クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−２０１９−【公表版】

２０１９年３月１日
クレジット取引セキュリティ対策協議会

−目

次−

はじめに

・・・・・2

Ⅰ．基本的な考え方
１．クレジットカード取引における不正利用被害の実態等
２．セキュリティ対策の強化に向けた基本的な考え方・・・・・4

Ⅱ．分野別の具体的な実行計画

・・・・・6

Ａ．クレジットカード情報保護対策の強化に向けた実行計画
・・・・・10
１．クレジットカード情報の適切な保護に関する取組について
２．加盟店におけるカード情報の非保持化の推進について
３．PCI DSS 準拠の推進について
４．カード情報を取り扱う事業者の PCI DSS 準拠の推進について
５．カード情報漏えい時の対応について
６．各主体の役割について
７．2019 年度中に重点的に実施すべき具体的な取組について
Ｂ．クレジットカード偽造防止による不正利用対策の強化に向けた実行計画
・・・・・25
１．クレジットカードの IC 取引の実現に向けた取組について
２．IC 取引時のオペレーションルール・ガイドラインについて
３．コスト低減を踏まえた POS システムの IC 対応に関する方策について
４．IC-CCT 端末の普及について
５．IC 対応加盟店の「見える化」の方策について
６．各主体の役割について
７．2019 年度中に重点的に実施すべき具体的な取組について
Ｃ．非対面取引におけるクレジットカードの不正利用対策の強化に向けた実行計画
・・・・・37
１．非対面取引における不正利用対策の取組について
２．不正利用対策の具体的な方策について
３. 加盟店におけるリスク・被害発生状況に応じた方策の導入
４．各主体の役割について
５．2019 年度中に重点的に実施すべき具体的な取組について
Ⅲ．消費者及び事業者等への情報発信等について
１．基本的な考え方
２．具体的な取組について

・・・・・48

Ⅳ．本協議会の今後の活動方針と体制等について
１．2019 年度の活動方針
２．本実行計画の進捗管理等に係る体制と今後の活動方針

・・・・・51【別紙】PCI DSS 準拠について【参考】クレジット取引セキュリティ対策協議会の検討経緯

・・・・・52
・・・・・551

はじめに我が国の国内消費が横ばいで推移する中にあって、急成長する電子商取引（以下「EC」という）の拡大とともに、クレジットカードの取扱高は堅調に拡大を続けており、2017 年には取扱高 58 兆円を超えるなど、クレジットカードが社会における取引インフラとして重要な機能を担っている。
政府は「未来投資戦略 2018」（2018 年 6 月 15 日）において、これまでの 2020 年の東京
オリンピック・パラリンピック競技大会の開催に向け、「クレジット決済端末の 100%の IC対応」の実現等、国際水準のセキュリティ環境の実現を目指すこと、2027 年 6 月までにキャッシュレス決済比率を倍増し、40%程度とすることを目指す方針に加え、将来的には世界的にも遜色のない比率とする目標を掲げている。また、「明日の日本を支える観光ビジョン」（2016 年 3 月）においても、外国人が訪れる主要な商業施設、宿泊施設及び観光スポット
において、「100%の決済端末の IC 対応」等、キャッシュレス環境の飛躍的な改善を行うこととしている。なお、経済産業省は「キャッシュレス・ビジョン」（2018 年 4 月）において、2025 年日本国際博覧会（大阪・関西万博）に向けて、キャッシュレス決済比率 40%の目標
を 2025 年に前倒し、将来的には世界最高水準のキャッシュレス決済比率 80%を目指し、必要な環境整備を進めていくとしている。
サイバーセキュリティの観点からも、クレジット分野は、2014 年 5 月には政府の情報セ
キュリティ政策会議において国の重要インフラの一つとして指定されており、セキュリティ
強化に向けた更なる取組が求められている。
このように、商取引の活性化に資するキャッシュレス化の推進とともに、IC 取引の実現
等による安全・安心なクレジットカードの利用環境整備は、国の重要な政策課題となっている。一方、2016 年 7 月に内閣府が実施した「クレジットカード取引の安心・安全に関する世論調査」によれば、クレジットカードの利用について約 60%が消極的と回答しており、その多くは、不正利用や情報漏えいに対する懸念があるとして、政府に対し、「不正使用に対する取締りの強化」（57.4%）や「セキュリティ対策の規制に係る法整備」（52.3%）を求めている。
クレジット取引セキュリティ対策協議会（以下「本協議会」という）は、2020 年に向け、「国際水準のセキュリティ環境」を整備することを目指し、クレジットカード取引に関わる
幅広い事業者（クレジットカード会社、加盟店・関係業界団体、PSP 1（Payment Service
Provider）、決済端末機器メーカー、情報処理センター、セキュリティ事業者、国際ブランド等）及び行政が参画して 2015 年 3 月に設立され、2016 年 2 月 23 日付けで「クレジット
カード取引におけるセキュリティ対策の強化に向けた実行計画（以下｢実行計画｣という）」を策定し、毎年度、各主体における実行計画の進捗及び達成度等を踏まえ、これを改訂して

1

本実行計画では、インターネット上の取引において EC 加盟店にクレジットカード決済スキームを提供
し、クレジットカード情報を処理する事業者をいう。

2

きた。関係各主体は互いに連携し、本実行計画に基づく取組の推進により、我が国が 2020
年までに達成すべき目標の実現に向け、セキュリティ対策の取組を進めているところである。
政府は、安全・安心なクレジットカード利用環境を実現するため、2016 年 10 月 18 日に、加盟店に対してセキュリティ対策を義務付ける等の措置を盛り込んだ「割賦販売法の一部を改正する法律案」を国会に提出し、本法案は、衆参両院において全会一致で可決された。
「割
賦販売法の一部を改正する法律」（以下「改正割賦販売法」という）は、同年 12 月 9 日公布
され、2018 年 6 月 1 日に施行されている。
本実行計画は、改正割賦販売法に規定するセキュリティ対策義務の実務上の指針となるものである。本実行計画に掲げる措置又はそれと同等以上の措置を講じている場合には、セキュリティ対策に係る法令上の基準を満たしていると認められる。
今般改訂された 2019 年度の実行計画は、2018 年度の実行計画の下での取組の進捗を踏まえ、関係事業者における取組を更に推進するため、各対策に関する記載事項の具体化・明確化を行い、課題の解決を図った結果を反映し、また、2019 年度の重点取組事項を取りまとめたものである。
本実行計画は、クレジットカード取引に関係する各主体がそれぞれの役割に応じて取組むべき事項を取りまとめたものであり、関係各主体が安全・安心なクレジットカード取引を取り扱うべき当事者としての意識を持ちつつ、クレジットカード取引におけるセキュリティ対策の強化に向け、本実行計画を着実に実施することを期待する。
2019 年 3 月 1 日

3

Ⅰ．基本的な考え方
１．クレジットカード取引における不正利用被害の実態等
我が国のクレジットカードの不正利用被害は 2003 年以降漸減傾向にあったが、EC 市場の取扱高の増加に伴い 2013 年から再び増加傾向に転じている。一般社団法人日本クレジット協会（以下「日本クレジット協会」という）の集計によれば、2017 年には約 236 億円の被害が確認されている。2018 年は 1 月から 9 月までに、約 166 億円の被害が発生しており、依然、被害額は高止まりの状況となっている。なお、こうした不正利用被害は、デジタルコンテンツ（オンラインゲームを含む）、家電、電子マネー、チケットといった換金性・流通性の高い商材を取り扱っている業種の加盟店において多発している。
非対面取引においては、窃取されたクレジットカード情報（以下「カード情報」という）
等 を 不 正 に 利 用 し た な り す ま し に よ る 同 期 間 に お け る 被 害 額 が 、 不 正 利 用 被 害 額 全 体の79.5%を占めるに至っており、そのほとんどは EC 加盟店において発生している。これを踏
まえ、カード会員本人になりすました不正利用の様々な手口に対して実効的に対処するため、リスクが高い加盟店においてはより多面的・重層的な対策を講じる必要がある。
また、対面取引においても、偽造カードによる不正利用被害を防止するため、クレジット
カードの IC 化とともに、決済端末の IC 対応を進めていく必要がある。我が国と同様に、IC対応が遅れている米国では、大手スーパーマーケットでの大規模情報漏えい事件が契機となり、2014 年 10 月に IC 対応を進める大統領令が発令されたことを踏まえ、IC 対応が急速に進められている。こうした中、我が国の IC 対応の取組が遅れると、米国で発生していた不正利用被害が我が国にシフトし、セキュリティホール化するリスクが高まることは、10 年ほど前に欧州で IC 対応が進んだ際に不正利用被害が米国にシフトしてきた歴史の教訓からも十分想定されることである。過去に偽造カードを使用したショッピングの被害が発生した状況を踏まえても、対面加盟店における IC 対応を進めていくことは喫緊の課題である。
これら不正利用により得られた資金は犯罪組織の活動資金源となっている可能性もある
ことから、クレジットカード取引に関係する事業者は社会的責任の観点からも不正利用対策に取組むべき責務があることを認識しなければならない。
さらに、不正利用が発生する原因となるカード情報の漏えい対策についても重点的に取組む必要がある。カード情報が漏えいするリスクは、カード情報を取り扱う全ての事業者に生じる可能性があり、近年の傾向としては、外部からの攻撃に対してセキュリティ対策が脆弱な EC 加盟店（委託先を含む）からの漏えいが顕著となっている。新たな手口として、EC加盟店が非保持化を実現した場合であっても、EC サイトの脆弱性や設定の不備、また、開発・運用段階におけるサイト改ざんリスク等に対するセキュリティへの対応・考慮が不十分であったことに起因する漏えいが発生している。なお、海外では、大手加盟店の POS 端末を標的としたサイバー攻撃によってウィルスに感染し、当該端末で決済されたカード情報を含む顧客情報が大量に窃取されるという事案が発生している。我が国においても同様のウィルスが検出されており、十分な対応が求められている。

4

各主体は、我が国がセキュリティホール化し、不正利用被害が国境を越えて流入するリス
クが高まっていることへの危機意識を共有した上で、本実行計画を着実に実行することが求められる。
２．セキュリティ対策の強化に向けた基本的な考え方
本協議会においては、2020 年に向け、国際水準のセキュリティ環境を整備し、安全・安
心なクレジットカードの利用環境を実現するため、以下の点に留意しつつ、取組を進めている。
（１）本実行計画の位置付け
改正割賦販売法の施行により、①カード会社（イシュアー）、②カード会社（アクワイアラー）等 2 、③加盟店においては、クレジットカード番号等の適切な管理や不正利用の防止といったセキュリティ対策が求められることとなった 3 。本実行計画は、改正割賦販売法で求められるセキュリティ対策の実務上の指針として位置付けられるものであり、本実行計画に掲げる措置又はそれと同等以上の措置を講じている場合には、セキュリティ対策に係る法令上の基準を満たしていると認められる。
また、改正割賦販売法では、カード会社（イシュアー）に加え、カード会社（アクワイアラー）等について「登録制」が導入され、カード会社（アクワイアラー）等は契約加盟店の調査等の実施が求められることとなった。調査の結果、セキュリティ対策が不十分な加盟店については、契約カード会社（アクワイアラー）等からの指導により合理的な期間
内に法令上の基準に適合することが求められる。
以上の観点から、本実行計画を指針とした取組を着実に進めていく必要がある。
（２）不正利用リスクに応じたセキュリティ対策の実施
本実行計画は、クレジットカードのうち、世界中で共通に使用できるがゆえに不正利用リスクの高い国際ブランド付きのカードを対象としている。一方、国際ブランドが付いていないカードについては、使用範囲が限定される点ではリスクは低いため本実行計画の対象としていないが、リスクに応じたカード情報保護対策及び不正利用対策が必要である点には留意すべきである。
なお、加盟店については、対面取引であるか非対面取引であるか、どのような商材を取り扱うのか等によって不正利用リスクが異なるため、対策の実施にあたってはこのような点に留意が必要である。具体的には、対面加盟店では偽造されたクレジットカードによる不正利用、非対面加盟店では窃取されたカード情報等による不正利用と、販売方法によっ2
3「クレジットカード番号等取扱契約締結事業者」（改正割賦販売法第 35 条の 17 の 2）のこと。
改正割賦販売法においては、クレジットカード番号等の適切な管理についてはカード会社（イシュアー）、
カード会社（アクワイアラー）等及び加盟店に課された義務であり、不正利用の防止については加盟店に課された義務である。

5

てその攻撃手口は異なる。このため、セキュリティ対策の強化にあたっては取引形態の違いや不正利用の手口の違い等を考慮した上で、それぞれのリスクに応じた具体的な方策を導入することが必要である。
（３）セキュリティ対策の検証と改善
対面取引・非対面取引ともにセキュリティ面では様々な技術やサービスが既に提供されているが、どの方策も 100%の安全性を担保するものではないという認識に立って、クレジットカード取引関係事業者においては、その業種・業態、特に加盟店においては取扱商
材や販売方法、不正利用被害の傾向や最新の攻撃手口等を踏まえ、それぞれのリスクに応じて多面的・重層的な対策を講じ、その実効性を不断に検証し、必要な改善を図ることが求められる。
（４）加盟店に対する情報提供等
加盟店における対策の導入にあたっては、契約関係にあるカード会社（アクワイアラー）
や PSP が、加盟店に対する必要な情報提供や具体的な方策の導入等へのサポート等を行うことが重要である。
また、加盟店は本実行計画に基づく取組を着実に進めていくため、カード会社（アクワ
イアラー）や PSP に対し必要な情報提供を求めていくことも重要である。
（５）消費者に対する情報発信
カード会社や加盟店等の不正利用対策に加えて、消費者自身のクレジットカードの不正利用に対する認知・意識の向上を図るため、消費者に対する効果的な情報発信によって理解・協力を得ることも、セキュリティ対策強化の観点から必要な取組である。
本協議会は、本実行計画を推進することで、2020 年 3 月末までに不正利用被害額の極小化を目指し、もって我が国のキャッシュレス社会の安全・安心なクレジットカード利用環境の実現を図るものである。
Ⅱ．分野別の具体的な実行計画
具体的な実行計画の策定にあたっては、取引の形態及び想定される不正手口について以下の分類を行い、それぞれ未然防止対策と不正利用対策に分けて適切な方策の検討を行った。
想定される不正手口
対面取引

非対面取引

未然防止対策偽 造カ ー ド 、 紛失 ・ 盗 難

カード情報保護→WG1

カードによる不正利用

カードの IC 化→WG2

盗 用さ れ た カ ード 情 報 を

カード情報保護→WG1

不正利用対策
決済端末の IC 対応

本人認証・不正利用検知の強化→WG3

用いたなりすまし

6

→WG2

参考資料
（資料１）
（兆円）

出所：日本クレジット協会「信用供与額」

（資料２）

（兆円）

出所：内閣府「国民経済計算年報」民間最終消費支出：名目
出所：日本クレジット協会「信用供与額」

7

（資料３）（億円）

出所：日本クレジット協会「クレジットカード不正利用被害額の発生状況」

（資料４）

（億円）

出所：日本クレジット協会「クレジットカード不正利用被害額の発生状況」

8

（資料５）

BtoC-EC の市場規模および EC 化率の経年推移（億円）

本調査における EC 化率とは、物販系 分野に対する電子商取引 市場規 模の割合を指出所：経済産業省「平成 29 年度我が国経済社会の情報化・サービス化に係る基盤整備（電子商取引に関する市場調査）」（資料６）

