クレジットカード・セキュリティガイドライン【4.0 版】＜公表版＞

クレジット取引セキュリティ対策協議会
事務局

一般社団法人日本クレジット協会

53目次
はじめに ..................................................................................................................................................... 4
用語集 ......................................................................................................................................................... 5
附属文書、関係文書 ................................................................................................................................. 10（１）附属文書一覧 ................................................................................................................................. 10（２）関係文書一覧 ................................................................................................................................. 11
本ガイドラインの基本的な考え方 ........................................................................................................... 12
Ⅰ．クレジットカード情報保護対策分野 ................................................................................................ 13
１．各事業者に求められる対策等 ....................................................................................................... 14（１）1 号事業者 カード発行会社（イシュアー） ........................................................................... 14（２）2 号事業者 加盟店 ................................................................................................................... 14❶加盟店に求められる対策 ............................................................................................................... 15❷加盟店における対策概要 ............................................................................................................... 15①非保持化対策 ............................................................................................................................. 16１）非対面加盟店における非保持化対策 ..................................................................................... 16ａ）EC 加盟店の対策 ................................................................................................................ 16＜留意事項＞ ............................................................................................................................. 17□EC 加盟店における非保持化導入例 .......................................................................................... 17❶リダイレクト（リンク）型 .................................................................................................... 17❷JavaScript 型（トークン型） ............................................................................................... 17ｂ）メールオーダー・テレフォンオーダー加盟店の対策 ........................................................ 18＜具体的方策の考え方＞ ........................................................................................................... 18□MO・TO 加盟店における非保持化（非保持と同等/相当を含む）導入例 ................................ 18❶非保持化 決済用端末を利用した外回り方式 ....................................................................... 18❷非保持化 タブレット等の専用端末を利用した外回り方式 ................................................. 19❸非保持と同等/相当 PCI P2PE 認定ソリューション端末を利用した内回り方式 .................. 19２）対面加盟店における非保持化対策 ......................................................................................... 20＜具体的方策の考え方＞ ........................................................................................................... 20＜留意事項＞ ............................................................................................................................. 20□対面加盟店における非保持化（非保持と同等/相当を含む）導入例 ........................................ 21❶・❷非保持化 決済専用端末連動型・ASP/クラウド接続型（外回り方式） ...................... 21❸非保持と同等/相当 ASP クラウド接続型（内回り方式）................................................... 21３）非保持化対策における留意点 ................................................................................................ 22ａ）非保持化を実現した加盟店における顧客からの照会等への対応 ...................................... 22ｂ）過去に取り扱ったカード情報の保護対策 .......................................................................... 23（３）3 号事業者 カード会社（アクワイアラー） ........................................................................... 23（４）4 号事業者 決済代行会社等..................................................................................................... 23（５）5 号事業者 QR コード決済事業者等 ................................................................................ 24（６）6 号事業者 5 号事業者の委託会社 .......................................................................................... 24（７）7 号事業者 加盟店向け決済システム提供会社 ....................................................................... 24（８）その他関係事業者等 .................................................................................................................. 26②PCI DSS 準拠 ............................................................................................................................ 26
２．その他留意事項 ............................................................................................................................. 27（１）カード情報の取扱い業務を外部委託する場合の留意点と受託者における必要な対策 ............ 27（２）カード情報漏えい時の対応 ........................................................................................................ 27
Ⅱ．不正利用対策分野 ............................................................................................................................. 28（Ａ）対面取引におけるクレジットカードの不正利用対策 ................................................................... 28
１．各事業者に求められる対策等 ....................................................................................................... 28
1

