EMV 3-Dセキュア義務化後のEC不正対策：3DS・不正ログイン対策・不正検知をどう分担し、どこに投資するか

1. お金の構造：不正はどこで、いくら起きているか

被害のほとんどは、カード番号などが盗まれてインターネット取引で使われる「番号盗用」です。つまりEC加盟店の対策が、業界全体の被害額を左右します。

加盟店から見た損失は、不正な注文の商品代だけではありません。カード会員が身に覚えのない請求として申し立てると、売上が取り消される（チャージバック）ことがあります。経済産業省の検討会で示された加盟店の発表資料では、不正の損害を加盟店が負担し、チャージバックの通知が出そろうまで約180日かかるため対策の効果検証が回しにくい、と報告されています。

※ 誰が最終的に損失を負うかは、国際ブランドのルール、契約、認証の結果で変わります。次の節で3DSとの関係を説明します。

2. 何が求められているか（ガイドライン6.0版・6.1版）

クレジット取引セキュリティ対策協議会が2025年3月に取りまとめた「クレジットカード・セキュリティガイドライン【6.0版】」は、EC加盟店の不正利用対策として次の2つを指針対策に加えました。

• EMV 3-Dセキュアの導入（決済時の本人確認）。原則は決済ごとの認証ですが、加盟店が別の不正対策を講じている場合は、カード番号の登録時に認証する運用や、加盟店のリスク判断で認証する運用も示されています。
• 適切な不正ログイン対策の実施（決済前）。会員登録時・ログイン時・属性情報変更時のそれぞれで、扱う商品や手口に応じた対策を導入する考え方です。対策例としてIPアドレス制限、2段階認証、ログイン試行回数の制限、通知、属性・行動分析、デバイスフィンガープリントなどが附属文書に挙げられています。

経済産業省の検討会資料は、これを決済前と決済時を組み合わせる「線の考え方」と説明しています。2026年3月の6.1版は指針対策の追加・変更はなく、EC加盟店向け導入ガイドに不正を抑止している加盟店の事例集が加わりました。事例の共通点として「属性・行動分析を導入すること自体がゴールではない」ことも整理されています。

3. 対策の比較表：守る場所・費用・副作用・運用する人

表は編集部の整理です。サービスの価格や性能は各社の資料で確認してください。

4. 3DSで「責任が移る」の正確な意味

Visaは、Visa Secure（EMV 3DS）で認証済みまたは認証を試みた取引について、不正による紛争の責任が加盟店から移りうると説明しています。Visaの紛争管理ガイドラインでは、認証されたときのECI（電子商取引の区分値）が「5」なら加盟店は不正関連の紛争から保護され、認証を試みなかった取引（ECI「7」）は保護されない、と区分しています。

ただし次の点は自社の契約とブランドのルールで必ず確認します。

• 認証結果の値をオーソリ（与信）電文に正しく載せないと保護の対象にならない
• チャージバックや不正が多い加盟店として監視プログラムの対象になると、保護を受けられない場合がある
• 保護の範囲は「不正」を理由とする紛争であり、商品未着や品質の紛争は別

「3DSを入れたから損失はゼロ」と経営に報告するのは誤りです。どの取引が保護対象になったかを、ECIの値と紛争の理由で集計して報告します。

5. 投資判断の式：損失をひとつの表で比べる

対策Aと対策Bを比べるときは、この5項目を同じ期間・同じ注文群で並べます。不正額だけを下げる案は、誤検知と離脱で粗利を失って総損失が増えることがあります。

架空例：月10万件・平均8,000円のEC【架空例】

以下は説明用の架空の数字です。実在企業の実績ではありません。

前提【架空例】: 見逃し1件の損失＝商品代8,000円＋手数料等1,500円。正当注文の粗利＝8,000円×粗利率30%。案1は上位100件に不正40件、案2・3は上位300件に不正50件を含む。案3は審査で不正の90%（45件）を見抜き、正当な注文は通す。審査による出荷遅延・離脱は0と置いた。何も止めない場合の損失は60件×9,500円＝570,000円。