出所：総務省「平成 29 年通信利用動向調査報告書（世帯編）」

9

Ａ．クレジットカード情報保護対策の強化に向けた実行計画
１．クレジットカード情報の適切な保護に関する取組について
カード情報 4 の保護は、クレジットカード取引に関わる全ての事業者の責務である。2018
年 6 月 1 日施行の改正割賦販売法においては、カード会社のみならず加盟店に対しても、クレジットカード番号等の適切な管理や自らの委託先に情報管理に係る指導等を行う義務が課されることになった。
企業や個人を狙ったマルウェアや標的型攻撃によって個人情報やカード情報の窃取、またそれらの窃取した情報を利用した特殊詐欺等の事件は増加しており、特にカード情報の不正利用は国内だけにとどまらず、甚大な被害をもたらしている。これらは、不正を働いている
犯罪者の大きな資金源になっているとも言われており、犯罪防止の観点からも関係事業者が責任を持って適切な情報管理を行うことが求められる。
2018 年においても情報漏えいに起因する偽造被害は発生しており、また、なりすまし被害は高止まりの傾向にあることから、本実行計画に基づくカード情報保護の取組を更に加速させていくことが極めて重要である。
そもそもカード情報を自社で保持していなければ、カード情報を窃取されることがなく、情報漏えいの観点からも最も有効なセキュリティ対策と考えられる。しかし、カード情報を保持しなくても事業を運営できる事業者と、保持しなければ事業を運営できない事業者があるため、各事業者の実態を踏まえた対策を講じることが重要である。具体的には、加盟店においては非保持化を基本とした取組を第一に検討し、カード情報を取り扱うカード会社及びPSP においては、カード情報保持を前提とした適切な対策を講じることが必要である。
加盟店における非保持化に向けた具体的な取組を進めるにあたっては、対面加盟店と非対面加盟店に分けたアプローチをする必要がある。近時のカード情報漏えい事案の発生状況に鑑みれば、非対面加盟店の中でもカード情報漏えいリスクの高い EC 加盟店におけるセキュ
リティ対策を進めることは、引き続き喫緊の課題である。カード情報を保持しないシステム（カード情報非通過型）への移行を推進してきたことにより、カード情報漏えい事案の抑制効果が出始めているものの、一方で EC 加盟店のウェブサイトの脆弱性や設定の不備、委託先事業者が提供する決済ソリューション（ショッピングカート機能等）の脆弱性等を悪用された漏えい事案が発生していることに留意し、それらに対するセキュリティレベルを向上さ

4「カード情報」とは、クレジットカード会員データ（クレジットカード番号、クレジットカード会員名、サービスコード、有効期限）及び機密認証データ（カード情報を含む全トラックデータ、
CAV2/CVC2/CVV2/CID いわゆるセキュリティコード、PIN 又は PIN ブロック）をいう。ただし、クレジットカード会員データのうち、クレジットカード番号以外のデータのみであれば「カード情報」ではない。また、以下の処理がなされたものはクレジットカード番号とは見做さない。
・トークナイゼーション（自社システムの外でクレジットカード番号を不可逆的に別の番号等に置き換え、自社システム内ではクレジットカード番号を特定できないもの）
・トランケーション（自社システムの外でクレジットカード番号を国際的な第三者機関に認められた桁数を切り落とし、自社システム内では特定できないもの）
・無効処理されたクレジットカード番号10

せることも重要である。
カード情報の保護については、カード情報を取り扱う全ての事業者に対して国際ブランド（VISA、Mastercard、JCB、American Express、Discover 5 ）が共同でデータセキュリテ
ィの国際基準である PCI DSS 6（Payment Card Industry Data Security Standard）を策定
し、カード情報の安全性が確保できる環境を整えている。カード情報を保持する加盟店やカード会社及び PSP については、PCI DSS への速やかな準拠が求められ、事業者が PCI DSSの内容を正しく理解し効率的に対応する必要がある。そのため、本協議会は、きめ細かい理
解促進の取組や具体的な手続き等に対するサポート体制を構築することで、カード情報を保持する事業者における準拠に向けた取組の加速を図る。
本実行計画では、特にカード情報の漏えい頻度が高い EC 加盟店を含む非対面加盟店については原則として非保持化（カード情報を保持する場合は PCI DSS 準拠）を推進するとともに、カード会社及び PSP については PCI DSS 準拠を求めてきた。引き続き、改正割賦販売法の施行を踏まえ、その取組を継続していくこととする。また、対面加盟店については、同法の施行日までの対応が基本となるが、最終的には、全加盟店において 2020 年 3 月末までに非保持化（カード情報を保持する場合は PCI DSS 準拠）が完了している状態になっていることを目指す。
次項に定める非保持化（後述の非保持と同等/相当 7を含む）を実現した加盟店（以下「非保持化実現加盟店」という）であっても、継続的な情報保護に関する従業員教育やウィルス対策、デバイス管理等について情報漏えい防止のための必要なセキュリティ対策が求められる。
特に、EC 加盟店においては、非保持化を実現した場合であっても、ウェブサイトの開発・運用段階での対応が不十分であるとカード情報が漏えいするリスクがあることから、自社システムの定期的な点検や追加的な対策の実施等が重要である。
また、不正犯の攻撃手口も巧妙化していることから、新たな攻撃手口への速やかな対応が必要となる。
さらに、フィッシングやウィルス感染、EC サイト改ざんによる不正画面への遷移など、カード会員から直接カード情報等を窃取する攻撃手口も存在するため、消費者に対する被害の未然防止のための啓発等も併せて行うことも必要である。
非保持化実現加盟店に対し、決済端末やソリューション等を提供する事業者においては、
本実行計画に基づく非保持の状態が維持されるように、各事業者が連携の上、端末やソリューション等の機能・仕様面で情報漏えい防止のための必要なセキュリティ対策を講じることが必要である。

Diners Club は Discover のグループであり、PCI DSS においては Discover の基準を適用している。
PCI DSS については別紙を参照。
7 非保持と同等/相当については、2.（1）②（メールオーダー・テレフォンオーダー等の非対面加盟店における非保持化について）及び 2.（2）（対面加盟店におけるカード情報の非保持化について）を参照。
5
6

11

２．加盟店におけるカード情報の非保持化の推進について
本協議会は、加盟店におけるカード情報保護のための第一の対策として非保持化を基本とした取組を推進する。
非保持化は PCI DSS 準拠とイコールではないものの、カード情報保護という観点では同等の効果があるものと認められるため、実行計画においては、PCI DSS 準拠に並ぶ措置として整理する。
本実行計画で示す加盟店における「非保持化」とは、カード情報を保存する場合、それらの情報は紙のレポートやクレジット取引にかかる紙伝票、紙媒体をスキャンした画像データ
等 8 のみであり、電磁的に送受信しないこと、すなわち「自社で保有する機器・ネットワー
クにおいて『カード情報』を『保存』、『処理』、『通過』しないこと」をいう。また、決済専用端末 9から直接外部の情報処理センター等に伝送している場合も「非保持」に該当する。
非保持化実現により、仮にマルウェアや標的型攻撃を受けた場合でもカード情報を自社で保持していないため、漏えいしたカード情報を利用した偽造カードやなりすましといった不正利用の未然防止が可能となる。
特に EC 加盟店については、カード情報を保持しないシステム（カード情報非通過型）への移行による非保持化の実現を強く推奨していく。加えて、EC 加盟店の中には、自社サイ
トにカード情報を含む決済情報等のログが蓄積されるなどのシステム的問題点を認知できていないケースもあることから、これら加盟店に対する注意喚起を行う。
なお、非保持化（非保持と同等/相当を含む）ソリューションを提供する事業者等は、非保持化実現加盟店における顧客照会等の運用実態を踏まえたサービスの提供に留意する必要がある（後述「（3）非保持化を実現した加盟店における顧客対応について」を参照）。
（１）非対面加盟店におけるカード情報の非保持化について
非対面加盟店における非保持化の推進は、不正アクセスによる外部への情報漏えい被害を極小化する観点において有効な対策であり、本実行計画において以下に例示する方式により非保持化の実現が可能である。このほか、PCI DSS に準拠した外部委託先が提供するカード情報保護対策ソリューションを活用し、非保持化を実現することも有効な対策となり得る。

本実行計画において、①紙（クレジット取引伝票、クレジットカード番号を記した FAX、申込書、メモ等）、②紙媒体をスキャンした画像データ、③電話での通話（通話データを含む）においてカード情報を保存する場合には、「保持」とはならない。
注 1）①〜③以外において非保持化（非保持と同等/相当を含む）が実現されていることが前提。
注 2）PCI DSS 準拠を目指す加盟店においては、本実行計画の内容にかかわらず、PCI DSS に則って取組むことに留意する必要がある。
9 CCT（Credit Center Terminal）及びそれと同等以上のセキュリティレベルのものをいう。
812①EC 加盟店への対応
PSP を利用する EC 加盟店におけるカード決済システムにおいては、カード情報がEC 加盟店の機器・ネットワークを通過する「通過型」と、通過しない「非通過型」に大別される。
通過型は、カード情報が EC 加盟店の機器・ネットワークを「通過」して「処理」されるため、EC 加盟店に意図せずカード情報が「保存」されることがある。このため、外部からの不正アクセスやマルウェア等により「保存」されていたカード情報又はシス
テム改ざんや機器の脆弱性により「通過」するカード情報を窃取されるリスクが高く、
過去に報告されたカード情報の漏えい事故の大半が、この「通過型」の EC 加盟店からのものであった。
一方、非通過型は、カード情報が EC 加盟店ではなく、PSP の機器・ネットワークを「通過」して「処理」され、EC 加盟店はカード情報を「通過」、「処理」、「保存」することはないため、EC 加盟店における非保持化を実現するセキュリティ措置として推奨されるものである。ただし、非通過型の決済サービスを提供する PSP が PCI DSS 準拠
済みであることが前提である。
よって、EC 加盟店におけるカード情報の非保持化を推進するため、PCI DSS 準拠済
みの PSP が提供するカード情報の非通過型（「リダイレクト（リンク）型」又は「JavaScript 型（トークン型）」）の決済システムの導入を促進することとする。なお、非通過型を導入した場合であっても、EC サイトの開発・運用段階での対応が不十分であると、
カード情報が漏えいするリスクは残ることから、EC サイトの脆弱性対策を行うことは重要である。
なお、非通過型を導入した EC 加盟店において、業務の都合上、PSP 等より還元されたカード情報を保持する場合には PCI DSS 準拠が必要である。
■新規の EC 加盟店
カード会社（アクワイアラー）及び PSP は、新規にクレジットカードを利用して EC取引を始める加盟店に対して、非通過型の決済システムの導入を強く推奨し、通過型を導入する場合は、カード情報を保持することになるため、PCI DSS 準拠を求める。
■通過型システムを導入している EC 加盟店
既に通過型を導入している EC 加盟店は、PCI DSS 準拠を維持・運用する。
また、自社サイトにカード情報を含む決済情報等のログが蓄積されるなどのシステム的問題点を認知できていないケースもあることから、カード会社（アクワイアラー）及び PSP は、引き続き加盟店に対する注意喚起を行い、不要なシステムログ等の消去を求める。さらに、EC 加盟店において、通過型か非通過型の認識がなく、カード情報の漏えい事故が発覚してから、通過型を採用していたことを認識した事例もあることから、注意が必要であり、カード情報を保持しない非通過型への移行を強く推奨し、カード情報を保持する場合は PCI DSS 準拠を求める。

13

【非通過型（リダイレクト（リンク）型）】【非通過型（Java Script 型 ※トークン型の場合）】②メールオーダー・テレフォンオーダー等の非対面加盟店における非保持化について
メールオーダー・テレフォンオーダー等の EC 加盟店以外の非対面加盟店（以下「MO・TO 加盟店」という）においては、顧客から電話・FAX・はがき等でカード情報を入手
し、MO・TO 加盟店の機器においてカード情報を入力し決済を行うため、カード情報を
電磁的情報として自社内に「通過」させない外回り方式を導入することにより、非保持化を実現することが可能となる。また、クレジットカード番号を特定できない状態とし、自社内で復号できない仕組みとすれば、仮に窃取されてもカード情報として不正に利用

14

することは極めて困難であるため、PCI P2PE 10（PCI Point to Point Encryption）認定
ソリューションを導入することにより、非保持と同等/相当のセキュリティ措置を実現することが可能となる（この場合には、PCI DSS 準拠までは求めないこととする）。
■外回り方式
カード情報を紙媒体のまま保存する場合や要件を満たした決済専用端末やタブレッ
ト端末を活用した外回り方式 11（自社で保有する機器・ネットワークにおいて、カード情報を「保存」、「処理」、「通過」しない）にて決済を行う場合には、非保持となる。
【外回り方式（決済専用端末を利用した方式）】※ASP は Application Service Provider の略※決済 GW は決済ゲートウェイの略【外回り方式（タブレット端末を利用した方式）】｢PCI P2PE」とは、カードリーダーデバイスから決済処理ポイントまでカード会員データを安全に伝送処理する仕組みで、PCI SSC（Payment Card Industry Security Standards Council）に認定されたソリューション。
11 詳細については「【追補版】メールオーダー・テレフォンオーダー加盟店における非保持化対応ソリューションについて」を参照。
1015

■内回り方式
MO・TO 加盟店において、PCI P2PE 認定ソリューションを導入した場合には、非保持と同等/相当のセキュリティ措置となる。
なお、カード情報を電磁的情報として、自社で保有する機器・ネットワークにおいて「保存」、「処理」、「通過」する場合においては、PCI DSS 準拠を求める。
【内回り方式（PCI P2PE 認定端末を利用した方式）】（２）対面加盟店におけるカード情報の非保持化について
対面加盟店におけるカード情報の非保持化の推進は、特に POS システムを導入している加盟店において課題となるが、POS 機能と決済機能を分離し、加盟店あるいはカード会
社等が所有する決済専用端末から直接外部の情報処理センター又は ASP/クラウドセンタ
ー等に伝送される外回り方式（決済専用端末連動型・ASP/クラウド接続型）を導入する
ことにより、非保持化を実現することが可能となる。また、クレジットカード番号を特定できない状態とし、自社内で復号できない仕組みとすれば、仮に窃取されてもカード情報として不正に利用することは極めて困難であるため、PCI P2PE 認定ソリューションの導入又は本協議会において取りまとめた技術要件に適合するセキュリティ基準（11 項目）12を満たすことにより、非保持と同等/相当のセキュリティ措置を実現することが可能となる（この場合には、PCI DSS 準拠までは求めないこととする）。
ただし、カード会社や ASP/クラウドセンター等を運営する事業者（以下「ASP 事業者」という）より、カード情報の還元を受け自社で保有する機器・ネットワークにおいて「保存」、「処理」、「通過」している場合（決済以外の目的の場合も含む）には、カード情報を保持している扱いとなる。

12

詳細については「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について」を参照。

16

■決済専用端末連動型・ASP/クラウド接続型（外回り方式）「決済専用端末連動型」・「ASP/クラウド接続型」（外回り方式）は、加盟店あるいはカード会社等が所有する決済専用端末から直接外部の情報処理センター又は ASP/クラウドセンター等に伝送される方式である。
両方式とも、決済機能は POS システムの外側となるため、オーソリゼーションやク
レジットカードの売上処理は、カード情報を POS 端末や POS システムの機器・ネット
ワークに「保存」、「処理」、「通過」せずに行われ、カード情報の非保持化が実現できる。
なお、POS システムを導入せず「IC 対応した決済専用端末」のみを使用し、直接外部の情報処理センター等に伝送している加盟店も非保持となる。
【決済専用端末連動型（外回り）】【ASP/クラウド接続型（外回り）】※POS 連動する「決済結果」にはカード情報を含めないこと■ASP/クラウド接続型（内回り方式）
オーソリゼーションやクレジットカードの売上処理のため、カード情報が決済端末から POS システム又は社内システムを介して外部の情報処理センター又は ASP 事業者等
外部事業者へ伝送される方式である。
この場合、カード情報が自社で保有する機器・ネットワークを「保存」、「処理」、「通過」するため、PCI DSS 準拠が必要となる。
非保持と同等/相当のセキュリティ措置としては、PCI P2PE 認定ソリューションの導入又は本協議会において取りまとめた技術要件に適合するセキュリティ基準（11 項目）を満たすことが求められる。

