【ECサイトでのクレジットカード情報の非保持を解説】情報漏洩や流出などリスク対策の基本を実践しよう

ECサイトとクレジットカードの関係はとても深いものです。フィッシング詐欺やサイト侵入などでもっとも犯罪者に狙われやすい重要性の高い情報といえます。

また、度々、ECサイトを舞台に情報漏洩が報告されます。そうした被害を減らすため、ECサイトでは現在、クレジットカードの情報の非保持が主流となっています。ここでは情報漏洩のリスクとクレジットカード情報について解説します。

情報漏洩により発生するリスクの影響は大きい

クレジットカードの不正利用で発生した金銭的リスクについて、クレジットカードの持ち主がクレジットカード会社に申告することで、カード利用者の金銭的な補償をカード会社が行います。しかし、不正に利用された事業者側には補償がありません。つまりECサイト側は、不正利用と知らずに販売した場合、そのまま直接損失を被ることになるのです。

こうしたケースは、実店舗でもECサイトでも同様です。

それについては下記の記事で解説し、対策が重要であることを説明しています。

【参考】ECサイトはクレジットカードのリスク対策も必要

参考の記事は主に事業者が被害者にならないための視点で主に解説していますが、情報漏洩をおこす加害者となった場合のリスクも無視出来ません。

ECサイトの取引の7割近くはクレジットカード決済によるものです。そのため、実際に情報漏洩の発生もとがECサイトであるというケースも毎年報告されます。

大手のモール型ECサイトは莫大な予算をセキュリティ対策を導入するために使っています。それで完全に安全を担保されているというわけではありませんが、実利目当てのハッカーでは刃が立たないことも多く、割に合わないため狙われにくくなっています。

その結果、大手企業の運営するECサイトが狙われましたが、そうした企業も積極的にセキュリティ対策をした結果、よりガードが甘いと考えられる中小のECサイトが狙われやすくなってきています。

こうした状況を考慮すると、ECサイトを運営する以上は規模の大小に関わらずセキュリティ対策は必須の状況になってきました。個人でのクレジットカード被害では店舗での端末を偽装したスキミングやフィッシングサイトなどに注意することになりますが、ECサイトの事業者側ではまったく異なる対策を考えなければいけません。

ECサイトでは数々の情報をデータベースに保持していますが、その中でも最も取り扱いに注意しなければいけないのはクレジットカード情報です。この情報の漏えいをどうやって防止するかをどんなサイトであってもしっかりと考え、管理しなければいけません。

クレジットカードでの決済をする場合は、カードの情報をやり取りするために必ずなんらかのネットワークに接続しなければいけません。すべてのクレジットカードを利用できる加盟店は、そうして審査を通過して販売にいたるわけですが、ここにリスクがあるため、その対策自体は常に行われ続けています。しかし、販売者の管理がずさんであればもとも子もありません。

【参考】必須・必読のECサイトのセキュリティの基本〜手口と対策

クレジットカードの情報漏洩を起した場合、こんなことがおこる

クレジットカードの情報漏洩をECサイトで発生させると連鎖的にいろんなことが発生します。それは金銭的な損失に留まりません。

まず情報漏洩が発覚した場合に行わなければいけないのは「サイトの一時閉鎖」です。そのまま運営を続けると被害を増やす可能性があるので、この処置は当然です。原因を確認し必要な対策が講じられるまで、再開することはできません。

原因を探る調査は「フォレンジック調査」といいます。この調査は原因と被害範囲を特定するための調査です。事故の起した事業者に対して、クレジットカード会社はこの調査を実施することを義務づけています。この調査に対応してくれる専門の機関により調査をすることになりますが、費用は事業者が全額負担することになります。

影響範囲が特定されると対象となった顧客への説明と適切な補償を行わなければいけません。場合によっては法廷で争われる可能性もあり、経済的な補償による出費だけでなく「起訴リスク」もあります。行政による立入検査が行われることもあり、社会的な信用も失います。

また、再三注意喚起がおこなわれていますが、クレジット過度情報が漏えいする被害の縮小する様子は見られていません。また、被害額も年々増加傾向にあります。

クレジットカード情報を保持しないことでリスク回避

ECサイトからのクレジットカード情報の漏洩を防ぐため、主流になっているのは、ECサイトでクレジットカード情報を一切扱わないようにする方法です。そもそも情報自体をどこかに保有せず、保存しなければ多くの問題を回避できるという考え方です。

経済産業省を中心とした団体でもこの「クレジットカード情報の非保持」が推奨されています。情報を保持せずに決済をすることのできるシステムを取入れれば、そもそも、サイトにクレジットカード情報が置かれていない状態になります。

