2024 年 3 月 15 日

「クレジットカード・セキュリティガイドライン【5.0 版】」を取りまとめました

クレジット取引セキュリティ対策協議会
クレジット取引セキュリティ対策協議会(注 1)（以下「協議会」という）（議長 中央大学法科大学院 笠井 修 教授）では、2024 年 3 月 14 日に第 11 回本会議を開催し、「クレジットカー（注 2）
ド・セキュリティガイドライン（以下「ガイドライン」という）【5.0 版】」を取りまとめました。
協議会では、我が国のキャッシュレス社会において、安全・安心なクレジットカード利用環境を実現するよう、引き続きクレジットカード取引に関係する幅広い事業者と連携しつつ、セキュリティ対策の強化に向けた取組を推進してまいります。
１．背景
クレジットカード情報の盗用による非対面取引における不正利用被害が依然として高い水準で推移しています。その原因としては、EC 加盟店の既知の脆弱性を悪用した不正アクセス、大量かつ連続する不正アタックによるクレジットカード番号の有効性確認、フィッシング等によりクレジットカード情報や静的（固定）パスワードが不正に窃取され、これらのクレジットカード情報等がコード決済のチャージや EC 加盟店での決済で悪用されていることが考えられます。
これらの状況を鑑み、クレジットカード情報の窃取及び不正利用を防止するため、ガイドライン【5.0 版】を取りまとめました。
２．主な改訂ポイント（詳細は別紙参照）
ガイドライン【5.0 版】では、従前の【4.0 版】の内容を基に、割賦販売法やカードビジネスの実務に精通していない事業者であっても、自身がどの事業者に該当し、どのような対策を講じる必要があるのかを理解し、必要なセキュリティ対策を自らが適切に講じることを目的とした構成の変更を行いました。
これにより、各関係事業者において適切なセキュリティ対策を不断に講じられることにより、不正の抑制に繋げるものです。
３．関連リンク■クレジットカード・セキュリティガイドライン【5.0 版】（一般社団法人日本クレジット協会ホームページ）
https://www.j-credit.or.jp/security/document/index.html（注 1）クレジット取引セキュリティ対策協議会は、国内のクレジットカード取引において「国際水準のセキュリティ環境」を整備することを目的として、クレジット取引に関わる幅広い事業者及び行政等が参画し、2015 年（平成 27 年）3 月に設置された。協議会事務局を一般社団法人日本クレジット協会が務めている(委員・オブザーバー 一覧は別添参照)。

（注 2）クレジットカード・セキュリティガイドラインは、「割賦販売法（後払分野）に基づく監督の基本方針」において割賦販売法で義務付けられているカード番号等の適切な管理及び不正利用防止措置の実務上の指針として位置付けられ、ガイドラインに掲げる措置又はそれと同等以上の措置を適切に講じている場合には、セキュリティ対策に係る法令上の基準となる「必要かつ適切な措置」を満たしていると認められる。ガイドラインにおいては、同法で規定される措置に該当する部分を【指針対策】と記載している。

◎お問い合わせは以下までお願いいたします。
クレジット取引セキュリティ対策協議会 事務局
一般社団法人日本クレジット協会 業務企画部〒103-0016 東京都中央区日本橋小網町 14 番 1 号 住生日本橋小網町ビル
TEL：03-5643-0011
投稿先：東商記者クラブ・日銀記者クラブ