17

【ASP/クラウド接続型（内回り）】（３）非保持化を実現した加盟店における顧客対応について
現在、クレジットカードを利用した顧客からの返品や購入金額の訂正等の照会に対しては、クレジットカード番号等を用いて加盟店とカード会社間で対応している。
非対面加盟店においては、通常 PSP がカード情報を保有しているため、カード情報を非保持化した場合でも、PSP が仲介を行うことで従来どおり対応が可能である。
対面加盟店のうち決済専用端末を導入している加盟店においては、クレジットカード番号の一部非表示化が図られており、一部非表示化されたクレジットカード番号に加え、利用日、利用金額、端末番号、伝票番号等による照会が行われている。
非保持化実現時の照会等対応において、クレジットカード番号以外の取引を特定するための照会キー（伝票番号、取引日時、金額等）はあるものの、クレジットカード番号以外の照会キーのみでは対象取引を特定できないこともある。また、全ての加盟店・カード会社が一律、同レベルの対応を行うことは現状困難であるため、クレジットカード番号を基本として双方照会する必要がある。
非保持化実現加盟店が顧客照会等の際、クレジットカード取引にかかる紙伝票（加盟店
控え、お客様控え）等の紙媒体、紙媒体をスキャンした画像データ、電話での通話（通話データを含む）を利用する方法や、PCI DSS に準拠した ASP 事業者が提供するセキュリ
ティ対策が施された環境に加盟店がアクセスし、一時的にクレジットカード番号を入手・利用する方法は、非保持化後も認められる。なお、各加盟店の運用実態は異なり、顧客対18応についても一律的な対応とすることは困難であることから、運用上の課題については各加盟店、カード会社、必要に応じて ASP 事業者等が連携の上、個別に検討を進めることが重要である。
（４）非保持化を実現した加盟店における過去のカード情報保護対策について
非保持化実現加盟店において、電子帳簿保存法に基づく管理が求められ、非保持化対応
完了以前に取り扱った過去のカード情報を画像データ以外のテキスト形式等で電子帳票として保存する場合、本協議会にて定めたセキュリティ対策 13を行う必要がある。
３．PCI DSS 準拠の推進について
本協議会は、日本カード情報セキュリティ協議会（以下「JCDSC」という）等とともに、
PCI DSS に関する認知度を向上させるためのセミナー開催等による周知活動の推進と、その準拠に向けた加盟店等の取組をサポートするための体制の構築に継続して取組む。
（１）PCI DSS に関する認知度の向上及び準拠への取組促進に向けた情報提供
本協議会は JCDSC 等の協力を得て、クレジットカード取引に関係する各事業者の PCI
DSS 準拠への取組促進のため、PCI DSS に関するセミナーの開催等の周知活動を行う。
（２）PCI DSS 準拠に向けた加盟店等へのサポート体制について
JCDSC 等は本協議会と協力して、カード情報を保持する加盟店等が PCI DSS 準拠に向けた円滑な対応を図ることをサポートするため、以下の対応に取組むこととする。
①PCI DSS に関する理解促進のための講師派遣
カード会社向け、関係業界団体・加盟店等向けに PCI DSS の内容や準拠に向けた手
続き等に関する理解促進を図るための講師派遣を行う。
②PCI DSS に関する理解促進のためのコンテンツの提供・展開
・加盟店等向けの PCI DSS に関する基礎的資料（規格内容、解説、FAQ 等）を提供する。
・各種説明会等で使用する資料（コンテンツ）を作成し提供する。
・自社システムの現状理解に資する簡易な自己診断票を作成し提供する。
③相談窓口の設置
・PCI DSS に関する質問や意見、問い合わせ等に対応するために開設した専用窓口（http://www.jcdsc.org/inquiry.php）を維持・運用し、関係業界団体、加盟店等の問い合わせ、説明会の開催依頼等の要望に応えられるようにする。

13

ネットワークを利用しない「スタンドアローン環境」での保管・利用することが必須条件。詳細については、「非保持化実現加盟店における過去のカード情報保護対策」を参照。

19

④加盟店等向けの PCI DSS 準拠に向けた分かりやすいツール等の用意
・相談者が理解しやすいよう認定審査機関（QSA 14（Qualified Security Assessor））
各社の特徴等を記載したリスト等を作成し、JCDSC サイトを通じて提供する。
（http://www.jcdsc.org/qsa-asv.php）⑤専門人材の育成
・PCI DSS 準拠に取組む加盟店等へのサポートニーズの拡大に対応するため、QSA の人員体制の整備・拡充を図る。
・PCI DSS 準拠に関し、QSA による審査に代替し得る内部監査を行うことのできる専門人材として、ISA 15（Internal Security Assessor）等の人材育成を支援する。
４．カード情報を取り扱う事業者の PCI DSS 準拠の推進について
カード情報を取り扱うカード会社及び PSP については、業務上大量のカード情報を管理・利用しており、クレジットカード取引に係るインフラの一端を担う重要な役割に鑑み、PCI
DSS 準拠は当然の責務である。仮に、このような重要なポジションを占める事業者が PCI
DSS に準拠しない場合、クレジットカード取引システム全体への脅威ともなりかねないこと
から確実な対応が必要である。なお、カード会社や PSP に限らずカード情報を取り扱っている事業者も同様の対応が求められる。
これらカード情報を取り扱う事業者については、PCI DSS 準拠に加えて、巧妙化するサイバー攻撃への対応を含むセキュリティ対策の改善・向上・維持に向けた継続的な取組が重要であることを認識する必要がある。
５．カード情報漏えい時の対応について加盟店からカード情報が漏えいした際に被害の拡大を防ぐために、取引に関係するカード会社及び PSP は早急にリスク回避に向けた行動を起こす必要がある。具体的には、日本クレジット協会において策定した「クレジットカード情報漏えい時および漏えい懸念時の対応要領」を有事の際の参考にしつつ、二次被害の防止に努めることとする。
また、カード情報の漏えい事案が発生した加盟店は、被害の拡大を防止するために初動対応として漏えい元（データベース等）のネットワークからの切り離し、カード決済の一時停止等の措置及び PCI DSS 準拠等再発防止のための適切な措置を講じる。
カード決済の再開については、契約カード会社（アクワイアラー）等は、再発防止のための措置等の対応状況を十分に確認する必要がある。なお、PCI DSS 準拠等の再発防止のための適切な措置の具体的な内容は、当該加盟店と契約カード会社（アクワイアラー）等で協議の上で決定することとする。
PCI SSC に認定されたセキュリティ評価機関。加盟店やサービス・プロバイダーへのインタビューやドキュメント、サーバーなどの訪問審査を正式に行うことができる。
15 PCI SSC によるトレーニングを受け、証明書を受領して、組織の内部の PCI DSS 自己評価を行うことができる内部監査人のこと。ISA の資格を取得している内部監査人がいる企業は、QSA の審査を受けずに PCI DSS の準拠が可能となる。
1420

６．各主体の役割について
カード情報の適切な保護を推進するためには、カード情報を取り扱う事業者全てが自主的な取組を進めることが重要である。
なお、各主体がカード情報を取り扱う業務を外部委託する場合は、委託者自身が委託先のセキュリティ状況を確認し、責任を持って PCI DSS 準拠等の必要な対策を求めていくこととする。また、複数の委託者からカード情報を取り扱う業務を受託する又はショッピングカ
ート機能等のシステムを提供する事業者は、自社システムにおけるカード情報の保持状況について確認の上、PCI DSS 準拠等の必要な対策を行うことが求められる。
以下、各主体に求められる役割等について整理する。
（１）加盟店
・非対面加盟店については、原則として非保持化（カード情報を保持する場合は PCI DSS準拠）を推進してきたが、引き続き、改正割賦販売法が施行されたことを踏まえ、その取組を継続していくこととする。
・対面加盟店については、同法の施行日までの対応が基本となるが、最終的には、全加盟店において 2020 年 3 月末までにカード情報の適切な保護に関する対応として非保持化（非保持と同等/相当を含む）又は PCI DSS 準拠が完了していることを目指す。なお、各加盟店において、PCI DSS 準拠に向けて対応を進める場合には、情報漏えいやそれに伴う不正利用が発生している現状に鑑み、早急に対処する必要があることから、カード会社（アクワイアラー）や QSA と連携しつつ、情報漏えいリスクの高いところから優先的にカード情報保護対策の強化に取組むことが重要である。対応完了後は情報漏えい防止のためのセキュリティ対策を維持・運用する。
・非対面及び対面取引の両方を行う加盟店における対面取引に係るシステムについては、上述のとおり、最終的には、全加盟店において 2020 年 3 月末までに非保持化（非保持と同等/相当を含む）又は PCI DSS 準拠が完了している状態になっていることを目指す。
・カード情報の保護においては、カード情報の窃取を企図する者の最新の攻撃手口等の情報を踏まえて、不断に自社のセキュリティ対策の改善・強化を図る。
（２）カード会社
・カード情報を取り扱うカード会社は、外部からの不正侵入やカード情報の外部への漏えい等といった外的脅威によるリスクを極小化し、かつ予見される様々なリスクに厳格に対処するため PCI DSS に準拠し、これを維持・運用する。このほか、関係法令・ガイ
ドライン等を参照し、リスクに応じた必要なセキュリティ対策を講じるとともに、適切な管理・運用を行う。
・カード会社（アクワイアラー）は、PSP と連携の上、加盟店に対しカード情報保護対策について必要な助言や情報提供等を行い、非保持化（非保持と同等/相当を含む）又は
PCI DSS 準拠完了を推進する。

21

・カード会社（アクワイアラー）は、PCI DSS 準拠を完了していない PSP がある場合には可及的速やかに準拠を完了するよう必要な指導を行う。なお、カード会社（アクワイアラー）は、PCI DSS に準拠していない PSP との取引の見直しを進める。
・なお、EC 加盟店や決済サービスを提供する PSP の中には、セキュリティ対策に関する意識が低い者も少なくないことから、本実行計画の推進にあたっては、これら加盟店、
PSP への丁寧な対応に留意する。
・カード会社（イシュアー）は、フィッシングやウィルス感染、EC サイト改ざんによる
不正画面への遷移など、カード会員から直接カード情報等を窃取する手口も存在するため、消費者に対する注意喚起及びセキュリティ対策の必要性等の啓発を行う。
（３）PSP・カード情報を取り扱う PSP は、カード会社（アクワイアラー）と同様、PCI DSS に準拠し、これを維持・運用する。
・PSP は、カード会社（アクワイアラー）と協力して、加盟店に対しカード情報保護対策について必要な助言や情報提供等を行い、その取組を支援する。
（４）国際ブランド・我が国のクレジットカード取引の実態を踏まえ、本実行計画に掲げるカード情報保護対策の実現に向け、国際ブランドの各種ルール等との調整を行い、各種課題の解決に向けて関係事業者と協働して取組む。
・グローバルな観点から、海外におけるカード情報保護に関するリスクや各種課題、我が国における国際水準のセキュリティ環境の整備の必要性等について、事業者向けや消費者向けの情報共有・発信に取組む。
（５）行政・業界団体等
・行政は、改正割賦販売法によりカード情報の適切な管理が加盟店にも義務付けられたことを踏まえ必要な措置が確実に導入されるよう、カード会社（アクワイアラ−）等を通じた加盟店に対する指導を徹底する。また、国際ブランド等と協力して、本実行計画の着実な実施に向け、事業者向けや消費者向けの情報発信に取組む。
・日本クレジット協会は、カード会社（アクワイアラー）と連携し、改正割賦販売法が施行されたことを踏まえ、本実行計画に掲げるカード情報保護対策の必要性について加盟店に対する周知活動を徹底するとともに、加盟店の業界団体、消費者団体等との連携を強化し、事業者・消費者向けの情報発信に取組む。
・日本クレジット協会は、行政と連携の上、他の情報セキュリティに係る関係機関との連携・情報共有を図り、クレジット取引に関係する事業者等に対して適時情報発信を行う。
・政府の情報セキュリティ政策会議において、クレジット分野は、国の重要インフラの一つに指定されており、「重要インフラ情報セキュリティ第 4 次行動計画」（2017 年 4 月

2218 日付）に基づき、官民連携による重要インフラ防護を推進していく。具体的な取組としては、「クレジット CEPTOAR における情報セキュリティガイドライン」に基づき、重要インフラ事業者における安全基準等の整備・浸透、情報共有体制の強化等を図ることとする。
７．2019 年度中に重点的に実施すべき具体的な取組について
2019 年度では、以下の具体的な取組により、各主体における取組を加速化させていくこととする。
（１）非対面加盟店向けのカード情報保護対策の推進
・日本クレジット協会は、行政、公益社団法人日本通信販売協会、PSP 関係団体等と連携し、カード会社（アクワイアラー）や PSP の実務担当者等向けの研修・セミナー等を開催する。本取組を通じて、加盟店におけるカード情報保護対策、特に非保持化（非保持と同等/相当を含む）が求める要件や仕組み、漏えい事故の傾向とその対策について周知活動を強化することとする。
・EC におけるカード情報の漏えいの発生状況等を踏まえ、EC 加盟店においては非通過型の導入を基本とする取組を確実に実施し、委託先事業者については PCI DSS 準拠等必要な対策を講じる。
・非対面加盟店は、カード会社（アクワイアラー）及び PSP と連携の上、必要に応じて
日本クレジット協会が開催する説明会・セミナー等を活用しつつ、カード情報保護対策の取組を推進する。
（２）対面加盟店向けのカード情報保護対策の推進
・対面加盟店は、カード会社（アクワイアラー）と連携の上、必要に応じて日本クレジット協会が開催する事例セミナー等を活用しつつ、カード情報保護対策の取組を推進する。
・日本クレジット協会は、加盟店業界団体や情報処理センター等の協力を得て、対面加盟
店向けのカード情報保護対策を推進するための事例セミナー等を開催し、最新の動向について情報共有を行う場を提供することを通じて、改正割賦販売法及び本実行計画に基づくカード情報保護対策を引き続き推進する。
（３）本実行計画と PCI DSS の関係についての理解促進
・本実行計画では、加盟店におけるカード情報保護対策として「非保持化（非保持と同等/相当を含む）」を達成した場合には PCI DSS 準拠を不要としているが、非保持化に加え、事業者の判断で PCI DSS 準拠することを否定するものではない。
・カード情報を取り扱う事業者が PCI DSS に準拠する場合には、本実行計画の内容にかかわらず、全ての PCI DSS 要件（12 要件）を満たすことが求められる。関係事業者においては、こうした本実行計画と PCI DSS の関係性についても理解の上、カード情報保護の対策を推進する。

23

（４）カード情報保護対策に関する状況把握と新たな共有すべき課題への対応
日本クレジット協会は、カード会社、PSP 及び加盟店におけるカード情報保護対策の取
組状況の把握に努める。加盟店におけるカード情報保護対策の状況把握については、カード会社（アクワイアラー）及び PSP と連携の上、これを実施する。また、本実行計画を推進する上での新たな共有すべき課題等がある場合には、本協議会において必要な検討を行う。

24

Ｂ．クレジットカード偽造防止による不正利用対策の強化に向けた実行計画
１．クレジットカードの IC 取引の実現に向けた取組について
我が国のクレジットカード取引は、いまだ磁気情報での取引が大半を占めており、犯罪組
織等がその情報を窃取し、偽造カードを生成して不正に利用される被害が後を絶たず、その対策として IC 取引を推進することが喫緊の課題である。また、海外では大手加盟店の POSシステムがウィルスに感染し、そこで決済したカード情報を含む顧客情報が大量に窃取されるという事案が頻発していたことから、特に最大の被害国である米国では偽造カードによる不正利用対策として IC 対応が急速に進められた。
今後、2020 年の東京オリンピック・パラリンピック競技大会に向けて、訪日外国人の更なる増加が見込まれるが、海外、特に欧州等ではほぼ 100%が IC 取引となっており、磁気情報による取引の継続は我が国のクレジットカード取引のセキュリティ対策が脆弱であるとの印象を与え、安全・安心を求める訪日外国人の需要の取込を阻害する要因にもなりかねない。
加盟店等においてカード情報を窃取されたとしても窃取された情報を用いて偽造 IC チッ
プを生成することが困難であること等の利点から、現状では、IC 取引の実現が、カードの偽造防止の唯一無二の対策である。
クレジットカード業界においては、2000 年代以降のクレジットカード IC 化の取組により、IC 化率は 2018 年 12 月末時点で、82.0%16の進捗となっており、2020 年 3 月までに IC 化
100％の達成が求められている。対面加盟店においても改正割賦販売法に基づく不正利用防止義務の具体的措置として IC 対応が求められており、偽造カードによる不正利用を防止するためには、カードの IC 化と加盟店端末の IC 対応の両面によりその効果が最大限に発揮されることから、クレジットカード業界の各主体が協力し合い、推進して行くことが必要である。
加盟店における IC 端末の整備については、本実行計画に基づき、中小の加盟店 17を中心に、CCT 等の決済専用端末の IC 対応への切替が順調に進捗しており、POS システムを導入している加盟店においても IC 対応の取組が求められている。
前述の諸外国における IC 対応の普及状況とともに、IC 取引の実現がカードの偽造防止の唯一無二の対策であることを踏まえれば、我が国における IC 対応が急務であることは明白であり、対応の遅れは、世界の中で日本がセキュリティホールとなる蓋然性を極めて高くす
るとの危機感を持って、各事業者においては IC 対応を進める必要がある。
改正割賦販売法の施行を踏まえ、決済端末の IC 対応について、同法の施行日までの対応
日本クレジット協会が会員企業 239 社に対して国際ブランド付きカードを対象として行った調査の結果、2018 年 12 月末時点で 100%IC 化を達成している企業は 103 社。
17 平成 27 年度予備費により、IC 対応の決済端末の導入も支援対象とする「軽減税率対策補助金」を措置しており、その活用促進に向けた周知を図ることで、中小加盟店における IC 対応を支援する。
（平成 28 年度第 2 次補正予算では、「地域未来促進事業（うち、商店街・まちなか集客力向上支援事業）」
や「小規模事業者販路開発支援事業（小規模事業者持続化補助金）」においても支援の対象としている。）
16

