3Dセキュアを入れたのに不正注文が止まらない？ECサイトのクレジットカード不正利用を防ぐ多層防御と監視体制
目次
【AIによる要約】
– 3Dセキュア2.0は「低リスクと判定された取引」を認証免除する仕組みで、導入だけで全ての不正注文は止まるわけではありません。
– 認証の全件強制・注文前のルールチェック・ログ監視の3層を組み合わせることが、現場で最も現実的な防衛線です。
– 決済連携とサーバー側の制御は保守パートナーと相談し、運用ルールと監視は自社で持ち続けるのが安全な線引きです。
はじめに：「3Dセキュアを入れたのに、なぜまだ不正注文が来るのか」
「今年3Dセキュア2.0を導入しました。もう不正利用は大丈夫なはずです」
そう考えていた先週、あるEC事業者さまの管理画面に、深夜の連続注文が並んでいました。どれも別のカード番号。どれも配送先は同じ場所。気づけば、カード会社からの「不正利用の疑いがある取引」の連絡で、売上金が取り消され、チャージバック手数料まで請求されていました。
私たちカジヤは業界歴10年以上で300社以上のWebシステム・ECサイトに携わり、その中で自社でも複数のECサイトを運営しています。正直に申し上げると、不正注文は3Dセキュア導入後もゼロにはなりません。むしろ「導入したから安心」という油断を突いた攻撃が増えているのが実感です。
この記事では、3Dセキュア2.0導入後に残るリスクと、現場で実際に機能する多層防御・監視体制の作り方を解説します。
なぜ3Dセキュア2.0だけでは不正を防げないのか
理由1：リスクベース認証で「免除」される取引がある
3Dセキュア2.0最大の特徴は、リスクベース認証（RBA）です。カード会社側が「低リスク」と判定した取引は、利用者への認証を求めずに通します。利便性のために欠かせない仕組みですが、裏を返せば判定をくぐり抜けた不正取引は、そのままオーソリ（与信）まで進むということです。
盗んだカード情報の使い方は巧妙化しています。少額で試す「カーディング」と呼ばれる手法や、通常の購買パターンに似せた大量発注など、リスク判定を意図的に回避する攻撃が現場では当たり前に見られます。
理由2：3Dセキュア非対応のカードは今も存在する
海外発行カードやブランド・発行会社の組み合わせによっては、3Dセキュア認証が動作しないケースが今もゼロではありません。認証できない取引を売上にするか、受けないかは加盟店側の選択を迫られます。ここを曖昧にしたままにしているECサイトは、実は「穴」を開けています。
理由3：チャージバックは「認証があっても」起こる
本人認証を通過した取引でも、「身に覚えのない利用」としてカード名義人から申し立てがあれば、チャージバック（売上取消）の手続きは始まります。認証情報は申立への反証材料にはなりますが、手続き・答弁・手数料のコストはゼロにはなりません。
日本クレジット協会も「安全・安心なクレジットカード取引への取組」として、不正使用の現状と本人認証サービス（3Dセキュア）登録推進などの業界全体の対策を公開しています。対策は「導入して終わり」ではなく、継続的な運用が前提です。
（出典：一般社団法人日本クレジット協会「安全・安心なクレジットカード取引への取組」）
不正注文を放置すると、ECサイトに何が起きるのか
- 売上金の取り消しと手数料負担： チャージバック成立で商品は出荷済み、売上は取り消され、手数料まで引かれます
- 在庫と配送リソースの消失： 不正注文に合わせて在庫を確保・出荷するため、正規注文に支障が出ます
- 加盟店審査への影響： チャージバック率が基準を超えると、決済契約の見直し・解約リスクが生じます
- 対応コストの常態化： 毎晩の注文チェック、カード会社との答弁書類作成が、担当者の業務を食いつぶします
私たちが自社ECを運営していて最も重く感じるのは3つ目と4つ目です。売上の取消は痛いですが、それ以上に「毎日不安を見張る体制」が事業の足を引っ張ります。だからこそ、システム的な防御と監視の仕組み化が必要です。
現場で効く「多層防御」の設計
1つの対策に頼るから破られます。以下の3層を組み合わせることが、現場で最も現実的な防衛線だと私たちは考えています。
第1層：決済まわりの強化（まずここを固める）