別 紙2024 年 3 月 15 日

クレジットカード・セキュリティガイドライン【5.0 版】の主な改訂ポイント
クレジット取引セキュリティ対策協議会
１．構成の変更
・対策は従前の【4.0 版】の内容を基に、対象事業者ごとに、対面取引と非対面取引別に、各事業者が講じるべきカード情報保護対策、不正利用対策、周知・啓発等に関して、対策を具体的に記載している。
・なお、指針対策の実装方法や仕様については、ガイドライン本文に基本的な考え方や概要を記載し、詳細な内容については関係する附属文書を改訂及び新規作成を行い記載した。
２．EC 加盟店の EMV 3-D セキュアの導入について
2025 年 3 月末までの、原則、全ての EC 加盟店の EMV 3-D セキュアの導入に向けて、イシュアーの目標設定やアクワイアラー・PSP の EC 加盟店への導入優先順位の考え方について記載。
（1）イシュアー
・2025 年 3 月末時点において EC 利用会員ベースで 80％の EMV 3-D セキュア登録率を目指し、自社カード会員に対して登録を強く推進するための取組を行う
・2025 年 3 月末時点で EMV 3-D セキュア登録会員ベースで 100％の「静的（固定）パスワード」以外の認証方法への移行率を目指し、登録・移行するよう取組む（2）EC 加盟店
・EC 加盟店は、EMV 3-D セキュアの導入計画を策定し早期の導入に着手する
・「不正顕在化加盟店」は、即時に EMV 3-D セキュアの導入に着手する（3）カード会社（アクワイアラー）
・PSP・「加盟店における EMV 3-D セキュアの導入推進ロードマップ（2023 年 11 月 30 日）に従って EC 加盟店に対し導入計画の策定及び導入を働きかける・「不正顕在化加盟店」に対して、即時の導入着手を働きかける・「不正顕在化加盟店」以外の加盟店に対して、EMV 3-D セキュアの導入計画を策定し早期に EMV 3-D セキュアの導入に着手するよう働きかける
・EC 加盟店と新規に加盟店契約する際は、2025 年 3 月末までに EMV 3-D セキュアを導入することを説明した上で契約する
３． EC 加盟店における情報保護対策及び不正利用対策（1）カード情報保護対策
・EC 加盟店は、EC サイトの基本的なセキュリティ対策の不備を原因としたカード情報の漏えいや会員のログインアカウント窃取を企図する者の最新の攻撃手口等の情報を踏まえ、常にセキュリティ対策を講じる必要がある。

・EC 加盟店は、新規加盟店契約の申込み前に、自ら「セキュリティ・チェックリスト」記載のセキュリティ対策を実施し、その状況をアクワイアラーや PSP に申告、アクワイアラーや PSP は EC 加盟店からの申告を受けた上で加盟店契約を締結することが求められる。
（試行）
・上記の EC 加盟店によるセキュリティ対策の実施については、2025 年 4 月から、新規のみならず全ての EC 加盟店に対して求めることとしている。
・アクワイアラーや PSP は、「セキュリティ・チェックリスト」記載のセキュリティ対策を実施する必要性の周知を行う（2）不正利用対策
・非対面取引においては、加盟店の業種や業態、取扱商品、不正利用の実態等により、効果的な不正利用対策が異なっているため、今後は、より抑止効果を高めるために、カード決済の場面（決済前・決済時・決済後）を考慮して、関係事業者それぞれの場面ごとに実施すべき、これから目指すべき不正利用対策として「線の考え方」である全体像を示した。
・EMV 3-D セキュアを不正利用対策の軸とし、クレジットマスターやフィッシング被害を抑止する「カード決済前」や商品の配送が伴う場合の「カード決済後」の対策も加え、不正利用対策をより実効的なものとするため、今後、詳細運用を検討する。
以上

別 添

クレジット取引セキュリティ対策協議会
本会議 委員・オブザーバー 一覧【委 員】＜クレジットカード事業者＞ 10 社
イオンフィナンシャルサービス(株)、(株)オリエントコーポレーション、(株)クレディセゾン、(株)ジェーシービー、(株)ジャックス、トヨタファイナンス(株)、三井住友カード(株)、三菱 UFJ ニコス(株)、ユーシーカード(株)、楽天カード(株)＜決済代行業者＞ 1 団体
EC 決済協議会＜加盟店＞ 8 社(株)ジャパネットホールディングス、(株)JTB、J.フロントリテイリング(株)、(株)三越伊勢丹ホールディングス、ユニー(株)、(株)ヨドバシカメラ、LINE ヤフー(株)、楽天グループ(株)＜情報処理センター＞ 1 社(株)NTT データ＜機器メーカー＞ 2 社
NEC プラットフォームズ(株)、オムロンソーシアルソリューションズ(株)＜セキュリティ事業者＞ 2 社
Secure・Pro(株)、トレンドマイクロ(株)＜消費者団体＞ 1 団体
(一社)全国消費者団体連絡会＜学識経験者＞ 1 名
笠井修・中央大学法科大学院教授【オブザーバー】＜国際ブランド＞ 5 社
アメリカン・エキスプレス・インターナショナル,Inc.、
ビザ・ワールドワイド・ジャパン(株)、マスターカード・ジャパン（株）、三井住友トラストクラブ(株)〔ダイナースクラブ〕、銀聯国際有限公司＜団体事務局＞ 3 団体
日本チェーンストア協会、(公社)日本通信販売協会、 (一社)日本百貨店協会＜官庁＞
経済産業省