25

が基本となるが、最終的には、全加盟店において 2020 年 3 月末までに IC 対応が完了していることを目指す。
２．IC 取引時のオペレーションルール・ガイドラインについて（１）IC 取引時のオペレーションルール
本協議会では、IC 取引の普及の前提となる接触・非接触の IC カード及び IC 対応決済
端末による取引におけるオペレーションルールの検討を行った。本協議会での検討結果を踏まえ、国際ブランドとの最終調整を経てルールが確定し、我が国のクレジットカード業
界の IC 取引時のオペレーションルールとして、日本クレジット協会により、会員カード
会社向けのガイドライン「IC 取引における本人確認方法に係るガイドライン」及び「本人確認不要（サインレス/PIN レス）取引に係るガイドライン」を策定した。カード会社、加盟店及び機器メーカー等は、当該ルールに基づいて対応することとする。
なお、訪日外国人が使用する海外発行のクレジットカードの場合、海外カード会社（イシュアー）のセキュリティ設定により、国内の加盟店での IC 取引において本人確認方法
等についてオペレーションが異なる場合があることに留意する。
（２）IC カード対応 POS ガイドライン・非接触型 EMV 対応 POS ガイドライン
本協議会では、POS の IC 対応に係る具体的な方策ごとに技術面・コスト面の観点からコスト構造を可視化し、その上で、ソフトウェアの共通化等によるコスト低減策を取りまとめるとともに、今後 IC 対応を図る加盟店等の円滑な移行に資するため、IC 取引時のオ
ペレーションルールを策定した。
これらの成果を含め、POS 端末を製造する機器メーカー向けに、接触 IC 取引を対象とした「IC カード対応 POS ガイドライン」を、接触型と非接触型の POS 端末の同時導入を志向するニーズに応えるため「非接触型 EMV 対応 POS ガイドライン」（ガイドライン
は必要に応じて順次改訂）を策定し、カード会社、機器メーカーや加盟店等に周知した。
（３）IC 取引における本人確認方法①接触 IC 取引
接触 IC 取引の導入の目的はセキュリティ向上であり、カード偽造防止のみならず、
紛失・盗難カードによる不正利用被害の抑制のためには、「オフライン PIN（Personal
Identification Number、暗証番号のこと）」 18が我が国の決済システムを考慮すると現状では最適な本人確認方法である 19。また、現在約 140 万台の IC-CCT 端末設置加盟店「オフライン PIN」とは、カード利用時に会員が入力した数字と、カードの IC チップ内に保存された
PIN とを照合するものであり、一方、オンライン PIN は、オンラインネットワークを経由してカード会
社（イシュアー）のシステム上で照合するものである。
19 接触 IC 取引、非接触 IC 取引ともに「オンライン PIN」の導入については、国際的な決済インフラの状
1826

では、「オフライン PIN」をクレジットカード業界として推進してきたことを踏まえ、接触 IC 取引における本人確認方法を以下のとおりとする。
・国内では原則オフライン PIN 環境のもとで IC 取引を行うことから、国内の IC 決済
端末はオフライン PIN 機能及びサイン記入欄印字機能の装備を必須とする 20。また、国内（国内イシュアー発行カード）取引については、原則オフライン PIN での取引を実現するために、IC チップの設定上、オフライン PIN を必須とする。
・ただし、売場形態等の事由により、PIN 取得による本人確認を直ちに行うことが困難であり、IC 取引普及の阻害要因となりうるケースにおいては、PIN 対応への措置を継続検討していくことを前提に、当面の間、例外として接触 IC 取引においてもサインによる本人確認を許容する。
例 1）飲食店等のテーブル決済 等
例 2）既にサインを前提とした端末設置加盟店 等
・PIN 入力スキップ機能（以下「PIN バイパス」という）の利用は、会員の PIN 失念
等の一時的な救済措置としてカード会員の申し出に基づいて行われているが、海外カード会社（イシュアー）のカードの利用では、PIN バイパスを許容しないカードも存在し利用阻害が発生することや、PIN バイパスによって本人確認を実施しない場合において不正利用被害が発生していることを踏まえ、日本クレジット協会及びカード会
社は、目的外利用の制限、代替策による対応を含め PIN バイパスの将来的な廃止に向けて検討を継続する。
②非接触 IC 取引
非接触 IC 取引の形態は「モバイル型」や「カード型」に限らず、「キーホルダー型」「ウェアラブル型」等がある。
非接触 IC カードの取引の多くは CVM リミット金額 21以下になることが想定されるため、消費者の利便性も勘案し、以下のとおりとする。
・CVM リミット金額以下は、本人確認不要とする。
・CVM リミット金額超は、次のとおりとする。
1）モバイル型等での取引では、原則 Consumer Device CVM（モバイル端末等における認証（モバイル PIN/指紋等））とする。
2）カード型等での取引では、原則、接触 IC 取引のオフライン PIN 入力とする。
ただし、オフライン PIN 機能環境に対応できない、カード型等での取引がサインを要求する場合 22、これを許容する。

況を見つつ、将来的な課題とする。
一部の海外発行カードでは、オフライン PIN 環境では利用を許容しないカードが存在するため、サイン
記入欄印字機能の装備も必要である。また、現在 POS で読み取りしている磁気カード処理は IC カード
R/W 処理を行うこととする。
21 「CVM（Cardholder Verification Method）リミット金額」とは、本人確認不要上限金額のこと。当該金額までの取引であれば本人確認を不要とする。
22 接触 IC 取引の PIN 入力に対応出来ないカード会社（イシュアー）や国際ブランドがあり、この場合に20

27そのため、日本国内の端末は「No CVM（本人確認不要）機能」「 Consumer Device CVM
機能」「サイン記入欄印字機能」の装備が必要となる。
（４）本人確認不要（サインレス/PIN レス）加盟店のオペレーション①本人確認不要加盟店の是非
取引の安全性が確保できる環境であることを前提に、現在の磁気取引において、一部例外的に実施しているサインレス取引の売場等での IC 対応推進の観点において、接触
IC 取引についても、本人確認不要取引を認める。
なお、接触 IC での本人確認不要取引を実現させるための具体的な端末の実装方式としては、セレクタブルカーネルコンフィグレーション方式を採用する。セレクタブルカ
ーネルコンフィグレーション方式とは、決済アプリケーションの機能により取引単位で端末の機能（本人確認方法）を切り替える EMV カーネル 23の実装方式であり、EMV 仕様に準拠しつつ、PIN 対応、サイン対応の両方の取引を一つの装置で実現する方式である。
本方式により、原則オフライン PIN の考え方に則り、CVM リミット金額以下は本人確認不要取引を認めつつ、CVM リミット金額超ではオフライン PIN での本人確認が実現可能となる。
機器メーカー等において、本方式の実装に引き続き取組むこととする。
②本人確認不要加盟店の対象及び本人確認不要加盟店での除外商品
従来の磁気取引において、一部例外的に実施しているサインレス取引の売場等を前提に、本人確認を求めることがクレジットカード取引の阻害要因となり、また本人確認が不要となることにより決済処理の迅速性が増し、クレジットカード取引（キャッシュレス化）の普及に寄与する業種/業態を本人確認不要加盟店の対象とする。
ただし、不正利用のリスクが低い業種/売場等であることを前提とし、不正利用防止の観点から換金性の高い商品を除外する。
③CVM リミット金額
磁気取引・接触 IC 取引・非接触 IC 取引の種別による CVM リミット金額の差異が加盟店オペレーションの混乱を誘発しないよう、本人確認不要加盟店における CVM リミ
ット金額は統一することが望ましい。
よって、現在の磁気取引において一部例外的に実施しているサインレス取引の売場等
は、仕様の実効性について以下の検討が必要となる。
① カード会社（イシュアー）の非接触 IC カードの IC チップ仕様によっては、非接触 IC から接触 ICへの切替設定が可能な場合があることから、端末機能として、EMV 仕様に基づき接触 IC へ切替（誘導）するガイダンスを表示する等の対応が必要である。
② 非接触 IC での CVM リミット金額超取引において、加盟店が「接触 IC 取引へ誘導」することを選択することが可能である。ただし、「モバイル型」や一部の海外イシュアーのカード等、接触 IC が搭載されず非接触 IC のみが搭載された非接触 IC カード等が存在するため、接触 IC 取引への誘導については、「同一カードに非接触 IC と接触 IC の両方が搭載されたカード」に限定される。
23 「EMV カーネル」とは IC クレジット決済処理を行うために必要な処理等を行うためのソフトウェア。

28

の既存加盟店における設定金額に一定の配慮をしつつ、各国際ブランドと協議を行った
結果、上記②の換金性の高い商品を除き CVM リミットの基準となる金額を定め、それ以下は本人確認不要とすることとした。
④本人確認不要加盟店でのオーソリゼーションの要否
紛失・盗難のリスクを踏まえたセキュリティの確保の観点から、オーソリゼーションを実施すべきであるため、接触 IC 取引は全件オンラインオーソリゼーションを必須とする。
（５）特定業界向けの IC 対応指針の策定
ガソリンスタンドにおける IC 対応については、フルサービススタンドでの車内精算等
日本固有の商慣習、セルフスタンドでの給油機一体型の自動精算機、その他防爆準拠（消防法等）の課題があり、現行の決済インフラやオペレーションの全てを国際基準に則った環境とすることは、現状困難 24であることを踏まえ、2020 年時点での IC 対応における実現可能な方策を示した「国内ガソリンスタンドにおける IC クレジットカード取引対応指針」を取りまとめた。
また、国内での業務特性や設置環境等のため広く普及しているオートローディング式の自動精算機については、国際的なセキュリティ基準である PCI PTS 25をオフライン PIN の機能環境に完全準拠させることは技術的に難しいことから、代替コントロール事例を示す「オートローディング式自動精算機の IC 対応指針と自動精算機の本人確認方法について」を取りまとめた。
３．コスト低減を踏まえた POS システムの IC 対応に関する方策について
POS システムの IC 対応を推進するため、IC 対応手法について技術面、コスト面からの整理を行った。
（１）各方策の検証について
IC 対応に関し、各加盟店の現行システムや店頭オペレーション等の特徴を踏まえ、コ
スト負担の低減が図れる方法について、決済専用端末（CCT）連動型、決済サーバー接続
型、ASP/クラウド接続型に大別 26し、EMV カーネルを加盟店のシステムの外側に置くこ

セルフスタンドでの給油機一体型自動精算機の PCI PTS 準拠機器、及びフルサービススタンドでの車内精算時使用の防爆（消防法等）に準拠したハンディ型端末機器が存在しないため。なお、平成 30 年 8
月 20 日消防危第 154 号通知「給油取扱所において携帯型電子機器を使用する場合の留意事項について」に基づき、今後、ハンディ型該当端末機器の導入について、関連事業者間で検討が行われる見通し。
25 「PCI PTS（Pin Transaction Security）」とは、PCI SSC が定めた、PIN 取引を保護する PIN 入力装
置の国際的なセキュリティ基準であり、PIN 取得時は PCI PTS に準拠した機器の利用が必要となる。
26 IC 対応手法の構成図は、コスト削減を目的としたインターフェースの標準化、ブランド認定/テストの簡素化の観点からの推奨例を示したもの。詳細は、「IC カード対応 POS ガイドライン」を参照、また、
カード情報保護の観点からのパターン別構成図は、「A.クレジットカード情報保護対策の強化に向けた実行計画」を参照。
24

29

とで IC 対応しやすくするものとして、各パターンのコストを可視化し、各方法について
技術面等から検証・整理した。
■決済専用端末（CCT）連動型
IC 対応した決済専用端末（CCT）と POS システムの間で取引金額や決済結果等を連動する仕組みである。EMV カーネルを決済専用端末や PIN パッド等に置くことで、POSシステムの外側となるため、決済専用端末側で開発・EMV 認定・ブランドテスト等の対応を行えばよく、POS システム側で対応する必要がないことから、導入時における対応（開発・EMV 認定・ブランドテスト等）の影響が最も小さい。また、カード情報がIC 対応の決済専用端末から直接カード会社に伝送されるため、加盟店におけるカード
情報の非保持化が同時に実現できる 27。
一方で、決済専用端末を新たに追加する必要があるため、設置場所の確保等の課題はある。

■決済サーバー接続型
POS システムで決済を行うが、EMV カーネルが PIN パッドにある仕組みである。
EMV カーネルを POS システムの外側に置くため、POS 本体で開発及び EMV 認定等の取得の必要がなく、ブランドテスト等の対応で済むため、導入時における対応の影響は
小さい。

27

非保持化は、決済専用端末（CCT）より POS へ連動する「決済結果」にカード情報を含めないことが前提。

30

この場合、カード情報は POS システムを通過してカード会社に伝送されるため、カード情報が自社で保有する機器・ネットワークを「保存」、「処理」、「通過」するため、
カード情報の保持となり、PCI DSS 準拠が必要となる。

■ASP/クラウド接続型
POS システムと加盟店の ASP 事業者との間で取引金額や決済結果を連動させる仕組みである。基本的には上記決済サーバー接続型と同じ構造であるが、ASP/クラウド接続型での EMV 認定・ブランドテストの対応については ASP 事業者で行うため、加盟店の個別負担は少ない。
この中で、EMV カーネルクラウド配置型のうち、決済専用端末を POS システムと連動させる場合（下図②）については、カード情報が IC 対応の決済専用端末から直接社外の ASP/クラウドセンターに伝送されるため、加盟店における非保持化が同時に実現
できる 28。下図①及び③の場合には、カード情報は POS システムを通過するため、加盟店は PCI DSS 準拠、又は非保持と同等/相当のセキュリティ措置（PCI P2PE 認定ソリューションの導入又は本協議会において取りまとめた技術要件に適合するセキュリティ基準（11 項目） 29）を満たすことが求められる。

28
29

非保持化は、POS 連動する「決済結果」にカード情報を含めないことが前提。
詳細については、「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について」を参照。

31

（２）接続インターフェース等の共通化・標準化について
接続機器（CCT、IC-PIN パッド、非接触 R/W 等）を接続するための POS のインターフェースの標準化や汎用的な POS 搭載ミドルウェアを使用することで、POS 改修コストの低減化や、各加盟店での対応に要する期間の短縮化を図ることが可能となる。
なお、本実行計画記載の接続インターフェース等の共通化・標準化については、国際標準仕様を策定している OPOS 技術協議会でも標準化の検討は完了している。
（３）POS システムの IC 対応標準化
機器メーカーは、IC 対応端末のコスト低減化や加盟店での IC 対応を円滑に行うために、
今後開発・製造するクレジット機能を有する POS システムについては、IC 対応可能なシステムを標準とする。
（４）その他 IC 対応 POS システムのコスト低減策
加盟店の負担となる国際ブランドごとのテストコスト低減化と導入までの期間の短縮化のため、端末（ハード/ミドルウェア）やサーバー等が同一の構成である場合においては、国際ブランドと調整の上、端末やサーバー等ごとにブランドテストのプロセスの明確化あるいは簡略化による効率化を図るよう、「IC カード対応 POS ガイドライン」及び「非接触 EMV 対応 POS ガイドライン」を引き続き関係事業者に周知し、IC 対応に向けた取組を加速する。

