「不正検知のアラートが今日もあがっている。ただ、誰も驚かなくなった」。そんな状態になっているEC事業者は、決して少なくありません。不正対策は、導入の是非を議論する段階を過ぎました。「EMV 3-Dセキュア」や不正検知の導入、ログインの保護――必要だと言われたものは、順番に積み上げてきたはずなのに、現場は楽になりません。毎日の通知を確認する作業が増え、判断待ちの注文が滞留する。担当者からは「どれが本当に危ないのかわからない」という声があがっています。このアラート疲れの構造を分解し、対策を講じる前に決めておくべき前提を整理し、ツール選定後に現場が回り続けるための設計を解説します。
アラートは「見なくなった時点」で機能を失う 不正検知のアラートは、上がっているだけでは意味がありません。誰かが内容を確認し「止めるのか、通すのか」を判断して初めて機能します。ところが、毎日大量に発生するアラートの大半が、結果的に問題のない取引だったとしたらどうでしょうか。
仮に10件のうち9件が空振りという状態が続けば、担当者は次第に「今回も大丈夫だろう」と考えるようになります。10件目に本当に危険な取引が混ざっていても、前の9件と同じように扱われる。これは担当者の注意力や意識の問題ではなく、大量の誤検知を処理し続ける運用が、そう判断するよう人を学習させた結果です。いわゆる「アラート疲れ」は、現場のやる気が落ちた結果ではありません。処理すべき情報量と現場が判断できる量のバランスが崩れて起きる、運用上の問題 です。
アラート疲れを生む構造を理解する では、なぜこの状態が生まれるのでしょうか。背景には誤検知の多さ、ツールの乱立、そして人員不足という、現場の努力だけでは解決しにくい3つの構造があります。誤検知が人手を奪い、ツールの分断が確認作業を増やし、人手が足りなくなることで判断がさらに滞る 。互いを悪化させながら、現場の負荷を大きくしています。
自社に当てはまるものがいくつあるか、確認しながら見ていきましょう。
① 誤検知は「精度」ではなく「線引き」の問題 「誤検知が多いなら、検知精度を上げればいい」と考えるのは自然です。しかし、単体のツールをチューニングし続けるだけでは、いずれ壁にぶつかります。不正検知の多くは、取引ごとにスコアを算出したりルールに照らしたりして、「どこからを危険とみなすか」を決めています。
この線を厳しくすれば不正を見逃す可能性は下がりますが、正常な購入までアラートや保留の対象になります。逆に緩めれば、確認件数は減る代わりに、不正を通してしまう可能性が上がります。つまり誤検知は、チューニングで解決できる「不具合」ではありません。不正リスクをどこまで許容し、正常な取引への影響をどこまで許容するか。その線をどこに引くかという、事業判断の問題 です。
そして多くの現場では、この線が「不正を取りこぼしたくない」側に寄りやすくなります。止められなかった不正は被害額として表面化しますが、正常な注文の確認にかかった時間は経営指標に載らないからです。その結果、リスクを下げるための設定が、現場に「処理しきれない量のアラートを出し続ける」という別のリスクを生みます 。誤検知の量はツールの性能ではなく、この線の位置が決めているということです。
② ツールが増えるほど、人の作業が増える 不正対策は決済の一点だけに置くものではありません。ログイン時の不正アクセス検知、決済時の不正検知や3Dセキュア、受注後の目視確認。それぞれに別の製品が入り、管理画面も提供元も別々というのが一般的です。
ここで起きるのが、情報の分断です。ログイン時に不審なアクセスが検知され、決済でもアラートが出て、受注システムでは注文が保留されている。それが同じ購入者による一連の行動だったとしても、システムをまたいだ瞬間、3件の無関係な情報として並びます。同じ人物かどうかを教えてくれる仕組みは、どこにもありません。
結局、担当者が複数の管理画面を開き、注文番号、氏名、住所、メールアドレスを目視で突き合わせて確認することになります。ツールが自動化してくれるのは、それぞれの領域の検知まで。ツールをまたいで情報をつなぐ工程が設計されていなければ、そこは人の作業として残ります 。
しかも、対策を1つ足すたびに、監視対象だけでなく、突き合わせる画面と情報の組み合わせも増えていきます。守りを強くするために導入したツールが、現場の作業量を増やす 。この逆転が、アラート疲れを加速させます。
③ 検知は自動化できても、判断は自動化されていない 3つ目は、人員の問題です。ただし、単に「担当者が足りない」という話ではありません。基本的に不正検知ツールが出せるのは「この取引はリスクが高い」「確認したほうがよい」という材料までです。その先で注文を通すのか・止めるのか、顧客に確認するのかは、人が判断しているケースがほとんどです。自動化されたのは検知であって、最終判断まで自動化されたわけではない ということです。
しかも、その判断量は一定ではありません。注文が増えればアラートも増えるため、年末商戦、大型セール、連休前といった繁忙期ほど確認業務も膨らみます 。「最も売りたい時期に、最も判断が滞る」という状況が起こり得るのです。
