュリティ対策協議会(事務局: 日本クレジット協会)」は、2026年3月11日に『クレジットカード・セキュリティガイドライン』の最新版となる【6.1版】を公表しました。

6.1版は、2025年3月に公表された6.0版をベースとした改訂版であり、EC加盟店に求められる指針対策そのものに追加・変更はありません。一方で、実務の拠り所となる附属文書は18本が変更され、新たに2本が追加されており、「6.0版で示された対策を、いかに実装・運用するか」というフェーズに軸足が移ったことを示す改訂といえます。

本記事では、6.1版までのアップデートを踏まえたガイドラインの最新の全体像と、なかでもEC事業者への影響が大きい「決済前の不正ログイン対策」を中心に、今取るべき対応を分かりやすく解説します。

なお、貴社に届いたセキュリティチェックリストへの具体的な対応手順は「不正ログイン対策、もう先延ばしできない セキュリティチェックリストが届いたEC加盟店へ」を、決済時のEMV 3-Dセキュアの運用方式については「3Dセキュア導入後、決済承認率が下がっていませんか？」を、あわせてご覧ください。

1. クレジットカード・セキュリティガイドライン【6.1版】のポイント

6.0版から何が変わったのか──指針対策は変更なし、附属文書を拡充

ガイドラインは、クレジット取引セキュリティ対策協議会が毎年見直しを行っており、2026年3月11日改訂の6.1版が現時点(2026年7月)の最新版です。

6.1版の位置づけを整理すると、次のとおりです。

  • EC加盟店等に求められる指針対策(セキュリティ対策の項目)は、6.0版から追加・変更なし
  • 一方、対策の具体的な進め方を示す附属文書は18本が変更され、2本が新規に追加

つまり、「6.0版で何をすべきかは既に示されており、6.1版ではその実行を後押しする実務資料が拡充された」と理解するのが正確です。6.0版を基準に対策を進めてきた事業者は方針を変える必要はありませんが、附属文書の更新内容は自社の対応状況と照らして確認しておくことをおすすめします。

とりわけEC加盟店の実務に直結するのが、附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」の2.1版への改訂です。今回新たに、実際に不正利用を抑え込んだ加盟店の取り組みをまとめた別紙d「不正利用の抑止を実現する加盟店の事例集」と、カード会社・決済代行会社への対策状況の報告に用いる「ECサイトのセキュリティ対策実施状況申告書(例)に関するFAQ」が追加されました。また、不正検知の実務指針である附属文書19「属性・行動分析ガイダンス」も1.2版に改訂されています。自社の対策状況を棚卸しする際の具体的な手がかりとして活用できます。

なお、本ガイドラインの発行主体は経済産業省・カード会社・加盟店団体などで構成される「クレジット取引セキュリティ対策協議会」であり、日本クレジット協会はその事務局を務めています。ガイドラインは法令そのものではありませんが、割賦販売法上の「必要かつ適切な措置」の実務上の指針とされているため、EC加盟店にとって事実上の対応基準となる文書です。

改訂の背景──被害額は減少に転じたが、依然510億円超

ガイドライン改訂の背景には、深刻な不正利用被害の状況があります。

日本クレジット協会の統計によると、クレジットカード不正利用被害額は2024年に555億円と過去最悪を記録しました。その後、2026年3月に公表された2025年(1〜12月)の被害額は510.5億円と、前年比8.0%減で減少に転じています。年間被害額が前年を下回るのは、コロナ禍の2020年以来5年ぶりです。

これは、2025年3月末を対応期限としたEMV 3-Dセキュアの導入をはじめ、ガイドラインに基づく対策が業界全体で進んだ効果とみられます。ただし、被害額の内訳を見ると、カード番号の盗用による被害が475.4億円と全体の9割超(構成比93.1%)を占めており、その大半はECサイトなど非対面取引で発生しています。「減少に転じたとはいえ、依然として500億円を超える被害が非対面を中心に続いている」というのが現在地です。