32

４．IC-CCT 端末の普及について
カード会社（アクワイアラー）は、前述の IC 取引オペレーションルールに基づき、加盟
店に対し店頭での運用について周知しつつ、IC 対応した CCT 端末の普及に努める。
IC 対応した CCT 端末の普及状況については、カードの有効性チェックのみを行う端末、撤収予定（長期間未稼働）の端末、POS と分類される端末を除くと、2018 年 12 月末時点で93.8%30となり、IC 対応 100％の達成に向けた切替が進んでいる。
５．IC 対応加盟店の「見える化」の方策について
日本クレジット協会は、行政と連携し、改正割賦販売法の国会附帯決議を踏まえ、加盟店のクレジットカード取引におけるセキュリティ対策を「見える化」する方策について検討を行い、以下の内容を取りまとめた。
（１）共通シンボルマーク等
消費者が IC クレジットカード対応加盟店であることを認識・識別できるよう、IC 対応
済みであることを示す「共通シンボルマーク」31、「IC 対応デザイン」（以下「共通シンボ
ルマーク等」という）を策定し、周知活動に使用することとした。

「IC 対応」・「暗証番号の認知度向上」
共通シンボルマーク「IC 対応デザイン」

2018 年 12 月時点で市場に流通している CCT 端末の IC 対応率は 75.4％（2017 年 12 月末時点で 71.9％）。
ここから、カードの有効性チェックのみを行う端末及び撤収予定（長期間未稼働）の端末を除くと IC 対
応率は 88.1％、さらに POS と分類される端末を除くと 93.8％となる。
31 「共通シンボルマーク」は日本クレジット協会の登録商標（平成 30 年 7 月 27 日登録）。
使用方法は「クレジットカードの IC 対応『見える化』等のための共通シンボルマーク・デザイン
マニュアル」を参照。
30

33

（２）共通シンボルマーク等の周知
カード会社（アクワイアラー）は IC 対応済み加盟店に対する「見える化」の取組及び「共通シンボルマーク等」を周知し、掲出等を依頼する。また、IC 対応済み加盟店において独自の「見える化」の取組が行えるよう、日本クレジット協会のホームページに掲載
されている「共通シンボルマーク等」をダウンロードにより活用できることを周知する。
６．各主体の役割について
クレジットカード偽造防止による不正利用対策を推進するためには、IC 取引に関係する事業者全てにおいて、それぞれの役割に応じて取組を進めることが重要である。
なお、加盟店における IC 対応の早期完了に向けての統一的な経済的支援はできないものの、様々なセキュリティ対策とそれに伴う運用面の変更等が効果的かつ実効性のある取組として行われるよう、各主体は協力していくこととする。
以下、各主体に求められる役割等について整理する。
（１）加盟店
・改正割賦販売法の施行を踏まえ、同法の施行日までの対応が基本となるが、最終的には、全加盟店において 2020 年 3 月末までに IC 取引が可能となるよう自社のクレジッ
ト決済システムの IC 対応が完了している状態になっていることを目指す。
・特に、POS システムを導入している加盟店においては、3．（1）（各方策の検証について）を参考にし、自社対応に係る方策を検討する際には、必要に応じてカード会社（アクワイアラー）や機器メーカー等に情報を求めることとする。
・IC 対応済み加盟店は、「共通シンボルマーク等」の掲出、あるいは自社独自の「見える化」への取組に努めることとする。
（２）カード会社（アクワイアラー）・契約を有する加盟店の IC 対応を促進させるため、本実行計画で整理された各方策について加盟店の理解を促す活動を行うとともに、必要に応じて機器メーカーとも連携して情報を提供する。
・POS システムの接続インターフェース等の共通化や IC 取引オペレーション等を踏まえて、機器メーカー等と連携して作成した「IC カード対応 POS ガイドライン」及び「非接触 EMV 対応 POS ガイドライン」について、機器メーカーや加盟店等への周知を行う。
・契約を有する IC 対応済み加盟店に「共通シンボルマーク等」の掲出を行うなどの取組
に努める。

34

（３）カード会社（イシュアー）
・カード会社（イシュアー）においては、日本クレジット協会が策定した計画に基づき2020 年 3 月末までにクレジットカードの IC 化 100%の実現に向けて、引き続き、IC カードへの切替を加速していくこととする。
・カード会員等に対し、IC 取引では本人確認のため PIN 入力が必要になることから、5．
（1）（共通シンボルマーク等）の「共通シンボルマーク等」を使用しカード会員の PIN
認知度向上のため周知活動を行うとともに、PIN を認知していないカード会員に対しては、特に丁寧に対応していくこととする。
（４）国際ブランド
IC 取引オペレーションルールについて、本協議会での検討結果を踏まえ、本協議会と調整を行い、我が国のクレジットカード業界として制定したルールを推進することに協働して取組む。また、技術の向上や環境の変化等により新たな措置等が必要になった場合は、カード会社（アクワイアラー）と調整を行う。
（５）機器メーカー
・加盟店の IC 対応を推進するため、IC 対応の必要性及び本実行計画で整理された各方策について加盟店への周知活動等を進めるとともに、カード会社（アクワイアラー）とも連携して加盟店へ必要な情報を提供する。
・本協議会における検討結果である POS システムの接続インターフェース等の共通化や国際ブランドテストの簡略化等を活用し、コスト低減化に資する技術的解決策の実現に向けて積極的に取組む。
・IC 対応端末のコスト低減化や加盟店における IC 対応の円滑化に向けて、今後開発・製造するクレジット機能を有する POS システムについては、IC 対応可能なシステムを標準とする。
（６）行政・業界団体等
・行政は、改正割賦販売法の施行に伴う加盟店における不正利用防止義務に基づき、対面加盟店において決済端末の IC 対応が確実に図られるよう、カード会社（アクワイアラ−）等を通じた加盟店に対する指導を徹底する。また、国際ブランド等と協力して、本実行計画の着実な実施に向け、事業者向けや消費者向けの情報発信に取組む。
・日本クレジット協会及び業界団体等は、行政と連携の上、消費者に対し、IC 取引の安全性及び IC 対応の「見える化」の方策である「共通シンボルマーク等」を周知するとともに、PIN 認知度の更なる向上のための周知に引き続き取組む。
・また、クレジットカード業界全体で IC 取引を推進していること、IC 取引では本人確認のため PIN 入力が必要になることの周知に引き続き取組む。

35

７．2019 年度中に重点的に実施すべき具体的な取組について
2019 年度では、以下の具体的な取組により、各主体における取組を加速化させていくこととする。
（１）クレジットカード IC 化に向けた取組
・カード会社（イシュアー）は、2020 年 3 月末までに国内で流通する国際ブランド付き
クレジットカードが 100%IC 化されていることを目指し、当該カードの更新時期を待たず、IC カードへの切替を加速する。
・日本クレジット協会は、行政と連携の上、カード会社（イシュアー）によるクレジット
カード IC 化 100%の実現に向けた取組について進捗管理を行うとともに、カード会社（イシュアー）ごとの IC 化の達成状況について公表する。
・行政は、2018 年末時点でのカード会社（イシュアー）ごとのカードの IC 化の進捗状況を踏まえ、進捗の遅れている事業者への個別指導を行う等、カードの IC 化 100%達成に向けて着実な推進を図る。
（２）加盟店に対する決済システムの IC 対応に向けた取組
・加盟店は、各主体の協力を得ながら、本実行計画に基づいて IC 対応を進める。
・カード会社（アクワイアラー）は、対面取引の契約加盟店に対して、IC 対応に向けた
本実行計画の周知を行う。
・特に、クレジットカードの取扱額の大きい加盟店に対し、日本クレジット協会は、IC対応に向けた本実行計画の周知を行う。
（３）IC カード対応 POS ガイドライン・非接触 EMV 対応 POS ガイドラインの周知
カード会社（アクワイアラー）は、日本クレジット協会やシステムベンダー等と連携して、2．
（IC 取引時のオペレーションルール・ガイドラインについて）に述べた IC 取引オ
ペレーションルール及び 3．（コスト低減を踏まえた POS システムの IC 対応に関する方策について）を踏まえた POS システムにおける IC 対応に関する方法を、日本クレジット
カード協会策定のガイドラインをもとに策定した「IC カード対応 POS ガイドライン」及
び「非接触 EMV 対応 POS ガイドライン」並びに日本クレジット協会において策定した
その他ガイドライン 32を関係者に周知することにより、加盟店の POS システムの IC 対応に向けた取組を加速する。

32「IC 取引における本人確認方法に係るガイドライン」及び「本人確認不要（サインレス/PIN レス）取引に係るガイドライン」。

36

Ｃ．非対面取引におけるクレジットカードの不正利用対策の強化に向けた実行計画
１．非対面取引における不正利用対策の取組について
非対面取引の中には EC 加盟店、MO・TO 加盟店等による取引があるが、非対面取引における不正利用被害のほとんどは、EC 加盟店において発生している状況にある。
2017 年の EC 市場の取扱高は約 16 兆 5 千億円となり、前年比 9.1%増と引き続き拡大傾向である。その主な決済手段としてクレジットカードが重要な役割を担っているが、不正ア
クセス等による加盟店からのカード情報漏えい事案、消費者を狙ったフィッシングやウィル
ス感染等によるカード情報の窃取による情報漏えい事案も発生している。
この結果、窃取されたカード情報等を不正に利用したなりすましによる被害額は 2017 年に約 176 億円（前年比 98.8%増）とほぼ倍増となり、2018 年 1 月から 9 月の 9 ヵ月間には
約 132 億円（前年同期比 1.2%増）発生と増加傾向が継続している。この額は不正利用被害額全体の 79.5%を占めるに至っており、EC におけるなりすましによる不正利用が被害額の大部分を占める傾向が更に顕著となっている。
近年、なりすましによる不正利用被害が急増した背景としては、漏えいしたクレジットカ
ード番号の不正利用に加え、採番の規則性を悪用して推定した大量のクレジットカード番号
を特定の加盟店において集中的に短期間で使用する手口の急増により、不正利用監視の対象件数が急増したこと、加えて不正利用の巧妙化により真正利用との判別が困難になるといった要因等が考えられる。
このような不正利用の発生状況等を踏まえ、非対面加盟店、特に EC 加盟店におけるなり
すましによる不正利用被害額を極小化するため、各主体において、犯罪組織や悪意のある第三者による不正な取引を検知・停止する取組を一層強化することが喫緊の課題である。
本協議会において、非対面加盟店における 2015 年度の不正利用被害の状況調査に基づき4 商材（デジタルコンテンツ（オンラインゲームを含む）、家電、電子マネー、チケット、以下「特定 4 商材」という）を特にリスクの高い商材として選定した 33。今般、日本クレジット協会において、2016 年 4 月から 2018 年 6 月までの期間について、改めて非対面加盟店における不正利用被害の状況調査が行われた結果、依然として特定 4 商材が高いシェアを占めることを確認した 34。
不正利用被害が発生している加盟店では、本実行計画に掲げる不正利用対策の具体的方策
2015 年度の不正利用被害の状況調査において、上記の 4 商材（業種）に EC モールを加えた 5 業種が高いシェアを占めたため、「特定 5 業種」として特に不正利用対策を強化する対象として選定したが、EC
モールについては業種ではなく販売形態であり、自身が 4 商材の販売を担っている訳ではないこと、また 2017 年に実施した大手 EC モールに対するヒアリングの結果、モール傘下の店子における不正利用被害の発生状況も同様に他の 4 業種が過半を占めていることから、「実行計画 2018」策定時に EC モール
を「特定 5 業種」から除き、「特定 4 業種」とした。また、不正犯に狙われる対象は業種ではなく商材だと考えられるため、「特定 4 業種」から「特定 4 商材」と改めることとする。
34 日本クレジット協会において、カード会社（アクワイアラー）11 社により 2016 年度上期、同下期、2017年度上期、同下期、2018 年 4〜6 月の 5 期における非対面取引の不正利用被害額の商材別内訳の調査を行った結果、特定 4 商材が何れの期においても依然として高いシェアを占めていることが確認できたた
め、現行の特定 4 商材を引き続き「不正犯に狙われやすい商材」とすることが妥当と判断した。
33

37

を導入し、一定程度の不正利用防止効果をあげているが、不正利用被害が増加している現状に鑑み、不正利用の減少に向け、被害が多く発生している特定 4 商材を取り扱う加盟店を中心に取組を強化していく必要がある。
不正利用が多発している加盟店においては、契約先のカード会社、PSP、セキュリティ事業者等と連携し、不正利用の発生状況等を分析・把握するとともに、業種及び商材等のリス
クの状況等に応じて、多面的・重層的な対策を講じていくことが有効である 35。
一方、加盟店が不正利用対策の具体的方策を導入していても、加盟店以外の要因により対策が有効に機能しない問題も生じている。例えば、①加盟店が 3D セキュアを導入していても、カード会員がカード会社（イシュアー）に対してパスワード登録を行わない場合には、「本人認証」の処理が行われないこと、②クレジットカード番号等とともにセキュリティコ
ードが同時に漏えいした場合には、窃取された情報を基に「券面認証」が不正に行われる可能性があること、③過去の不正利用事案について十分に情報共有されていない場合、不正利用の傾向に対応できず、カード会社や加盟店においての不正利用対策の精度向上につながらないおそれがあること等である。
このうち、①については、クレジットカードの不正利用の状況や不正利用対策等に関する消費者の認知・意識の向上も重要であり、消費者に対する情報提供や周知活動等を進めていく。②についてはカード情報保護対策の問題として取組む（A．
（クレジットカード情報保護対策の強化に向けた実行計画）を参照）。③については、関係事業者の創意工夫により、オーソリモニタリングの開発・導入や不正配送先情報の蓄積・活用が進んでおり、こうした最新の技術やノウハウを活用することが考えられる。
また、EC が拡大傾向にある中、クレジットカード決済の利便性を図りつつ、不正検知能力を高めていくためには、新しい技術・仕組みの開発・導入が必要であり、関係事業者によってこうした取組が更に進むことが期待される。
本実行計画では、2018 年 3 月末までを目標期限として、EC 加盟店での不正利用対策の導入を推進してきたが、改正割賦販売法の施行を踏まえ、この取組は非対面加盟店全体を対象として継続していくこととする。
２．不正利用対策の具体的な方策についてなりすまし等不正利用を防止するための具体的な方策について、現状における主なものを
以下のとおり整理する。
それぞれの方策には一定の効果が得られており、加盟店において方策の特徴等に対する理解を深め、方策導入の参考とするため、本協議会において不正利用被害抑止の好事例 36を取りまとめた。好事例調査の取組は継続して実施し、更に方策毎の効果、方策の組合せによる効果について検証することとする。
35

日本クレジット協会が、カード会社（アクワイアラー）11 社に調査したところ、複数の方策を導入した
加盟店において、不正抑止の効果を確認することができた。
36 詳細については「2019 年版実行計画上の方策導入による不正抑止の好事例の紹介」を参照。

38

また、それぞれの方策には特徴があり、加盟店が取り扱う商材や販売手法に応じた有効な方策を講じることが重要である。加盟店はカード会社（アクワイアラー）、PSP と協働し、リスクの状況に応じた不正利用対策を適切に講じることにより、不正利用防止効果を高めていく。
なお、不正利用被害防止に資する新たな技術が検証され、その効果が認められると判断した場合は、本協議会において更に方策の追加を行うこととする。
（１）本人認証
・EC 加盟店におけるなりすまし不正利用防止のための本人認証の具体的手法として、3Dセキュアや認証アシストがある。これらは、カード会員に特定のパスワードや属性情報等を入力させることで、利用者本人が取引を行っていることを確認するものである。
①3D セキュア・「3D セキュア」とは、カード会員のみが知るカード会社（イシュアー）に事前に登録したパスワード等を、カード利用時に当該カード会社（イシュアー）が照合することにより、本人が取引を行っていることを確認するものであり、国際ブランドが推奨する本人確認手法である。
・加盟店が「3D セキュア」を導入した場合、本人確認が要求される全取引に対してパス
ワード確認が実施 37されることになるが、パスワード未登録の際のカード会員の利用阻害を避けるためにパスワード入力を省略した結果、なりすましによる不正利用被害が発生している。このため、カード会社（イシュアー）がパスワードの登録率向上に向けたカード会員への周知活動を強化し、3D セキュア導入加盟店において本人認証が要求される対象取引全てに実施されることが必要である。
・また、「3D セキュア」は、カード会員が「静的（固定）パスワード」を失念した場合の販売機会の逸失の懸念もあるため、消費者へのパスワードの管理に関する周知活動も重要である。
・カード会社（イシュアー）とカード会員のみが認知している情報の照合は、その情報の漏えいがない限り有効であるが、「3D セキュア」については、カード会員によるパスワードの使い回しやパスワードの漏えいにより、その効果が発揮できない状況も発生している。
・現在、「3D セキュア」において主に利用されている「静的（固定）パスワード」の課題に対する解決策としては、「動的（ワンタイム）パスワード」や「指紋等の生体認証」が有効である。
・「動的（ワンタイム）パスワード」や「指紋等の生体認証」の利用は国際ブランドも推奨しており、特に「動的（ワンタイム）パスワード」については国内においても既に複37