（１）カード会社（イシュアー） ....................................................................................................... 28（２）加盟店 ........................................................................................................................................ 28①POS システムの IC 対応に係る実現方式例 .................................................................................. 28１）決済専用端末（CCT）連動型 ................................................................................................ 28２）決済サーバー接続型 ............................................................................................................... 29
３)ASP/クラウド接続型 ............................................................................................................... 30②クレジットカード決済に POS システムを用いない加盟店等の対応 ........................................... 30③特定業界向けの IC 対応について.................................................................................................. 31
１）ガソリンスタンドにおける IC 対応上の実現可能な方策 ...................................................... 31２）オートローディング式自動精算機における IC 対応 ............................................................. 31□加盟店における指針対策の実現方法 ......................................................................................... 31（３）カード会社（アクワイアラー） ................................................................................................ 32（４）その他関係事業者等 .................................................................................................................. 32
２．IC 取引時のオペレーションルール................................................................................................... 32（１）接触 IC 取引 ............................................................................................................................... 32（２）非接触 IC 取引 ........................................................................................................................... 33①カード型 ........................................................................................................................................ 33②モバイル型等 ................................................................................................................................. 33□取引形態別（接触 IC 取引/非接触 IC 取引）の本人確認方法................................................... 34（３）サイン取得の任意化、PIN バイパスの廃止、NoCVM の見直しについて .............................. 34①加盟店によるサイン取得の任意化 ................................................................................................ 34②PIN バイパスの廃止...................................................................................................................... 35③NoCVM（本人確認不要取引）の見直し ...................................................................................... 35
３．その他留意事項 ................................................................................................................................. 37（Ｂ）非対面取引におけるクレジットカードの不正利用対策 ............................................................... 38
１．各事業者に求められる対策等 ....................................................................................................... 38（１）カード会社（イシュアー） ....................................................................................................... 38①リスクベース認証（RBA）の精度向上 ........................................................................................ 39②「静的（固定）パスワード」以外の認証方法への移行について ................................................. 39③クレジットカードと連携するコード決済事業者等に対する多面的・重層的な対策の実施......... 39④カード会員に対するカード利用時の利用内容通知 ....................................................................... 39⑤多数回連続の不審なオーソリゼーションへの対策 ....................................................................... 40（２）EC 加盟店 .................................................................................................................................. 40①EC 加盟店における非対面不正利用対策の具体的方策................................................................. 40
１）本人認証 ................................................................................................................................. 40ａ）EMV 3-D セキュア ............................................................................................................. 41ｂ）認証アシスト ...................................................................................................................... 41２）券面認証（セキュリティコード） ......................................................................................... 41３）属性・行動分析（不正検知システム）.................................................................................. 41４）配送先情報 ............................................................................................................................. 41②EC 加盟店における非対面不正利用防止のための方策導入の考え方 ........................................... 42
１）高リスク商材取扱加盟店 ....................................................................................................... 42２）不正顕在化加盟店 .................................................................................................................. 43③大量かつ連続する不正アタックへの対応 ..................................................................................... 43（３）カード会社（アクワイアラー）及び PSP ................................................................................. 44①EMV 3-D セキュアへの対応 ......................................................................................................... 44②クレジットカードと連携する決済サービスを提供する決済事業者等との契約時におけるセキュリティ対策の確認について................................................................................................. 44（４）その他関係事業者等 .................................................................................................................. 45①国際ブランド ................................................................................................................................. 452

②行政................................................................................................................................................ 45③業界団体等 ..................................................................................................................................... 45■今後の不正利用防止対策に向けた協議会の活動について ............................................................... 45
Ⅲ．消費者及び事業者等への周知・啓発について ................................................................................. 46
１．消費者への周知・啓発 .................................................................................................................. 46（１）カード会社（イシュアー） ....................................................................................................... 46（２）加盟店 ........................................................................................................................................ 47（３）その他関係事業者等 .................................................................................................................. 47①国際ブランド ................................................................................................................................. 47②行政................................................................................................................................................ 47③業界団体等 ..................................................................................................................................... 47
２．事業者等への周知・啓発 ............................................................................................................... 47（１）カード会社（アクワイアラー）・PSP ..................................................................................... 48（２）その他関係事業者 ...................................................................................................................... 48①国際ブランド ................................................................................................................................. 48②業界団体等 ..................................................................................................................................... 48
履歴........................................................................................................................................................... 49

