セキュリティの手引き

カード会社から「情報漏洩の懸念」と連絡が来たら｜ECサイトが当日やること

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑 悠太

なぜ「うちはカード情報を持っていない」のに起きるのか

カード番号を自社で保存しない「非保持化」をしていても、漏えいは起きます。業界の指針をまとめるクレジット取引セキュリティ対策協議会は、非保持化した加盟店でも、サイトの弱点を突かれて改ざんされ、カード情報を盗まれる漏えいが主流になりつつあるとしています。

同じ資料は、オープンソースのEC構築パッケージやCMSの設定不備と弱点を狙った攻撃が多いとし、オープンソースを使う加盟店では、導入後のセキュリティ更新は加盟店の責任だとしています。

当日やること

1. 連絡の中身を記録する：誰から、いつ、何と言われたか。電話なら相手の名前と折り返し先を聞きます。
2. 指示に従ってカード決済を止める：協議会の指針は、漏えい元のネットワークからの切り離しと、カード決済の一時停止を、カード会社や決済代行会社の要請に従って行うとしています。

【連絡を受けたときの記録】

受けた日時：○月○日 ○時○分
相手：（例）○○カード株式会社 加盟店担当 □□様／決済代行 ○○株式会社 □□様
折り返し先：電話 ○○-○○○○-○○○○
言われたこと：（例）当社サイトで使われたカードに不正利用が続いている
求められたこと：（例）カード決済の停止／調査会社の手配
期限：（例）○月○日までに返事
社内の窓口：□□（電話 ○○-○○○○-○○○○）

相手の言葉は、そのまま書き写します。分からない欄は「不明」とし、実態と違う内容をひな形のまま写さないでください。

3. 消さずに残す：サイトのファイル、データベース、サーバーのログを、そのまま残します。サーバー会社と制作会社に「消さないでほしい」と伝えます。
4. 窓口を1人に決める：カード会社、決済代行会社、制作会社、サーバー会社との連絡を1人に集めます。

そのあとの流れ：調査・報告・再開

協議会の指針では、漏えい時の対応として、ネットワークからの切り離しと決済の一時停止のあと、フォレンジック調査、PCI DSS準拠などの確認、再発防止の措置が続きます。

決済の再開は、再発防止の中身をカード会社や決済代行会社と協議し、SAQ（自己問診）などを出したうえで、カード会社が判断します。自社だけで再開を決めることはできません。

同じ協議会の導入ガイドは、カード取引の停止に加えて、調査から再開の審査まで「かなりの時間」がかかるとしています。

また、調査費用、不正利用の被害の補償額、被害にあったカードの差し替え費用などが加盟店に請求され、大きな負担になりうると書いています。

個人情報保護委員会への報告と、お客さまへの通知

個人情報保護委員会は、ECサイトからクレジットカード番号を含む個人データが漏れた場合を、報告が必要な例に挙げています。不正に使われると財産的な被害が出るおそれがあるためで、件数は問いません。

サイトの改ざんのように不正の目的によるおそれがあるときは、確報の期限は60日です。カード番号の下4桁と有効期限だけの組み合わせなら、直ちに報告の対象にはならないとされています。

お客さまには、状況に応じて速やかに、何が起きたか、漏れた項目、原因を知らせます。一人ひとりに知らせるのが難しいときは、ホームページでの公表と問い合わせ窓口で代えることができます。

公表の時期と文面は、カード会社・決済代行会社と調査会社の状況を確かめてから決めます。法的な判断が要るところは、弁護士に相談してください。報告の考え方は漏えいの報告の手引きにまとめています。

よくある質問

参考にした資料

1. クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（2026年3月）
2. クレジット取引セキュリティ対策協議会「EC加盟店におけるセキュリティ対策 導入ガイド」（2.1版、2026年3月）
3. 個人情報保護委員会「漏えい等の対応とお役立ち資料」
4. 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」