イシュアーがリスクベース認証（5.（2）（カード会社による不正利用被害減少への取組）を参照）を導入している場合はリスク判定の結果に基づきパスワード確認が要求されない場合がある。

39

数のカード会社（イシュアー）に採用されている。今後、新たに「動的（ワンタイム）
パスワード」を採用するカード会社（イシュアー）の増加等により、パスワードの漏えいに起因する不正利用対策の強化やパスワード失念による販売機会逸失の回避が図られることが期待される。
②認証アシスト
・「認証アシスト」とは、カードのオーソリゼーション電文を用いて、カード会員の属性情報を送信し、カード会社に予め登録されている属性情報と照合し、利用者本人が取引を行っていることを確認する手法である。本人の属性情報を用いるため、カード会員のパスワード失念などの懸念がないのが特徴である。
・一方、「認証アシスト」を導入する場合、加盟店は当該サービスを利用するカード会社との間で直接契約が必要であり（国内のカード会社のみが対象）、利用者全てのカードが対象とならない可能性がある。
・「3D セキュア」と同様、カード情報とともに当該属性情報が漏えいした場合には不正利用被害発生のリスクが生じることとなる。
（２）券面認証（セキュリティコード）・「セキュリティコード」による認証は、使用するクレジットカード番号が真正であることをカード会社（イシュアー）が確認できること、セキュリティコード自体がカード会
社（イシュアー）及びその顧客のカードに 100%普及していること、カード会員が認証で使用する番号を失念する懸念がないこと、既存のオーソリゼーション電文の活用で導入できること等の点で評価されている。
・クレジットカード番号とともに「セキュリティコード」が窃取されることにより、券面認証を突破される被害が一部確認されているが、こうしたことがなければ、好事例で示すように、セキュリティコードの不正利用防止効果が確認されている。
・「セキュリティコード」は桁数が少ないため、有効なクレジットカード番号を用いて、「セ
キュリティコード」のみを入れ替えて連続して購入申込を行う不正利用がある。正当なコードに合致した場合、取引が成立してしまうため、イシュアー側で多数回連続アクセスに対して早期に検知し、当該取引を不成立とする対策が必要である。
（３）属性・行動分析（不正検知システム 38 ）・非対面でのカード利用時、購入者の入力情報（氏名、クレジットカード番号、e メール
アドレス等）、購入者の利用端末（PC・モバイル等）情報（デバイス情報）、IP アドレ
ス、過去の取引情報、取引頻度等、加盟店が収集できる情報に基づいて取引のリスク評
38

属性・行動分析の方策は、ベンダーが「不正検知システム」という名称で提供するサービスの導入により行うことが多いため、「属性・行動分析」の名称に括弧書きで「不正検知システム」の表記を加える。
また、カード会社がオーソリ情報等により不正利用を検知する仕組みについても「不正検知システム」と呼ばれるため、両者の混同を避ける観点から、実行計画上では「オーソリモニタリング」と表記する（4.（1）（カード会社（イシュアー））を参照）。

40

価（スコアリング等）を行い、不正な取引であるか加盟店側で判定する手法である。特に、購入者のデバイス情報は、通常のオーソリゼーションの過程においてはカード会社で取得できない情報であるため、これを活用することで不正検知精度の向上が期待できる。
・不正取引の手口や傾向は変化するため、「属性・行動分析（不正検知システム）」のツー
ルにおいては、不正利用傾向の分析に基づき構築された不正判定の条件設定を更新・変更する機能を有することが必要である。真正/不正の判別が正当であったか否かについて、カード会社等から提供される不正利用の情報等により確認し、常に条件設定を最新化しておくことが望ましい。
・また、個々の取引を人的対応によって判定するのではなく、上記の条件設定による自動判定が行われることが重要である。更に、即時判定機能を導入すれば、短時間に連続した不正判定が行われる場合でも即時に検知・拒否することが可能になる。
（４）配送先情報・不正利用された注文等の配送先情報を蓄積することで、取引成立後であっても商品等の配送を事前に止めることで不正利用被害を防止することが可能である。ただし、その情報の蓄積には時間がかかることから、新規に取組を始めて直ちに効果が発揮されることは困難であるため、外部の実績があるサービスの利用等が有効である。現在、大手加盟店が独自のデータベースを運用しているほか、カード会社複数社が共同で運用しているサービス（一部の加盟店に提供）やシステムベンダーが提供するサービスが存在する。
・過去に不正利用の配送先に用いられた住所情報を契約加盟店に提供するサービスが存在するが、複数のカード会社が共同で運用しているサービスについては、関係事業者を増やし情報量を増加させるとともに、「属性・行動分析（不正検知システム）」等の他の方策と組合せ、不正検知能力を高めることが重要である。
・「配送先情報」による不正利用対策では、送付先の不自然さ等から、不正な取引かどうかの判断を行うことも必要となるため、加盟店においては不正判断ノウハウの蓄積や体制構築も必要となる。
３．加盟店におけるリスク・被害発生状況に応じた方策の導入
加盟店の取り扱う商材等に応じた不正利用の被害発生状況等を踏まえ、各加盟店は不正利用対策の具体的方策を導入することとする。本実行計画では不正利用防止のための方策として、4 つの方策（①本人認証、②券面認証、③属性・行動分析（不正検知システム）、④配送先情報）を掲げており、この 4 つの方策をベースに、加盟店のリスクや被害発生の状況等に応じた指針を示すこととする 39。

39｢非対面加盟店における不正利用対策の具体的な基準・考え方について｣を参照。

41

加盟店分類表
全ての非対面加盟店○カード取引に対する善管注意義務の履行○オーソリゼーション処理
高リスク商材取扱加盟店○実行計画の掲げる方策１つ以上
不正顕在化加盟店○実行計画の掲げる方策２つ以上○：必要な方策（１）全ての非対面加盟店
リスクや被害発生の状況にかかわらず、全ての非対面加盟店において導入を求める不正利用防止のための方策としては、加盟店契約における善良なる管理者の注意をもって不正利用の発生を防止するとともに、カード会社が不正利用のリスクを評価するためのオーソ
リゼーション処理の体制整備を図ることである。この上で、以下の加盟店については、リスクや被害発生の状況に応じた方策の導入を求める。なお、昨今の不正犯の手口として、
リスト型攻撃（システムを利用し短時間に大量の購入申込を行う）が発生しており、継続
的（連月）ではなくとも単発的（単月）で高額な不正被害が発生する加盟店に対して、カード会社（アクワイアラー）は早急に追加的な方策を導入する必要があると判断する場合があり、当該加盟店には方策の導入を含めた不正利用防止策の検討を求める。
（２）高リスク商材取扱加盟店
特定 4 商材（①デジタルコンテンツ（オンラインゲームを含む）、②家電、③電子マネー、④チケット）を主たる商材として取り扱う加盟店は、「高リスク商材取扱加盟店」として、本実行計画の掲げる 4 つの方策のうち、1 方策以上の導入を求める。
なお、EC モールのように多数の店子によって構成されるのではなく、一つの加盟店が様々な商品等を取り扱っているいわゆる「総合通販」についても、総合通販事業者における主たる取扱い商材が特定 4 商材に該当する場合には、高リスク商材取扱加盟店と同様の方策の導入を求める。
（３）不正顕在化加盟店
不正利用被害が多発状況にあるとカード会社（アクワイアラー）等が認識する加盟店は「不正顕在化加盟店」として、本実行計画の掲げる 4 つの方策のうち、2 方策以上の導入を求める。なお、「不正顕在化加盟店」については、カード会社（アクワイアラー）各社が把握する不正利用金額が継続的に一定金額を超えた場合に該当する（なお、当該基準に42

ついては、毎年度の不正利用被害の状況等により、必要に応じて見直しを行うこととする）。
また、4 つの方策のうち 2 方策以上を導入していても不正利用被害が減少せず、引き続き、「不正顕在化加盟店」と認識される加盟店は、カード会社（アクワイアラー）等より
不正利用の発生状況等の情報共有を受け、不正利用防止についての追加的な方策の導入等のため継続的な検討が求められる。
４．各主体の役割について
2018 年における非対面加盟店でのなりすまし等不正利用被害の継続的な増加状況を踏まえ、不正利用被害防止を 2019 年に更に具現化するため、特に不正が多発している加盟店への対策の導入について、本協議会に関わる全てのステークホルダーの協力のもと、強力に推進する。EC におけるなりすましの不正利用被害を極小化するためには、EC に関係する事業者全ての積極的な対応が求められる。以下、各主体に求められる役割について整理する。
（１）カード会社（イシュアー）
・過去の取引履歴等の様々な情報から、不正取引か否かを判断するオーソリモニタリングの検知精度の向上・強化に努める。
・不正利用の被害防止に関する消費者への周知を図る。
・カード会社（イシュアー）自体が｢3D セキュア｣未導入の場合は、早期に導入を図り、また導入カード会社においては｢3D セキュア｣の利用拡大のため、カード会員のパスワ
ード登録率の向上を図る。
・「3D セキュア」のパスワード登録率向上の施策推進にあたっては、カード情報とともに「静的（固定）パスワード」が窃取されたことによる不正利用被害が発生している状況を踏まえ、「動的（ワンタイム）パスワード」の導入を促進する。
・加盟店（オフアス取引の場合はアクワイアラー経由）からの真正利用確認照会件数の増加を想定した対応体制を整備する。
・取引が不正か真正かを最終確定するのはカード会社（イシュアー）であるため、不正利用検知の精度向上に向けた一層の取組強化が必要である。また、カード会社（アクワイアラー）、加盟店、PSP との不正情報の共有が重要である。検知精度の向上及び情報連携について、課題の特定とともに解決を図る。
・「カード利用時におけるカード会員向け利用確認メール等通知」は、カード会員がメー
ル等通知内容を確認し、利用の覚えがない場合はカード会社（イシュアー）に連絡することにより、早期の不正利用の確定とカードの無効手配・処理が可能となるため、有効な不正利用対策となる。
・一方、これを導入する場合には、メール等受信に関するカード会員の同意が必要なこと
や、メールアドレス等の登録・管理（メールアドレス等の情報の最新化）等、カード会
社（イシュアー）においてこうした課題も考慮する必要がある。

43

（２）カード会社（アクワイアラー）及び PSP・2.（不正利用対策の具体的な方策について）で示す不正利用対策の具体的な方策について、カード会社（アクワイアラー）は、加盟店に対して適切な方策の導入の助言・協力ができるよう体制の整備をするとともに、3.（加盟店におけるリスク・被害発生状況に応じた方策の導入）の確実な実施のため加盟店に対する指導及び状況に応じた適切な提案を行う。
・カード会社（アクワイアラー）は、加盟店に対し、不正利用対策の参考となるよう、な
りすまし不正利用の傾向や事例等の情報（本協議会で取りまとめた「好事例」等）及び
不正利用方策を導入しないリスクについて情報共有に努める。
・PSP は、2.（不正利用対策の具体的な方策について）に列挙した「本人認証」「券面認証」「属性・行動分析（不正検知システム）」「配送先情報」の各方策を提供できる体制を構築し、契約先の加盟店に対して導入の推進に努める。
・オフアス取引において、カード会社（アクワイアラー）は、加盟店における不正利用対策の更なる向上のため、カード会社（イシュアー）から提供された不正情報についてできるだけ多くの加盟店と迅速な情報共有に努める。
・各加盟店における不正利用対策の課題の特定とともにその解決を図るため、各加盟店との間で迅速な情報共有に努める。
・国際ブランドから提供される「3D セキュア 2.0」の仕様 40及びそれに係る運用ルールや導入メリット等について情報収集を行うことに努める。
（３）国際ブランド
・本実行計画の確実な実施を図るため、我が国における非対面加盟店でのクレジットカー
ド取引の実態を踏まえ、各種課題の解決に向けて関係事業者と協働して取組む。
・「3D セキュア 2.0」に係るステークホルダーへの影響（運用ルール等）及び 2.0 への移行について、情報の提供及び説明を行う。
・非対面加盟店における不正利用対策の取組を推進するため、海外のカード会社や加盟店
における取組事例について情報提供を行うとともに、我が国における国際水準のセキュ
リティ環境の整備の必要性等について、事業者向けや消費者向けの情報発信に取組む。
「3D セキュア 2.0」の仕様については、国際ブランドが設置した国際機関 EMVCo より 2016 年 10 月
下旬に以下の通り公表されている。
【3D セキュア 2.0 仕様の特徴について】①1.0 のブラウザベース（PC 利用）に加え、2.0 ではアプリケーションベースも対象となる。これによりスマートフォンのアプリケーションを利用した取引においても、3D セキュアによる認証が活用できるよ
うになる。
②カード会員のネット接続端末情報や購入時にカード会員が入力した属性等、加盟店から ACS（AccessControl Server）※に提供される情報が 1.0 に比較して 2.0 では増加する。これら情報の活用により、リスク判別力の高いモデルの設定が可能になり、パスワード入力を求める取引が格段に少なくなることが期待できる。
※3D セキュアにおいて、カード会社（イシュアー）が加盟店からの本人確認要求に対して、本人であることを確認するためのサーバー。
40

44

（４）加盟店・3.（加盟店におけるリスク・被害発生状況に応じた方策の導入）に基づき、加盟店のリ
スク、被害状況に応じたなりすまし不正利用対策の具体的方策を確実に実施する。
・自社での不審なカード利用の把握に努めるとともに、不正利用の手口は日々巧妙化することから、カード会社における不正利用対策の更なる向上のため、当該情報（不審利用）について契約カード会社（アクワイアラー）や PSP と迅速な情報共有に努める。
・自社の不正利用対策の課題の特定とともにその解決を図るため、契約先のカード会社（アクワイアラー）や PSP との間で迅速な情報共有に努める。
・自社の不正利用被害のリスクを低減するために、不正利用対策の強化を図る観点から、カード会社（アクワイアラー）や PSP とも協力して、2.（不正利用対策の具体的な方策について）で示した方策を基本としたリスクに応じた不正利用対策を講じる。
・大量のクレジットカード番号を集中的に短期間で使用する不正利用については、加盟店サイトへの大量の購入申込（カード情報等の有効性を確認するための購入申込を含む）の結果であり、大量かつ連続する申込については早期に検知、遮断することが有効な対策である。このため、必要に応じてカード会社（アクワイアラー）及び PSP と連携の上、加盟店各社サイトにおいて被害の状況等に応じて必要な対策を講じることに努める。
（５）行政・業界団体等
・行政は、改正割賦販売法により、カードの不正利用防止措置が加盟店に義務付けられることを踏まえ、必要な措置が確実に導入されるよう、カード会社（アクワイアラ−）等を通じた加盟店に対する指導を徹底する。また、国際ブランド等と協力して、本実行計
画の確実な実施に向け、事業者向けや消費者向けの情報発信に取組む。
・日本クレジット協会は、他の業界団体に協力を要請し、不正利用の実態を踏まえ、加盟店において本実行計画に掲げるリスクに応じた方策を導入する必要性及び各方策の有効性等について、消費者や事業者向けの周知活動の強化に取組む。ID・パスワードの使
い回しやフィッシングへの注意喚起等の周知活動を行うことを含め、消費者における不正利用対策への理解・認知度の向上に取組む。
・日本クレジット協会は、カード会社（イシュアー）と連携の上、「3D セキュア」のパス
ワード等の登録推進、カード会社（イシュアー）からの真正利用確認に対する協力について、消費者等に対して周知活動を行う。
・日本クレジット協会は、最新の不正発生状況を踏まえた「不正顕在化加盟店」の基準や「高リスク商材取扱加盟店」の特定商材の継続的な検討、不正利用被害が継続的に発生する加盟店の不正利用発生状況の分析・評価、加盟店が取り扱う商材に応じた各方策の有効性の検証や方策の組合せ効果の検証を継続して行う。
・日本クレジット協会は、不正利用による被害の実態や最新の犯罪手口、不正利用対策に対する取組の成功事例等について、関係機関との連携・情報共有を図り、クレジット取引に関係する事業者等に対して適時情報発信を行う。