そうなれば、自社サイト内でクレジットカード情報が漏洩すること自体を回避できます。

現在では2018年に割賦販売法が改訂されました。この改正によって、条件をクリアしていない場合は、クレジットカードの非保持を遵守する必要があります。もし、カード情報を保持する場合は「PCI DSSの準拠」が求められます。このPCI DSSとはクレジットカード業界が取り決めた、カードのユーザーが安全にクレジットカードを利用出来る環境を定めた基準のことです。

この基準を遵守して認証を取らない場合はクレジットカード情報を保持しないようにサイトを構築する必要があります。PCI DSSの認証審査は訪問、サイトのスキャン、自己問診などによって認定機関より認証をうけることもできます。

決済の手順を減らすことでサービスのレベルをあげ、コンバージョンを上げることに繋げたいと考えている場合は、サイト内でクレジットカード情報の保持を考える可能性もあります。このような場合は、かならずそのリスクを認識し、PCI DSSへの準拠や情報の取り扱いについて、「スタッフ全員で」認識を共有し厳重に管理してください。

非保持によるECサイトの決済方法は2種類

クレジットカード情報をECサイト内で保持せずに決済するよく知られている方法は2種類あります。それが「トークン型」と「リンク型」です。

トークン型は、決済代行会社が提供するJavaScriptを組み込んで、それにより生成された情報（トークン）を保持して利用するものです。ユーザーの入力したカード番号を暗号化した文字列としてそのJava Scriptが処理します。サイト内でトークンとして保管していた場合、単純に侵入を許したとしても、他の場面でその情報を利用することはできません。もし、データベース上でこのトークンが流出したとしても、変換はできず、意味のない文字列となる仕組みだからです。

リンク型はリダイレクト型と呼ばれることもあります。決済時に決済代行会社のページに遷移し、そのサイト上で決済を行うというものです。この方法であればECサイト側は、それぞれの取引について「決済が完了した」という情報を受け取るのみで、決済情報に触れることがありません。

どちらの方法も単純に侵入された場合のリスクは回避されます。トークン型の場合は情報が無意味な文字列に置き換わっています。この文字列は決済会社でなければ元の文字列に戻すことはできません。リンク型であれば決済情報を入力する画面そのものが決済会社上にあるため、ECサイトに侵入を許したとしても、決済情報に触れることはできないからです。

非保持でも完全に安全ではない

カード情報を持たなければ、自社のECサイトが荒らされても被害は起こさないと安心はできません。

最近の手口では、侵入後にサイトを改ざんすることで、これらの方法をかいくぐって、クレジットカード情報を不正に取得する手口があきらかになってきました。

トークンでの決済であれば、カード情報入力画面を改ざんして、入力ホームに入力された時点の情報を別のサーバーにも送るという方法です。またリンク式の場合は、別のサイトにリダイレクトされるのを応用して、フィッシングサイトへリンクをして情報を盗みとります。

手が込んでいるのは、その画面入力後に決済に失敗した旨の表示を出して、正規の決済画面へ再びリダイレクトさせるということを行うのです。そうすると2回目の入力時は正規の決済サイトになるわけです。そうすることで、あたかも問題なく決済が完了したように見せて、犯罪の発覚を送らせるというものです。

これらの悪質な行為は主にEC-CUBEのバージョン2という世代のパッケージを利用しているサイトで、その脆弱性をついて侵入し行われました。

リスクヘッジは２重３重に

どのようなセキュリティも完全なものはありません。悪質な行為を働くものは、想像を超えてさらなる悪知恵を働かせています。

こうしたことはECサイトに限らず、日常生活においても同じことがいえます。常におびえている必要はありませんが、必要なセキュリティ対策を行い、意識を持つことが被害を減らすための第一歩です。

構築の面では、クレジットカードの非保持化、PCI DSS準拠を意識し、サイトのアップデートを行ってください。そうした費用を節約しようとした結果、さらに大きな出費となるだけでなく、社会的にも影響を与える可能性があることを認識しておきましょう。

常にセキュリティの強化を意識を向上させながら、攻撃を受けにくいサイトを構築し、そのうえで、さらにカード情報の非保持や、本人認証に関するシステムを強化していくことが重要です。そうすることで、個人情報を守るだけでなく、ECサイトそのものやその背後にあるものも守ることにつながります。

少しでもこうした被害が減り、ECサイトでの事業全体が活発化していく世界を、弊社のような制作に関わるものもふくめてみなさんで目指していきたいものです。