クレカ不正や転売などの「ECサイト不正注文」、3Dセキュア導入義務化後も被害は減らず【かっこ調べ】

かっこ（Cacco）は、「EC事業者実態調査2025」の結果を発表した。EC事業者で不正注文（クレジットカードの不正、悪質転売）の対策に関わる担当者553人が回答している。

不正注文対策をしている事業者は69.6%

2025年3月に改訂された「クレジットカード・セキュリティガイドライン 6.0版」（日本クレジット協会／経済産業省）では、従来のセキュリティ対策に加え、システムやWebサイトの脆弱性対策をEC加盟店は実施するよう推奨されている。具体的には、決済の流れを踏まえた「線の考え方」に基づき、EMV3-Dセキュア（カード決済時に本人認証を行うサービス）、不正ログイン対策（本人認証等）の導入があがっている。とくにEMV3-Dセキュア（3Dセキュア2.0）は、2025年4月以降すべてのEC事業者に導入が義務付けられている。

そこでまずEC事業者に「“線の考え方”が推奨されていることを知っているか」を聞くと、「内容までよく知っている」は61.5%で前年の65.6%から減少した。

「もっとも懸念する不正リスク」については「クレジットカード不正利用」28.2%が最多。以下「アカウント乗っ取り」25.3%、「生成AIを悪用した偽サイト等の詐欺」14.8%が続いた。

「不正ログイン被害を受けた経験」について聞くと、2025年は56.2%で増加傾向。年商規模別では、年商10億円以上の事業者では64.2%が被害を経験している。

なお「不正ログインが発覚した経路」では、「通常と異なる挙動（アクセス数やログイン失敗の急増など）を社内で検知」52.1%が最多。「顧客からの問い合わせ・被害報告」46.0%が続いており、社内だけでなく社外（顧客側）から察知されるケースも多い。

「不正注文で被害を受けた経験」は38.0%で、2024年の41.8%からわずかに減少。年商規模別では、年商10億円以上では45.1%、10億円未満では30.8%と、大手ほど被害を受けている。被害種別では「クレジットカード不正利用」63.8%が突出して高かった。

「不正ログイン対策の実施状況」を聞くと、なんらかの対策を実施している企業は全体の96.7%にのぼり、具体的な手法では「不審なIPアドレスからのアクセス制御」49.4%、「会員登録時の個人情報確認（氏名・住所・電話番号・メールアドレス等）」45.8%、「ログイン試行回数の制限強化（アカウントパスワードクラッキングの対応）」44.3%、「多要素認証等による本人確認」42.7%などが多かった。

一方「不正注文対策の実施状況」を見ると、実施している企業は全体の69.6%。具体的な不正注文対策では、本人認証「EMV3-Dセキュア」65.2%が最多だが、システム開発などの導入コストや負荷を理由に「今後もEMV3-Dセキュアは採用しない」とする事業者も一定数存在していた。

調査概要

• 【調査対象】EC事業者で不正注文対策に関わる担当者
• 【調査方法】ネット方式によるアンケート調査
• 【調査時期】2025年11月
• 【有効回答数】553件（年商規模10億円未満：276件、10億円以上：277件）