45

５．2019 年度中に重点的に実施すべき具体的な取組について
2019 年度では、以下の具体的な取組により、各主体における取組を加速化させていくこととする。
（１）加盟店による不正利用被害減少への取組
・加盟店は、3.（加盟店におけるリスク・被害発生状況に応じた方策の導入）で示す指針に基づき、カード会社（アクワイアラー）及び PSP と連携し、必要な方策を確実に導入する。
・不正顕在化とみなされるまでには至っていないが、不正利用被害が発生している加盟店
は契約カード会社（アクワイアラー）及び PSP と連携し、不正利用被害の実情を共有
し、追加対策の必要性も含め、協働して不正利用被害を防止するための対策の実施に努める。
（２）カード会社による不正利用被害減少への取組
・カード会社（イシュアー）は、オーソリモニタリングの更なる検知精度の向上に努める。
・「3D セキュア」において、ACS ベンダーがカード会社（イシュアー）に対し、イシュア
ー版の属性・行動分析（不正検知システム）である「リスクベース認証 41」を提供して
おり、導入したカード会社（イシュアー）において不正利用抑止効果が認められている。
本機能は過去の不正実績とデバイス情報等を活用したリスク評価モデルにより、不正利用の判別精度を高めることを目的としたものである。カード会員にパスワード入力を求める取引を最小限にすることも期待できることから、カード会社（イシュアー）は「リスクベース認証」の導入を検討する。
・カード会社（イシュアー）が前述のリスクベース認証を採用した場合においても、リス
クの高い取引に対しては引き続き本人認証を求められることが想定されるため、カード会社（イシュアー）は「3D セキュア」の更なる活用を促進するため、カード会員のパスワード等の登録率の向上を図る。登録率向上のための施策実施にあたっては、セキュリティの高い「動的（ワンタイム）パスワード」の導入や「生体認証」等の新たな認証方法の導入に努める。
・カード会社（アクワイアラー）は、「3D セキュア 2.0」への移行について、国際ブランドと協働して関係者への周知等を図り、早期の対応が図れるよう努める。
・カード会社（アクワイアラー）は、不正顕在化とみなされるまでには至っていないが、不正利用被害が発生している加盟店と協働して不正の手口、方策の有用性等の検証を行い、被害額の減少に向けた有効な対策を提案する。
・カード会社（アクワイアラー）は、不正利用対策の各方策の特徴や課題を理解し、加盟店の不正利用の発生状況に応じた有効な方策を選択して提案する。なお、4 方策のうち、

41

リスクベース認証は「3D セキュア」のバージョンが 1.0 の環境下でも導入することができる。

46

「属性・行動分析（不正検知システム）」は高い抑止効果を示した事例が多数確認されている。
・カード会社（アクワイアラー）は、配送先情報の利用拡大、情報共有について検討を行う。
（３）業界団体等による不正利用対策の効果検証に係る取組
日本クレジット協会は、カード会社（アクワイアラー）及び PSP 等と連携の上、不正利用防止効果を高めるため、①高リスク商材取扱加盟店の根拠となる「不正犯に狙われやすい商材」の傾向の検証、②不正顕在化加盟店の基準の検証、③不正顕在化加盟店における導入済対策の効果検証等を行う。検証結果を踏まえ基準改訂が必要な場合には、本協議会において検討を行う。

47

Ⅲ．消費者及び事業者等への情報発信等について
１．基本的な考え方
日本クレジット協会の調査結果 42によれば、2018 年 3 月末時点のクレジットカード発行枚
数は 2 億 7,827 万枚で、成人人口比では、1 人当たり 2.7 枚保有しているなど、今や消費者にとってなくてはならない便利な決済インフラとして重要な役割を果たしている 43。
他方、クレジットカードのセキュリティレベルをより向上することは、時として消費者の利便性に影響を及ぼすことも事実であることから、消費者の理解・協力を得つつ、クレジッ
トカード取引のセキュリティ対策を強化することが不可欠である。
こうした観点より、消費者への情報発信等は様々な機会を捉えて積極的に行うことが必要であり、カード会社のみならずカード取引に関わる各事業者等の取組・協力や消費者団体等との連携も重要である。
改正割賦販売法により加盟店におけるセキュリティ対策が義務化され、本実行計画を実務上の指針としていることを踏まえ、行政は、日本クレジット協会とともに、加盟店業界団体、消費者団体等と連携の上、本実行計画の内容に関する消費者及び事業者向けの周知活動等に引き続き取組むものとする。また、カード会社（イシュアー）はカード会員向け、カード会
社（アクワイアラー）及び PSP は契約加盟店向けの周知活動等を強化するものとする。
２．具体的な取組について（１）消費者向け周知活動について
日本クレジット協会では、一般消費者向けのホームページ（安全・安心なクレジットカ
ード取引への取組み）において啓発チラシ（「クレジットカードがより安全・安心な IC 取
引に変わります！」「インターネットショッピングのカード決済には「本人確認等」が必要になります！」）の掲載、セキュリティ対策に係る動画の提供、また、IC 取引や PIN 認
知度向上に係る記事広告を行うなどの情報発信を行っている。
そのほか、周知の一環として、行政とともに、新聞広告の実施、講演会での対応、プレス取材協力を通じた情報発信等を行っている。
2019 年度は、各主体において、以下の取組により、更に積極的な周知活動・情報発信を行っていくものとする。

出所：日本クレジット協会「クレジットカード発行枚数調査結果の公表について」（2018 年 11 月 30 日）
https://www.j-credit.or.jp/information/statistics/download/toukei_03_a_181130.pdf
43 2014 年 8 月に消費者委員会が公表した「クレジットカード取引に関する消費者問題についての建議」
において、「クレジットカード取引における被害の発生・拡大防止及び回復等を図るため、」「クレジット
カードの利用に関する知識について消費者教育及び消費者への情報提供を一層積極的に推進すること。」
が消費者庁及び経済産業省に対し建議された。これを受けて、2015 年 2 月に経済産業省からクレジット
カード業界に対して同旨の要請文が発出された。
42

48

①加盟店におけるセキュリティ対策の「見える化」への取組
改正割賦販売法の附帯決議を踏まえ、日本クレジット協会は、行政と連携し、消費者が加盟店のクレジットカード取引におけるセキュリティ対策を「見える化」できる方策について検討を行い、対面加盟店についてはⅡ．B．5．（1）（共通シンボルマーク等）に述べた IC クレジットカード対応済加盟店であることを示すマーク等を取りまとめた。
また、EC 加盟店については本実行計画で求められるクレジットカードの情報保護対策及び不正利用対策を講じている場合には、自社 EC サイトのサービス紹介ページや決済画面等のサイトにおいて、本実行計画に取組んでいることを表示（自己宣言）する方
策を取りまとめた。
これらの「見える化」方策について、日本クレジット協会は引き続き周知活動に取組
むとともに、加盟店はカード会社及び PSP と連携し、消費者がセキュリティ対策導入
済加盟店について認識・識別できる「見える化」への取組に努めるものとする。
②クレジットカードの PIN 認知度向上
カード偽造防止のみならず、紛失・盗難によるカードの不正利用を防止するためには、加盟店のクレジット決済端末が IC 対応するだけでなく、カード会員が PIN 入力による本人確認の重要性（カード会員自身が設定した PIN を入力する方がサインよりも更に安全であること）を理解し、自らのクレジットカードの PIN を認識していることが必須要件である。日本クレジットカード協会が 2017 年 7 月に実施した IC クレジットカ
ードに関する消費者意識調査によれば、PIN の認知率は 86.6%、また「安全性を重視す
ると暗証番号入力は必要」と 90%強が回答している。IC 取引が進展している状況において、更に PIN 認知を浸透させるため、カード会社（イシュアー）及び業界団体等は引き続きカード会員への周知活動に取組むこととする。
なお、PIN を認知していないカード会員においては、どのように PIN を再確認すればよいか不明な場合も多いことから、カード会社（イシュアー）はカード会員への丁寧な周知等に留意すべきである。
③EC における不正利用対策の認知度向上
EC における不正利用対策の導入・普及には、カード会社、PSP、加盟店等の関係事業者による取組のみならず、カードの不正利用対策の必要性やその具体的な方策に関するカード会員の理解・協力を得ることが重要である。
このため、カード会社（イシュアー）及び業界団体等は引き続き EC の不正利用対策
に関する消費者への周知活動に取組むこととする。
④ID・パスワードの使い回しの防止
EC 加盟店における不正利用を防止するために本人認証サービス等の方策をとることが有効であるが、カード会員が複数のインターネットサイトで同一の ID・パスワードを使い回している場合は、一つのサイトでカード情報が漏えいすれば、他のサイトに不正ログインされ、登録されているカード情報等が不正利用される可能性がある。

49

このため、ID・パスワードの使い回しの防止等について、カード会社（イシュアー）
及び日本クレジット協会は引き続き周知活動に取組むこととする。
⑤フィッシング対策への取組
カード会社を騙った電子メールをカード会員に送信し、偽サイトへ誘導させカード情報等を詐取するフィッシングが増加傾向にある。フィッシング被害を防止するためには、カード会員がその手口等を理解し、不審と思われるサイトにはカード情報等の入力を行わないことが重要である。
このため、カード会社（イシュアー）及び業界団体等は引き続きフィッシングの手口等に関するカード会員への周知活動に取組むこととする。
⑥利用明細のチェックに関する周知
不正利用による消費者被害を防止するためには、消費者自身がカードの利用明細をチェックし、不正利用の発生に早期に気付くことが重要である。
このため、カード会社（イシュアー）及び業界団体等は、消費者に対し、毎月の利用明細を確認することの重要性に関する周知活動を引き続き積極的に行うこととする。
（２）クレジットカード取引に関係する事業者等への情報発信について
クレジットカード取引における不正を企図する攻撃者の手口は日々巧妙化していくた
め、加盟店をはじめとするクレジットカード取引関係事業者は最新の手口やセキュリティ
技術等に関する情報を常に収集することが求められる。
特に各加盟店におけるセキュリティ対策については、多額の投資や業務の変更等を要す
ることもあり、適切な情報の収集と分析等が必要となるが、個社の取組のみでは限界もある。
こうした事情を踏まえ、行政及び日本クレジット協会は、本実行計画の内容を広く周知するとともに、セキュリティ対策について必要な助言や情報提供を行い、その取組を支援
していくものとする。

50

Ⅳ．本協議会の今後の活動方針と体制等について
１．2019 年度の活動方針
本実行計画は各主体における 2018 年度中の活動状況等を踏まえ、2019 年度版（最終年度版）として改訂されたものである。クレジットカード取引関係事業者は実行計画 2019 年度版に基づき、2020 年に向けたセキュリティ対策の強化に向けた具体的な取組を進めることとする。
なお、各事業者等が連携して戦略的に取組むことが実効性の観点から必要であるため、カード情報の漏えい事案や不正利用の被害の実態、さらにセキュリティ対策に関する技術的進展を踏まえて、本実行計画において新たな指針として追加する必要がある場合等には、本会議又は各 WG において検討の上、本実行計画の見直し等を図ることとする。
２．本実行計画の進捗管理等に係る体制と今後の活動方針
本協議会の事務局である日本クレジット協会は、2019 年度が、2020 年 3 月末までに不正利用被害額の極小化を目指すとした本実行計画の最終年度であることを踏まえ、本実行計画の取組状況等について進捗管理を行い、各 WG に状況報告を行うものとする。また、各 WG
は、本報告を踏まえ、本実行計画の取組状況等について評価を行い、本会議に報告するものとする。
また、2020 年度以降の本協議会の活動方針・内容等については、本協議会事務局が行政、各 WG 等と連携の上、2019 年度中に案を取りまとめ、本会議において検討・決定するものとする。
本協議会事務局の円滑な活動のため、本協議会に参加する各事業者等はその活動に対して支援・協力することとする。

51

別 紙
PCI DSS 準拠について
本実行計画に定める非保持化（非保持と同等/相当を含む）を実現した場合は、PCI DSS
準拠を求めるものではない。
１．PCI DSS とは
PCI DSS は、カード情報を扱う全ての事業者に対して国際ブランドが定めたデータセキュ
リティの国際基準。安全なネットワークの構築やカード会員データの保護など、12 の要件に基づいて約 400 の要求事項から構成されており、「準拠」とは、このうち該当する要求事項に全て対応できていることをいう。PCI DSS 準拠の検証方法としては、①オンサイトレビュ
ー（認定セキュリティ評価機関（QSA）による訪問審査）又は②自己問診（SAQ、自己評価
によって PCI DSS 準拠の度合いを評価し、報告することができるツール）による方法がある。
各国際ブランドにおいて、①を求める対象範囲について、カード情報の取扱形態や規模による基準を定めている。
なお、国内における PCI DSS 準拠の取組については、日本クレジット協会が策定した「PCIDSS 準拠にかかる基準及び検証方法等に関する実施要領」に基づいて行うものとする。
２．PCI DSS 12 要件（１）PCI データセキュリティ基準-概要（バージョン 3.2.1）

Ⅰ

安全なﾈｯﾄﾜｰｸｼｽﾃﾑの
構築と維持

1.
2.
3.

Ⅱ

ｶｰﾄﾞ会員ﾃﾞｰﾀの保護

Ⅲ

脆弱性管理ﾌﾟﾛｸﾞﾗﾑの維持Ⅳ

強力なｱｸｾｽ制御手法の導入

Ⅴ

ﾈｯﾄﾜｰｸの定期的な監視
及びﾃｽﾄ

Ⅵ

情報ｾｷｭﾘﾃｨﾎﾟﾘｼｰの
維持

4.
5.
6.
7.
8.
9.
10.
11.
12.

ｶｰﾄﾞ会員ﾃﾞｰﾀを保護するために、ﾌｧｲｱｳｫｰﾙをｲﾝｽﾄｰﾙして構成を維持するｼｽﾃﾑﾊﾟｽﾜｰﾄﾞ及び他のｾｷｭﾘﾃｨﾊﾟﾗﾒｰﾀｰにﾍﾞﾝﾀﾞｰ提供のﾃﾞﾌｫﾙﾄ
値を使用しない
保存されるｶｰﾄﾞ会員ﾃﾞｰﾀを保護する
ｵｰﾌﾟﾝな公共ﾈｯﾄﾜｰｸ経由でｶｰﾄﾞ会員ﾃﾞｰﾀを伝送する場合、暗号化するすべてのｼｽﾃﾑをﾏﾙｳｪｱから保護し、ｳｨﾙｽ対策ｿﾌﾄｳｪｱ又はﾌﾟﾛｸﾞﾗﾑを定期的に更新する
安全性の高いｼｽﾃﾑとｱﾌﾟﾘｹｰｼｮﾝを開発し、保守するｶｰﾄﾞ会員ﾃﾞｰﾀへのｱｸｾｽを、業務上必要な範囲内に制限する
ｼｽﾃﾑｺﾝﾎﾟｰﾈﾝﾄへのｱｸｾｽを識別・認証するｶｰﾄﾞ会員ﾃﾞｰﾀへの物理ｱｸｾｽを制限する
ﾈｯﾄﾜｰｸﾘｿｰｽ及びｶｰﾄﾞ会員ﾃﾞｰﾀへのすべてのｱｸｾｽを追跡及び監視する
ｾｷｭﾘﾃｨｼｽﾃﾑ及びﾌﾟﾛｾｽを定期的にﾃｽﾄする
すべての担当者の情報ｾｷｭﾘﾃｨに対応するﾎﾟﾘｼｰを維持する

業態、システム・ネットワーク構成により対象となる範囲において上記の各要件に適合していることを自己問診（SAQ）又は第三者の確認（QSA による訪問審査）によって証明する。

52

３．タイプ別 SAQ
本実行計画においては、Ⅱ．A．2．（加盟店におけるカード情報の非保持化の推進について）に定める「非保持化（非保持と同等/相当を含む）」を実現した場合は、PCI DSS 準拠を求めるものではない。
カード情報を保持するため PCI DSS 準拠を選択した場合、PCI DSS ではその業態、シス
テム・ネットワーク構成に応じたタイプ別自己問診（SAQ）が示されており、該当する SAQに応じて評価することとなる。
下表はあくまで参考であり、準拠項目は業務、システム・ネットワーク構成実態による。
SAQ の詳しい内容等に関しては、日本カード情報セキュリティ協議会（JCDSC）
http://www.jcdsc.org/を参照。
求められる加盟店の業態