この例では「広く止める」案2が、何もしない場合より損失が大きくなります。止める範囲を広げる前に、まず中間のスコアを審査に回し、誤検知の実態を見てから停止ルールに切り替える順序が安全です。Stripeも、ブロックのルールを作る前にまず審査（レビュー）ルールで誤検知を確認することを勧めています。

6. 導入手順（E2E）

1. 現状を測る：月別の不正チャージバック件数・金額、手口（登録時・ログイン後・決済時）、3DSの適用率と認証結果、認証画面での離脱率、審査件数を同じ表にする。（ここが無いと効果を説明できない）
2. 守る場面を決める：会員登録・ログイン・属性変更・決済・出荷のどこで被害が出ているかを手口から特定する。
3. 3DSの運用方針を決める：原則の毎回認証か、登録時認証＋他の対策か、リスク判断による認証か。ガイドラインの記述と決済代行会社の仕様を確認する。
4. 不正ログイン対策を3つの場面に配置する：対策が弱い場面に攻撃が移るため、1か所だけ強くしない。
5. 不正検知は「審査」から始める：スコア中間帯を審査に回し、誤検知の実態を2〜4週間記録してから停止ルールを作る。
6. 過去データで試算する：新ルールを過去の注文に当てた場合の停止件数・不正捕捉・誤検知を出す（Stripe等は過去取引での検証機能を提供）。
7. 切り替えと戻し方を決める：ルール変更の承認者、変更記録、問題が出たときに元に戻す手順。
8. 先行指標で週次に見る：チャージバックは結果が遅れて届くため、審査で不正と判定した件数、認証失敗、カード会社からの不正通知などを先に見る。
9. 月次で総損失を報告する：5節の式で、対策ごとの損失と粗利を経営に報告する。
10. 四半期で見直す：手口の移動（ログイン突破→登録情報の変更など）を確認し、配置を変える。

7. 体制：だれが何に責任を持つか

8. よくある失敗と注意点

• 攻撃の移動：対策を入れた加盟店から未導入の加盟店へ不正が移る、という指摘が検討会の発表資料にあります。自社内でも、強くした場面から弱い場面へ移ります。
• 3DSの「認証」を過信する：固定パスワードの流出しやすさが課題として挙げられています。リスクに応じた認証と組み合わせる前提で考えます。
• 導入をゴールにする：6.1版の事例集の整理どおり、分析サービスは入れた後の調整と運用で成果が決まります。
• 不正額だけで評価する：誤検知と離脱を測らないと、損失が増えていても気づけません。

9. 関連する記事

出典（2026年10月12日確認）

1. 日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2026年3月6日）
2. 日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2025年3月7日）
3. 経済産業省 加盟店における不正利用対策の在り方に関する検討会（第1回）資料1-4「クレジットカード不正利用被害の状況について」（2025年4月11日）
4. 経済産業省「クレジットカード・セキュリティガイドライン」が改訂されました（2025年3月5日）
5. クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.0版】」（2025年3月）
6. 同「クレジットカード・セキュリティガイドラインの改訂について」（6.1版・2026年3月）
7. 同 附属文書20「EC加盟店におけるセキュリティ対策 導入ガイド」2.1版（2026年3月）
8. 経済産業省 クレジットカード決済システムのセキュリティ対策強化検討会 資料「メルカリによるクレジットカードの不正決済対策」（2022年）
9. 経済産業省 同検討会（第2回）資料2-3「不正利用顕在化加盟店の考え方と実務」（2025年5月23日）
10. Visa「3D Secure: your guide to safer transactions」
11. Visa「Dispute Management Guidelines for Visa Merchants」（2024年6月）
12. Stripe Docs「Fraud prevention rules」／「Risk settings」