決済画面の改ざんでカード番号はなぜ漏れるか、EC-CUBEと日本クレジット協会

カード情報を保存しない店でも、入力する画面が書きかえられると漏れます

番号を打ちこむ画面が書きかえられると、入力した中身が外へ送られます。

ネットショップの多くは、カード番号を自社に残さず、決済代行会社に送るしくみを使っています。これを「非保持化」と呼びます。

ところが日本クレジット協会のガイドライン6.1版は、いまの主な漏えいは非保持化を済ませたお店で起きているとしています。お店のウェブサイトの弱いところを突かれ、カード情報が盗まれる形です。

同じ協会の導入ガイドには、ページの中で動くプログラム（スクリプト）が書きかえられた例があります。入力した情報が漏れつづけたとしています。お店のデータベースではなく、お客さまの画面の上で抜きとられるため、保存の有無は関係ありません。

出典：クレジット取引セキュリティ対策協議会のガイドライン6.1版 p.9と、附属文書20（2.1版）p.4〜5。表の「気づきにくさ」は当社の見方です。

この手口は「ウェブスキミング」と呼ばれることもあります。ここでは、どこが狙われるかだけを説明し、具体的なやり方には触れません。

カード番号の盗用による被害は2025年に475.4億円で、不正利用の9割をこえます

2025年の被害510.5億円のうち、番号盗用が93.1%です。

カードそのものを持たずに、番号だけを使って買い物をされる被害を「番号盗用」と呼びます。ネットで盗まれた番号は、この形で使われます。

出典：日本クレジット協会「クレジットカード不正利用被害の集計結果について」（2026年3月6日公表）。国際ブランドのカード発行会社を中心とした40社の回答。海外で発行されたカードは含みません。

2025年は前の年より減りましたが、番号盗用の割合は93.1%です。統計には、番号がどこで盗まれたかの内訳はありません。そのため、ネットショップの画面改ざんがどれだけをしめるかは、この数字からはわかりません。

EC-CUBEでは、決済画面の改ざんにつながった脆弱性が過去に悪用されています

IPAは2019年に、この被害が多いと注意をよびかけました。

EC-CUBE（イーシーキューブ）は、PHPというプログラムの言葉で作られた、ネットショップを作るためのソフトです。IPAは「ECサイト構築で多く利用されている」ソフトとしています。

IPA（情報処理推進機構）は2019年12月25日に注意をよびかけました。EC-CUBEのサイトで決済画面が改ざんされ、カード番号などが盗まれる被害が多いという内容です。経済産業省によると、漏れた番号などは約14万件にのぼるとしています。

出典：IPA、JVN（JPCERT/CCとIPAが運営する脆弱性情報サイト）、EC-CUBE公式「脆弱性情報」。2026年10月26日時点。

2021年の脆弱性は、イーシーキューブ社が、悪用によるカード情報の流出も確認したと告知していたと報じられています。修正のあとも、すでに書きかえられていないかを確かめるよう求めていました。

ほかのソフトでも同じ考え方があてはまります。協会の導入ガイドは、無料で公開されているソフトの更新は、使うお店の責任で行うと書いています。

ガイドラインは2025年から、ネットショップに脆弱性対策とEMV 3-Dセキュアを求めています

カードを保存しないお店も、サイトの点検が求められています。

クレジットカード・セキュリティガイドラインは、カード会社や関係する団体でつくる協議会がまとめています。事務局は日本クレジット協会です。

2025年3月の6.0版で、ネットショップの「システムとウェブサイトの脆弱性対策」が、守るべき対策に加わりました。2026年3月の6.1版では、この対策の中身は変わっていません。

EMV 3-Dセキュアは、カードを使うときに持ち主本人かを確かめる仕組みです。5.0版で、原則すべてのネットショップに2025年3月末までの導入が求められました。これは盗まれた番号の悪用をふせぐ対策で、画面の改ざんそのものを止めるものではありません。

出典：附属文書20 別紙a「EC加盟店におけるセキュリティ対策一覧」1.1版（2026年3月）。言いかえは当社によります。

決済画面のファイルを定期的にくらべる点検は、協会の資料で項目名として確認できませんでした。当社の見方として挙げています。

お店から漏えいのお知らせが届いたら、カード会社への連絡と明細の確認から始めます

まずカード会社に相談し、明細を1件ずつ見ます。

1. お知らせにある、漏れたおそれのある期間に、そのお店でカードを使ったかを思い出します。
2. カードの裏にある番号から、カード会社に電話します。お知らせメールの中のリンクや番号は使いません。
3. カードを止めるか、番号を変えて作り直すかを相談します。
4. 利用明細を、合計ではなく1件ずつ見ます。身に覚えのない少額の請求にも気をつけます。
5. 同じカードを登録しているほかのサービスは、新しい番号に登録しなおします。

静岡県の消費生活の相談例では、気づくのが遅れた分は返金されなかったことがあります。明細はこまめに見ることが大切だとしています。迷ったときは、消費者ホットライン188で相談できます。

カートサービスの会社で起きた漏えいは、別の記事ショップサーブの情報漏洩で自分は対象か、Eストアー約2,335万人とカード番号の先頭6桁・下4桁で整理しています。

よくある質問