ｶｰﾄﾞ情報の取扱い形態

PCI DSSSAQ ﾀｲﾌﾟV3.2.1

準拠
項目数
(付録含)

・PSP のﾘﾝｸ（ﾘﾀﾞｲﾚｸﾄ） EC 又は通信販売の加盟店で型の決済ｻｰﾋﾞｽを使ｶｰﾄﾞ情報をｼｽﾃﾑ又は加盟店用する EC 加盟店

内で電子形式で通過、処理、・ｶｰﾄﾞ情報の全ての処
非対面
EC/通信
販売加盟店

保存しない

SAQ A

24

SAQ A-EP

192

SAQ B

41

SAQ B-IP

87

SAQ C

161

理を外部委託する
EC/通信販売加盟店
・PSP の JavaScript

EC の決済を PCI DSS 準拠済型の決済ｻｰﾋﾞｽを使

みのｻｰﾋﾞｽﾌﾟﾛﾊﾞｲﾀﾞ-に部分的用する EC 加盟店に委託している EC の加盟店
でｶｰﾄﾞ情報をｼｽﾃﾑ又は加盟
店内で電子形式で通過、処理、保存しない

CCT などの決済端末

ｲﾝﾌﾟﾘﾝﾀ､ｽﾀﾝﾄﾞｱﾛン型のﾀﾞｲｱ

をﾀﾞｲｱﾙｱｯﾌﾟ接続する

ﾙｱｯﾌﾟの決済端末のみによっ

主に対面加盟店てｶｰﾄﾞ情報を処理する加盟店であり、ｶｰﾄﾞ情報を保存し
ていない。

対面/通信

CCT などの決済端末

決済ﾈｯﾄﾜｰｸ又は ASP/ｸﾗｳﾄﾞ

販売加盟店

を IP 接続する主に対事業者に IP 接続されるｽﾀﾝﾄﾞ※EC 加盟面加盟店

ｱﾛﾝ型の PCI PTS 認定の決済店には適端末のみによってｶｰﾄﾞ情報用されなを処理する加盟店であり、ｶｰいﾄﾞ情報を保存していない。
POS をｲﾝﾀｰﾈｯﾄに接続

POS ｼｽﾃﾑ又はその他のｲﾝﾀｰﾈ

してｶｰﾄﾞ処理する主にｯﾄに接続されているﾍﾟｲﾒﾝﾄｱ

POS 加盟店

ﾌﾟﾘｹｰｼｮﾝ経由でｶｰﾄﾞ情報を処理するが、ｶｰﾄﾞ情報をｺﾝﾋﾟｭｰﾀｼｽﾃﾑに保存しない加盟店

53

電話やﾊｶﾞｷ/FAX でｶｰ

Web ﾌﾞﾗｳｻﾞなどの仮装端末

ﾄﾞ処理する主に通信販のみでｲﾝﾀｰﾈｯﾄを経由して、1売加盟店件ずつｶｰﾄﾞ情報を処理し、ｶｰﾄﾞ情報をｺﾝﾋﾟｭｰﾀｼｽﾃﾑに保存しない。決済に利用する Web

SAQ C-VT

84

SAQ P2PE

33

ｱﾌﾟﾘｹｰｼｮﾝは PSP、ｱｸﾜｲｱﾗｰなどｻｰﾄﾞﾊﾟｰﾃｨｰから提供される必要がある。
PCI P2PE ｿﾘｭｰｼｮﾝを

PCI P2PE に認定されたｿﾘｭｰ

導入した主に POS 加

ｼｮﾝを導入し、それらに含ま盟店

れる決済端末のみでｶｰﾄﾞ情報を処理する加盟店であり、ｶｰﾄﾞ情報を保存していない

・PSP のﾓｼﾞｭｰﾙ（ﾌﾟﾛﾄｺﾙ）型を使用する EC
加盟店
・ｶｰﾄﾞ情報をｻｰﾊﾞｰや・ｶｰﾄﾞ情報を自社のｻｰﾊﾞｰで処理する加盟店
・ｶｰﾄﾞ情報を電子形式で保存
する加盟店

対面/

PC で保存する POS

・ｶｰﾄﾞ情報を電子形式で保存

非対面や通信販売加盟店

しないが他の SAQ ﾀｲﾌﾟの加盟店

・ｶｰﾄﾞ情報を POS ｼｽﾃ

基準を満たさない加盟店

ﾑで通過、処理、保存・他の SAQ ﾀｲﾌﾟを満たす環する加盟店

境にあるが、自社の環境に
他の PCI DSS 要件が適用されるような加盟店

54

SAQ D
Marchant330

【参考】クレジット取引セキュリティ対策協議会の検討経緯

◆本会議
第1回

2015 年 3 月 25 日

議題：クレジット取引における不正被害の状況とクレジット業界のこれまでの取組について
ＷＧの設置について
第2回

等2015 年 7 月 23 日

議題：中間論点整理と今後の検討の方向性について
第3回

2016 年 2 月 23 日

議題：クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画 2016（案）について
第4回

2017 年 3 月 8 日

議題：クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2016−に基づく協議会並びに各主体の活動状況等についてクレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2017−について
第5回

2018 年 3 月 1 日

議題：クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2017−に基づく協議会並びに各主体の活動状況等についてクレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2018−について
第6回

2019 年 3 月 1 日

議題：「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2018−」に基づく協議会並びに各主体の活動状況等について「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画−2019−」について◆カード情報保護 WG（WG1）
第1回

2015 年 5 月 1 日

議題：クレジット取引における不正被害の状況とクレジット業界のこれまでの取組について
カード情報保護ＷＧの検討課題と検討の進め方について
第2回

2015 年 5 月 29 日

議題：カード情報保護の取り組みを進める上での課題について①
第3回

2015 年 6 月 15 日

議題：カード情報保護の取り組みを進める上での課題について②
第4回

等2015 年 7 月 6 日

議題：本会議に向けた中間論点整理と今後の検討の方向性について
第5回

2015 年 9 月 18 日

議題：2020 年のあるべき姿及び優先的に取り組む課題と具体的な論点等について
第6回

2015 年 11 月 20 日

55

議題：決済代行業者との非保持化方式のリスク低減に向けた対応について
対面取引での非保持化の検討状況について
QSA との検討状況について
第7回

2015 年 12 月 21 日

議題：WG1 実行計画（案）について①
第8回

等2016 年 1 月 26 日

議題：WG1 実行計画（案）について②
第9回

2016 年 4 月 20 日

議題：今後の進め方について
非保持化実施加盟店における問合せ対応について
通過型 EC 加盟店におけるトランザクションログ消去等の要請実施について
第 10 回

2016 年 5 月 19 日

議題：非保持化の実現方策及び問合せ対応方法について
第 11 回

2016 年 12 月 19 日

議題：「非保持化」の定義について
実行計画の見直しについて
第 12 回2017 年 1 月 18 日

議題：実行計画 2017 について
第 13 回2017 年 1 月 31 日

議題：実行計画 2017 について
第 14 回2017 年 2 月 13 日

議題：実行計画 2017 について
第 15 回2017 年 2 月 23 日

議題：実行計画 2017 について
第 16 回2017 年 4 月 27 日

議題：非保持と同等/相当のセキュリティ措置について
第 17 回2017 年 7 月 25 日

議題：メールオーダー/テレフォンオーダー等の非対面加盟店の対応について2017 年度中に重点的に実施すべき具体的な取組の進捗報告
第 18 回2017 年 11 月 9 日

議題：メールオーダー・テレフォンオーダー加盟店における非保持化対応ソリューションについて
2017 年度中に重点的に実施すべき具体的な取組の進捗状況及び実行計画 2018 策定の方向性について「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」ガイドライン（暫定版）について第 19 回2017 年 12 月 21 日

議題：「POS-IC 化推進に向けたシステム構成〜対面加盟店における非保持と同等/相当のセキュリテ56ィ確保を可能とする措置に関する具体的な技術要件について〜」の一部修正について
非保持化実現加盟店における過去のカード情報保護対策
クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2018-（案）について第 20 回2018 年 1 月 30 日

議題：メールオーダー・テレフォンオーダー加盟店におけるカード情報保護対策について
クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2018-（案）について第 21 回2018 年 2 月 9 日

議題：クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画-2018-（案）について第 22 回2018 年 7 月 26 日

議題：実行計画 2018 に基づく今年度の協議会 WG1 の取組について（情報保護対策周知・推進に向けたセミナー等開催について）
協議会 WG1 における関連ドキュメントの取扱いについて
加盟店における情報保護対策の体系の周知資料について
EC 加盟店のセキュリティ対策の取組状況の見える化の検討状況について
第 23 回2018 年 12 月 21 日

議題：（カード情報保護分野の情報発信・周知活動について）「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について」の改訂について
協議会 WG2 からの照会事項について
実行計画 2019 の策定について
第 24 回

2019 年 2 月 4 日

議題：（カード情報保護分野の情報発信・周知活動について）
実行計画 2019 の策定について
実行計画 2019 の策定に伴う FAQ（WG1 分野）の更新について◆クレジットカード偽造防止対策 WG（WG2）
第1回

2015 年 4 月 21 日

議題：クレジット取引における不正被害の状況とクレジット業界のこれまでの取組について
カード偽造防止対策 WG の検討課題と検討の進め方について
第2回

2015 年 5 月 18 日

議題：IC カード対応への取り組みを進める上での課題について①
第3回

2015 年 6 月 11 日

議題：IC カード対応への取り組みを進める上での課題について②
第4回

2015 年 7 月 1 日

57

議題：本会議に向けた中間論点整理と今後の検討の方向性について
第5回

2015 年 9 月 18 日

議題：2020 年のあるべき姿及び優先的に取り組む課題と具体的な論点等について
SWG の設置及び座長会社の選任等について
第6回

2015 年 11 月 17 日

議題：オペレーション SWG の検討状況について
実現方式検討 SWG の検討状況について
WG の今後の進め方について
第7回

2015 年 12 月 18 日

議題：WG2 実行計画（案）について①
第8回

等2016 年 2 月 2 日

議題：WG2 実行計画（案）について②
第9回

2016 年 4 月 22 日

議題：今後の進め方について国際ブランドルールの確認結果と IC 取引のオペレーションの考え方の取りまとめについて
第 10 回

2016 年 12 月 16 日

議題：残課題の検討状況について
実行計画 2017 について
第 11 回2017 年 1 月 17 日

議題：実行計画 2017 について
残課題の現状報告
第 12 回2017 年 2 月 3 日

議題：実行計画 2017 について
第 13 回2017 年 2 月 17 日

議題：実行計画 2017 について
第 14 回2017 年 6 月 16 日

議題：実行計画 2017 重点的に実施すべき具体的な取組状況について
第 15 回2017 年 11 月 1 日

議題：実行計画 2017 取組み報告
実行計画 2018 について
実行計画ガイドラインについて
第 16 回2018 年 1 月 24 日

議題：クレジットカード IC 化向けた取組報告
加盟店に対する決済システムの IC 対応に向けた取組
IC 対応に向けた加盟店周知活動報告
第 17 回2018 年 3 月 13 日

議題：POS ガイドライン（接触・非接触）改定について58

第 18 回2018 年 7 月 12 日

議題：自動精算機の対応指針の改訂
IC 対応端末範囲の整理
IC 対応加盟店の「見える化」状況について
実行計画 2018 重点取り組み状況の報告
第 19 回2018 年 11 月 29 日

議題：オートローディング式自動精算機の IC 対応指針と自動精算機の本人確認方法について（1.2 版）
について
第 20 回

2019 年 1 月 21 日

議題：「国内ガソリンスタンドにおける IC クレジットカード取引対応指針」の改訂について
IC カード対応 POS ガイドライン 1.1 版等の改訂について
実行計画 2019 の策定について
第 21 回

2019 年 2 月 13 日

議題：IC カード対応 POS ガイドライン 1.1 版等の改訂について◆不正使用対策 WG（WG3）
第1回

2015 年 4 月 27 日

議題：クレジット取引における不正被害の状況とクレジット業界のこれまでの取組について
不正使用対策 WG の検討課題と検討の進め方について
第2回

2015 年 5 月 13 日

議題：EC サイトでの不正使用対策を進める上での課題について①
第3回

2015 年 6 月 9 日

議題：新たな本人認証の方策について
EC サイトにおける不正発生被害状況等について
第4回

2015 年 7 月 9 日

議題：本会議に向けた中間論点整理と今後の検討の方向性について
第5回

2015 年 9 月 16 日

議題：2020 年のあるべき姿及び優先的に取り組む課題と具体的な論点等について検討課題に対する具体的な進め方について
不正使用対策を講じていない加盟店等に対する具体的な対策等について①
第6回

2015 年 10 月 19 日

議題：不正使用対策を講じていない加盟店等に対する具体的な対策等について②
既存の本人認証手法の課題を踏まえた普及に向けた具体的な方策について
第7回

2015 年 11 月 12 日

議題：グローバルでの不正利用と対策の動向
非対面取引におけるクレジットカードの不正使用対策の強化に向けた実行計画について①
第8回

2015 年 12 月 4 日

59議題：EC 取引におけるクレジットカードの不正使用対策の強化に向けた実行計画について②
第9回

2016 年 2 月 6 日

議題：ＥＣ取引におけるクレジットカードの不正使用対策の強化に向けた実行計画について③
第 10 回

2016 年 6 月 2 日

議題：今後の進め方について
3D セキュア 2.0 の概要について
第 11 回

2016 年 8 月 9 日

議題：実行計画におけるなりすまし防止対策の推進状況等について（報告）3D セキュア 2.0 の影響と今後の対応等について
第 12 回

2016 年 10 月 17 日

議題：カード会社による加盟店への現状確認の結果と判明した課題への対応について
3D セキュア 2.0 の状況について
第 13 回

2016 年 11 月 16 日

議題：3D セキュア 2.0 の対応について
不正被害の多い業種の検証について
第 14 回

2016 年 12 月 14 日

議題：実行計画 2017 について
第 15 回2017 年 1 月 13 日

議題：実行計画 2017 について
第 16 回2017 年 2 月 6 日

議題：実行計画 2017 について（継続審議）
第 17 回2017 年 2 月 21 日

議題：実行計画 2017 について（継続審議）
第 18 回2017 年 5 月 15 日

議題：2017 年度の重点取組課題の進め方について
SWG（サブワーキング）の組成について
第 19 回2017 年 7 月 28 日

議題：なりすまし防止対策の基準の検討状況について
第 20 回2017 年 10 月 12 日

議題：なりすまし防止対策の基準について（SWG の取りまとめ案）
実行計画 2018 に向けての取組みについて
第 21 回2017 年 12 月 26 日

議題：好事例のレポートについて（SWG の取りまとめ案）
消費者への情報発信等について実行計画 2018 に向けての取組みについて
第 22 回2018 年 1 月 25 日

議題：実行計画 2018 について60

第 23 回2018 年 2 月 6 日

議題：実行計画 2018 について（継続審議）
第 24 回2018 年 2 月 13 日

議題：実行計画 2018 について（継続審議）
実行計画 2018（案）について（共通部分）
消費者における不正利用対策への理解・認知向上のための取組について
第 25 回2018 年 6 月 15 日

議題：実行計画 2018 に基づく今年度の協議 WG3 の取組について
日本クレジット協会における不正利用被害額抑止に実効的な取組を行うための新たな会合の組成について、およびＥＣ加盟店のセキュリティ対策の取組状況の見える化の検討状況について
北米の非対面加盟店の不正使用対策について
第 26 回2018 年 10 月 18 日

議題：不正利用対策の効果検証に係る取組について
・インフラ整備部会

非対面不正利用対策検討 WG について・不正利用対策検討 WG の提言を踏まえた検討事項
不正利用対策への理解・認知度を高める取組について
実行計画 2019 策定の方向性について
第 27 回2018 年 11 月 12 日

議題：実行計画の修正ポイントについて
第 28 回2018 年 12 月 6 日

議題：インフラ整備部会 非対面不正利用対策検討ＷＧからの提言
実行計画 2019 素案について
第 29 回2018 年 12 月 27 日

議題：実行計画 2019 改訂案について
第 30 回

2019 年 1 月 17 日

議題：実行計画 2019 改訂案について
第 31 回

2019 年 2 月 14 日

議題：実行計画 2019 改訂案について
コード決済における不正流出したクレジットカード情報の不正利用防止対策について61