従来は「カード情報を保存しない(非保持化)」または「保存する場合はPCI DSS準拠」という基準に従うことで一定のセキュリティが担保されてきました。しかし、フィッシングによるカード情報・ログイン情報の詐取など攻撃手法が巧妙化するなか、6.0版ではECサイト自体の安全性を高めるため、管理画面のアクセス制限、Webアプリケーションの脆弱性対策、ウイルス対策ソフトの導入といった具体的な技術的対策が指針対策として盛り込まれ、6.1版でもこの枠組みが維持されています。

不正利用対策の目指す「線の考え方」

ガイドラインでは、不正利用対策の基本方針として「線の考え方」が強調されています。6.0版では、この考え方に沿ってより具体的・実践的な指針が追加されました。

かつては「決済時の本人確認」を中心とした点の対策が主流でしたが、現在のガイドラインでは、決済前・決済時・決済後という一連のフロー全体を通じて不正を防止する、包括的・多層的なセキュリティ対策の必要性が明示されています。

特に、決済前の「適切な不正ログイン対策の実施」と、決済時の「EMV 3-Dセキュアの導入」は、EC加盟店を対象とした指針対策として位置づけられており、取引の早い段階からセキュリティの線を引くための重要な柱とされています。

とりわけ決済前には、「会員登録」「ログイン」「属性変更」といった各操作にも不正のリスクが潜んでおり、初期段階での対策を通じて被害の未然防止を図るアプローチが求められています。

2. 決済前のセキュリティ強化ポイント

不正ログイン対策はガイドラインの「指針対策」──6.1版でも維持

6.0版では、不正利用被害の9割超が集中する非対面取引を念頭に、EC加盟店を対象とした指針対策が新たに追加され、「会員登録」「ログイン」「属性変更」などの操作における「適切な不正ログイン対策の実施」が、EC加盟店が実施すべき対策としてガイドライン本文に明記されました。1章で述べたとおり法律上の直接の義務ではないものの、カード会社・決済代行会社経由での対応要請の根拠となるため、実務上は対応が前提となる項目です。この指針対策は、6.1版においてもそのまま維持されています。

背景には、ID・パスワードの流出や使い回しを狙った「リスト型攻撃」、アカウントを乗っ取って配送先を変更する手口など、決済前を狙う攻撃の急増があります。EMV 3-Dセキュアの導入が進んだ現在では、攻撃者が正規アカウントごと乗っ取って認証をすり抜けようとする動きも指摘されており、決済情報を守るには、より早い段階からのセキュリティ強化が不可欠です。

なかでも不正利用が多発している加盟店や、ブランド品・電子チケットなどの高リスク商材を扱うEC事業者では、多要素認証(MFA)や行動分析といった、より高度な不正ログイン対策の導入が強く求められています。

有効な対策一覧と導入シーン別のポイント

ガイドラインでは、不正ログインへの対応として複数の技術的対策が挙げられており、それぞれの対策がどの場面で効果を発揮するのかを意識した導入が重要とされています。

以下に、代表的な対策とその活用シーンを整理して紹介します。

  • 不審なIPアドレスの制限: 常時の異常接続を遮断
  • 2段階認証・多要素認証: ログイン・属性変更時の本人確認
  • 会員登録時の個人情報確認: 不正登録の防止
  • ログイン試行回数の制限: リスト型攻撃の抑止
  • ログイン・属性変更時の通知: 利用者による異常検知
  • 属性・行動分析による異常検知: 通常行動との乖離を識別
  • デバイスフィンガープリントの活用: 端末情報に基づく識別

すべてを一度に導入する必要はありませんが、自社のリスク状況やユーザー導線に応じて、適切な対策を講じることが求められます。決済代行会社(PSP)から届くセキュリティチェックリストへの具体的な回答・対応の進め方は、「セキュリティチェックリストが届いたEC加盟店へ」で詳しく解説しています。

ガイドライン対応と離脱防止を両立する、ユーザビリティ面の課題

セキュリティ対策の強化に伴い、実務現場では「認証が煩雑すぎるとユーザーが離脱する」という課題にも直面しています。特にログインや会員登録時に複数の認証ステップを求めると、体験が損なわれ、結果的にコンバージョン率の低下につながる可能性があります。