- 3Dセキュア認証の全件強制： リスク判定による免除を許さず、認証できないカードの取引は受けない設定にする（決済代行会社の管理画面で設定可能です）
- 認証結果とオーソリ結果の突合： 「認証あり・与信OK」の取引だけを確実に売上計上対象とする運用にする
- 同時多発に強い決済サービスの設定： IPごとの連続試行制限、同一カードでの短時間連続注文のブロックなど、代行会社側の防衛機能を有効化する
第2層：注文前のルールチェック（受注の段階でフィルタする）
- 同一配送先への連続注文を検知： 複数のカードを使って同一の配送先への注文、高確率で不正です
- 送料以上の高額商品・転売価値の高い商品の制限： 攻撃者は「現金化しやすい商品」を狙います。該当商品は決済方法を絞る、数量制限を設けるなどの対策が有効です
- 夜間・深夜の注文にフラグを立てる運用： 自動で確定させず、翌朝の確認を通すだけでも被害額は大きく変わります
第3層：サーバーとログの監視（攻撃の兆候を早く知る）
- WAF（Webアプリケーションファイアウォール）の有効化： カード番号を探す総当たり攻撃や、カート周りの不正アクセスを入口で防ぎます
- 決済エラー・認証失敗ログの定期確認： 特定のIPから失敗が集中していたら、それは攻撃の前兆です
- 通知の仕組み化： 異常な注文数・失敗数を検知したら、チャットやメールで即時に担当者へ飛ぶようにします
監視体制：誰が・いつ・何を見るか
仕組みを作っても、見る人が決まっていなければ意味がありません。最小構成は次のとおりです。
| 頻度 | 見るもの | 担当 |
|---|---|---|
| 毎朝1回 | 前日の新規注文（配送先の重複・深夜注文・高額商品） | EC担当者 |
| 週1回 | 決済管理画面の認証失敗ログ・エラー傾向 | EC担当者 |
| 月1回 | WAF・アクセスログの異常検知、チャージバック件数の棚卸し | 保守パートナーと共同 |
ポイントは、「毎朝の注文チェック」を担当者の日常業務としてルール化することです。体制を議論しても運用に落とせなければ、被害は止まりません。
やりがちだが危険な落とし穴
- 「3Dセキュア対応済み」の表示だけを確認して設定を確認しない： 導入していても「認証免除を許可」の設定のままのケースは少なくありません。まず管理画面の設定を確認してください
- 不正注文を「たまたま」で処理し続ける： ルール化せず担当者の勘に頼ると、担当者が変わった瞬間に穴が空きます
- 決済代行会社の防衛機能を放置する： 契約しているサービスに備わっている機能が無効のままのケースが多く、設定だけで防衛線が上がります
- チャージバックの答弁期限を過ぎる： 申立への反証には期限があります。期限管理を誰も持っていないと、勝てた案件も失われます
自社でやること / プロに任せることの境界線
私たちの判断基準はシンプルです。
運用ルールと毎日の監視は、自社で持ち続けるべきです。 自社の商材・顧客・注文パターンを最もよく知っているのは事業者ご自身だからです。第2層の「ルールチェック」は、自社の知識がなければ形骸化します。
一方、決済連携の設定変更・WAF・ログ監視の仕組みづくりは、システムの裏側を触る作業です。 設定を誤ると正規注文が決済できなくなるリスクがあります。深夜・休日に独力で対処するのは現実的ではありません。
私たちカジヤは、300社以上の支援実績と自社EC運営の当事者経験の両方から、「決済とサーバーの技術面は保守パートナーが支え、運用ルールは事業者と一緒に設計する」体制を提案しています。代理店を挟まない直接取引で、社内の専任エンジニアが一貫して対応します。
ECサイトのセキュリティ対策の基礎については、過去の記事「個人情報漏洩で会社が倒産もあり得る？中小ECサイトが最低限やっておくべきセキュリティ対策」もあわせてご覧ください。
まとめ
- 3Dセキュア2.0は必須の土台ですが、認証免除と非対応カードの穴が残ります
- 認証の全件強制・注文前ルールチェック・ログ監視の3層で防御してください
- 監視は「毎朝の注文チェック」から始めるのが最も費用対効果が高い一歩です
まずは決済管理画面の設定確認から始めてみてください。設定内容の診断や監視体制の設計についてのご相談は、お気軽にお問い合わせください。
Webサイト保守管理サービス の詳細はこちら