さらに問題になるのが属人化です。一次判断を実質1人の担当者に依存していれば、その人が休んだだけで確認が滞ります。ただ、属人化が始まるのは担当者が退職した瞬間ではありません。「なぜこの注文を通したのか」「なぜ止めたのか」を記録しなくなった時点で、すでに始まっているのです。判断基準が個人の頭の中にしかなければ、人を増やしても同じ水準では裁けません 。
この3つは、どれも現場の努力では解決できません。誤検知の量は線の引き方に、分断はツールの数に、判断の滞りは事業の成長に由来するから です。担当者を増やしても、確認を丁寧にしても、原因はそこにないままです。しかも、3つは連鎖します。誤検知が増えるほど人手を使い、ツールが増えるほど確認の手数が増え、人が足りなくなるほど判断は後回しになる。アラート疲れとは、検知する仕組みだけが増え、それを受け止める運用が追いついていない状態 なのです。
現場が回り続けるために決めておく3つのこと 前提を1つ確認しておきます。サイバー攻撃はすでに個人の思いつきによるものではありません。ツールの調達から換金までが分業化され、カード情報、端末、IPアドレス、配送先、購入金額といった条件を変えながら、「どの組み合わせなら通るのか」を試し続けています。一般社団法人日本クレジット協会の集計では、2026年4～6月期のクレジットカード不正利用被害額は107.7億円。その9割超を番号盗用が占めています（参考：一般社団法人日本クレジット協会「クレジットカード不正利用被害の発生状況（2026年第2四半期） 。非対面取引が狙われる状況は変わらないまま、手口だけが更新され続けている ということです。
相手が組み合わせを変えてくる以上、1つの対策で守り切るのは困難です。対策を増やす判断そのものは避けられません。問題は、増やした分だけ現場が消耗する、いまの積み上げ方にあります。次回ツールを検討するときは、機能や検知精度を比べる前に、次の3つを決めておきたいところです。
1．判断の入り口を1つにする 導入するツールの数と担当者が見る管理画面の数は、同じである必要はありません。どの検知結果も同じ受け皿に集まり、そこを見れば「この注文をどうするか」を判断できる――その状態を先に設計します。ツールを増やすかどうかより、増やしても入り口が1つに保たれるかどうかが、現場の負荷を決めます 。
2．対策は「点」で選ばず、「線」で重ねる前提で選ぶ 不正検知ツールにも得意・不得意がありますし、商材、取引のタイミング、カード属性によって、見るべきリスクは変わります。あるツールがすべての取引に対して最適とは限りません。だからこそ「どの1社を選ぶか」だけでなく、複数の対策を重ねられるか、取引によって使い分けられるかという視点が必要 なのです。「クレジットカード・セキュリティガイドライン（6.1版）」では、従来の「4方策」から1つを選ぶ考え方が終了し、カード情報保護対策と不正利用対策を、取引の流れの各場面に配置する「線の考え方」が求められています（参考：クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】 。複数の対策を重ねること自体が、すでに前提になっているということです。
将来別のサービスを追加できるか、一部だけ入れ替えられるか、特定のベンダーに依存しすぎていないか。こうした余地は導入時には価値が見えにくく、不正の傾向が変わったときに初めて効いてきます。
3．人が判断すべきものだけを人に回す そして最も重要なのが「アラートが上がったものはすべて人が見る」という前提を見直すこと です。取引を「自動で通す」「自動で止める」「人が確認する」の3つに分け、人に回る件数を設計値として決めておきましょう。あわせて「通した」「止めた」という結果だけではなく、なぜそう判断したのかを記録に残します 。そうすれば、後から判断基準を見直すことも、別の担当者に引き継ぐこともできます。これは工数削減の話ではなく、判断を再現できる状態をつくるための設計 です。
不正対策だけを見ていても、答えは出ない ここまで読んで「自社だけで設計するのは難しい」と感じたなら、その感覚は正しいと思います。なぜなら、この3つは不正対策の設計であると同時に、決済全体の設計でもあるからです。
不正を厳しく止めれば正常な取引まで影響を受け、認証を増やせば購入者の手間が増えます。不正を減らすことだけを目的にすると、本来通すべき注文まで止めるという別の問題が起こりかねません。だからこそ、見るべき指標も被害額だけではありません。手動確認率、判断までにかかる時間、アラート件数と処理件数の差、そして決済承認率。これらを合わせて見る設計ができていれば、手口が変わって新しい対策が必要になったときも、現場の運用を大きく増やさずに対応できます 。
自社だけで整理するのが難しければ、契約している決済代行会社や不正検知ベンダー、決済と不正対策の両方を理解している専門家に、いまの構成を見てもらうところから始めるのも1つの方法です。
「どのツールが一番いいか」ではなく、「どう組み合わせれば、通すべき取引を通しながら、現場が回り続けるのか 」。不正な取引を止めること、正常な取引を通すこと、それを現場が無理なく続けられること。この3つを同時に成立させる設計に切り替えることが、アラート疲れから抜け出す第一歩です。
ネッタヌ
石田氏
酒匂氏
中林氏
2025年1月、「HubSpotのSEOが崩壊した」と話題になりましたが、その後を追いかけた記事には、これからのSEOに関するヒントがたくさんありました。