たとえばスマートフォンを利用した2段階認証では、OSやブラウザのバージョン差による互換性の問題でログインができず、離脱に至るケースもあります。また、高齢のユーザーやITに不慣れな層にとっては、手順の多さそのものが心理的負担になることも少なくありません。

さらに、認証アプリの登録端末を紛失した場合や、ログイン情報を記録していない場合には、本人であってもアクセスできなくなるリスクが生じます。

決済時のEMV 3-Dセキュアにおいても、導入が広がるなかで「チャレンジ認証(追加認証)によるカゴ落ち・承認率低下」が課題として顕在化しており、こうした運用面の論点は「3Dセキュア導入後、決済承認率が下がっていませんか？」で詳しく取り上げています。セキュリティと利便性のバランスをとった認証設計が、現場レベルではますます重要になっています。

3. Infront Securityが提供する対策ソリューション

電話番号と端末認証を組み合わせた本人確認により、高い安全性を確保

こうした「セキュリティ強化」と「離脱防止」の両立という課題に対してInfront Securityが提供しているのが、「電話番号と端末認証の組み合わせ」による認証方式です。

IDやパスワード、ワンタイムパスコードに頼る従来型の対策とは異なり、登録済みの電話番号と利用端末を紐づける特許技術によって、万が一電話番号が漏洩しても、登録端末以外からのアクセスを遮断し、なりすましのリスクを大幅に抑制します。

この認証方式は、ログイン、会員登録、決済、ポイント連携など、幅広いユーザー操作に対応可能な柔軟性を備えており、ガイドライン6.1版が引き継ぐ「線の考え方」──決済前から決済後までの多層防御──とも合致しています。

チャレンジ率を抑えてCV率を守る、直感的な認証体験

Infront Securityの認証方式は、セキュリティと利便性の両立に加え、ユーザー体験(UX)にも徹底的に配慮された設計が特長です。

初期設定で専用アプリのダウンロードは不要。画面に表示された電話番号にワンタップで発信するだけで認証が進み、自動的に通話が終了します。スマートフォンだけでなく固定電話にも対応しており、幅広いユーザー層がスムーズに利用できます。

特に、EMV 3-Dセキュアで問題視されているチャレンジ発生率(ワンタイムパスワード等の追加認証)を、事前の本人認証により大幅に低減できる点は大きな特長です。これにより、決済フロー内でユーザーが途中離脱するリスクを抑え、CV率の維持に貢献します。

さらに一度認証された端末やブラウザでは、2回目以降は裏側で自動的に認証が完了するため、ユーザーはパスワードの記憶やSMSコードの入力といった、煩雑な手間を一切かけることなくログインが可能です。

このように、ユーザーの負担を最小限に抑えながら、EMV 3-Dセキュア導入後の課題であるチャレンジ認証による離脱を抑え、CV率と不正対策の両立を実現しています。

大手企業での導入実績に裏打ちされた信頼性

Infront Securityはすでに多くの大手企業で導入されており、その効果も実証されています。

たとえば再春館製薬所の基礎化粧品ブランド「ドモホルンリンクル」では、ログイン時の認証にInfront Securityが導入されており、高齢者や自宅固定電話を利用するユーザーでもスムーズに認証できる仕組みを実現しています。

また、フードデリバリーサービス「出前館」でも、音声通話可能な電話番号に認証を限定する方式が、不正な複数アカウント作成や初回キャンペーンの不正利用への対策として導入されています。

こうした導入実績は、Infront Securityが単なる技術提供にとどまらず、実運用の現場でも高い信頼性と効果を発揮していることを裏付けています。

ガイドライン6.1版への対応や、離脱を招かない認証設計にお悩みの方は、お気軽にお問い合わせください。

不正は劇的に、ユーザーは快適に。Infront Security。

更新履歴

  • 2026年7月17日: クレジットカード・セキュリティガイドライン【6.1版】(2026年3月11日改訂)の公表を受け、タイトル・本文を最新版に対応。不正利用被害額の統計を2025年通年値(510.5億円)に更新し、6.1版で改訂・追加された附属文書の情報と関連記事への内部リンクを追加しました。
  • 2025年4月21日: 記事公開。

参考資料

記事一覧へ戻る

認証のお悩みを
オンラインで無料相談

まずは相談する