「クレジットカード・セキュリティガイドライン」改訂　新たな対策を盛り込んだ【6.0版】

「クレジット取引セキュリティ対策協議会第12回本会議」が2025年3月4日に開催され、クレジットカード取引に関わる事業者が実施すべきセキュリティ対策を定めた「クレジットカード・セキュリティガイドライン」が改訂された。

さらに実効性のあるセキュリティ対策実現を目指す

「クレジットカード・セキュリティガイドライン」は、安全・安心なクレジットカード利用環境を整備するため、クレジットカード会社、加盟店、PSP（※1）等のクレジットカード決済に関係する事業者が実施すべきクレジットカード情報の漏えい及び不正利用防止のためのセキュリティ対策の取組を取りまとめたもの。

クレジット取引セキュリティ対策協議会の発表によれば「クレジットカード・セキュリティガイドライン【6.0版】」での主な改定ポイントは以下の通り。

◆EC加盟店におけるカード情報保護対策の指針の追加
▷EC加盟店のシステムやWebサイトのウィルス対策、管理者の権限の管理、デバイス管理等の「脆弱性対策」の不備を原因としたカード情報漏えいを防止するため、「EC加盟店のシステム、およびWebサイトの『脆弱性対策』の実施」を、EC加盟店におけるカード情報保護対策の指針対策に追加。

◆EC加盟店におけるカード情報保護対策の指針に追加
▷EMV 3-Dセキュアの導入：カード会社（イシュアー）による本人確認が適切に行われるための措置として、「EMV 3-Dセキュアの導入」をEC加盟店における不正利用対策の指針対策に追加。
▷適切な不正ログイン対策の実施：カード決済前の場面において、不正なアカウント登録や本人になりすましたログインを防止するために、「適切な不正ログイン対策の実施」をEC加盟店における不正利用対策の指針対策に追加。

◆不正顕在化加盟店・高リスク商材取扱加盟店における指針対策の変更
▷不正顕在化加盟店における不正利用対策の指針対策を、「類似の不正利用の発生を防止するために、不正利用の発生状況等に応じて、本ガイドラインが掲げる不正利用対策から適切な対策の追加導入」へ変更。
▷高リスク商材取扱加盟店は、従来の4つの方策の指針対策を見直し、「相対的にリスクが高い商材」としてリスクベースによる適切な対応に変更。

◆MO・TO取引取扱加盟店における指針対策の変更
▷MO・TO取引取扱加盟店における不正利用対策の指針対策として、リスクや被害状況に応じた非対面不正利用対策の導入へ変更。

◆その他
▷指針対策の追加・変更に伴う関係事業者における EC 加盟店へのサポート等
▷対面取引加盟店における「サイン取得による本人確認」「PINバイパスの廃止」

詳細については、経済産業省公式サイトから同協議会発表を確認してほしい。

※1： Payment Service Providerの略。インターネット上の取引においてEC加盟店にクレジットカード決済スキームを提供し、カード情報を処理する事業者

※画像出典：「クレジットカード・セキュリティガイドライン【6.0版】改訂ポイント（クレジット取引セキュリティ対策協議会）
※参考：「クレジットカード・セキュリティガイドライン【6.0 版】」を取りまとめました （クレジット取引セキュリティ対策協議会）

クレジットカード不正利用被害のさらなる抑制につなげたい

現在、クレジットカード情報の盗用による非対面取引におけるクレジットカード利用時の不正利用の被害が依然として高い水準で推移している。

その原因として、同協議会では「EC加盟店のWebサイトの脆弱性をついた不正アクセス、大量かつ連続する不正アタックによるクレジットカード番号の有効性確認、フィッシング等により窃取されたクレジットカード情報やECサイト利用者のログインID・パスワード等が、EC加盟店で悪用されていることが考えられる」と指摘。こうした状況を鑑みて、クレジットカード情報の窃取及び不正利用を防止するための新たな対策を盛り込んだ、ガイドライン【6.0版】を取りまとめたとしている。

同ガイドラインは、経済産業省が所管する「割賦販売法（後払い分野）に基づく監督の基本指針」において、同法に規定するセキュリティ対策義務の「実務上の指針」として位置づけられている。EC加盟店におけるクレジットカード不正利用被害のさらなる抑制につなげることが期待されるだろう。

※画像出典：「クレジットカード・セキュリティガイドライン【6.0版】改訂ポイント（クレジット取引セキュリティ対策協議会）

◎関連記事：クレジットカード・セキュリティガイドラインのセキュリティ施策解説【イー・ガーディアングループ　基調講演レポート】