3

はじめに
「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画（以下「実行計画」という）」がその実施期限である 2020 年 3 月末に終了し、クレジットカード取引の関係事業者が実施すべきセキュリティ対策を「クレジットカード・セキュリティガイドライン（以下「本ガイドライン」という）」として 2020 年 3 月にとりまとめて以降、3 回目の改訂となる。
我が国では、政府の政策としてキャッシュレス化を推進し、2025 年 6 月までにキャッシュレス決済
比率 40％を目指す目標を打ち立てている。2021 年現在、我が国のキャッシュレス決済比率は 32.5%に増加しており、多様なキャッシュレス決済がある中で、クレジットカード決済は依然として圧倒的なウェイト（85.3％）を占め堅調に成長している。一方、クレジットカード情報の盗用による非対面不正利用の被害は依然として高い水準で推移している。このような状況は、非保持化を達成した EC 加盟店の設定の不備や既知の脆弱性を悪用した悪意のある第三者の不正アクセスによるクレジットカー
ド情報の窃取や、大量かつ連続する不正アタックによるクレジットカード番号の有効性確認、フィッ
シングメールによるクレジットカード情報の窃取等により不正に取得されたクレジットカード情報や静的（固定）パスワードが、コード決済や EC 加盟店で悪用されているものと考えられる。
このようなクレジットカード情報の窃取、不正利用を防止するため、EC 加盟店におけるカード情報保護対策及び本人認証を強化するための取組が求められる状況にある。加えて、キャッシュレス化の進展に伴い、カードレスやモバイルの利用が拡大しており、新たな決済の仕組みに応じた取引ルールの見直しや、消費者へフィッシングメールへの注意喚起やクレジットの安全・安心な利用に関する周知啓発等の円滑な取組も必要となっている。
かかる状況下、経済産業省においても 2022 年 6 月に産業構造審議会 商務流通情報分科会 割賦販売小委員会を開催し、優先して取り組んでいくべきセキュリティ対策とこれら対策の実施における課題を取りまとめた「クレジットカードシステムのセキュリティ対策の更なる強化に向けた方向性」を報告した。さらに、同年８月からは「クレジットカード決済システムの対策強化検討会」を開催し、技術的な観点を含め、事業者、業界、行政が実施するべきセキュリティ対策について議論を行い、2023
年 1 月に報告書を取りまとめ、割賦販売小委員会に報告を行ったところである。
本協議会としてはこれまでも、非対面取引の情報保護対策としての基本的なセキュリティ対策の強化、不正利用対策としての本人認証の強化に向けて、EMV 3-D セキュアの導入推進や多面的・重層的な対策の導入の必要性を本ガイドラインに掲載し、関係事業者に取組を求めてきたところであるが、上述のような状況を踏まえ、実効性あるセキュリティ対策を検討し、今般、クレジットカード・セキュリティガイドライン【4.0 版】として取りまとめたものである。各関係事業者がクレジットカード決
済環境の変化を踏まえ、本ガイドラインに基づくセキュリティ対策を実施し、クレジットカードを利用する消費者が安全・安心に利用できる環境の整備に一層取り組まれることを引き続き期待する。
2023 年 3 月

4

用語集
本ガイドラインにおける用語の説明は以下のとおり。
（本文中（目次及び用語集内における記載を除く）において、用語集に掲載する用語が初出する箇所に「*」を付している。）
用 語
3-D セキュア

4 号事業者

5 号事業者

6 号事業者

7 号事業者

CAPTCHA 認証
CCT
CVM リミット金額

DUKPT
EMV 3-D セキュア説明

EC 加盟店における非対面不正利用防止のための本人認証手法の一つ。
利用者がカード会員本人であることを確認する仕組みであり、カード会員に本人のみが知る情報を入力させることなどにより、本人認証を行う。
「3-D セキュア 1.0」と後述する「EMV 3-D セキュア」の 2 種類があり、「3-D セキュア 1.0」は 2022 年 10 月で取扱終了となった。
割賦販売法第 35 条の 16 第 1 項第 4 号に規定される事業者であり、具体的には、アクワイアラー（3 号事業者）から交付を受けた代金相当額（立替金）を加盟店に交付する事業者を指す。
※ 詳細は、「Ⅰ. クレジットカード情報保護対策分野」で説明。
割賦販売法第 35 条の 16 第 1 項第 5 号に規定される事業者であり、具体的には、カード会員データ等を別の決済用情報（QR、ID 等）に紐付け、当該決済用情報で後払決済を行うことができるサービスを提供している事業者を指す。
※ 詳細は、「Ⅰ. クレジットカード情報保護対策分野」で説明。
割賦販売法第 35 条の 16 第 1 項第 6 号に規定される事業者であり、具体的には、5 号事業者からカード会員データの伝送処理保存を委託されている事業者を指す。
※ 詳細は、「Ⅰ. クレジットカード情報保護対策分野」で説明。
割賦販売法第 35 条の 16 第 1 項第 7 号及び割賦販売法施行規則第 132 条の 2 に規定される事業者であり、具体的には、加盟店が決済代行会社又はアクワイアラーにカード
会員データを提供するために、クレジットカード決済機能を有するシステム及びそのサービスを提供する事業者を指す。この事業者には、カード会員データの伝送処理保存を行っている事業者、決済代行会社又はアクワイアラーに接続できる決済モジュー
ルを提供している事業者も含まれる。
※ 詳細は、「Ⅰ. クレジットカード情報保護対策分野」で説明。
画像認証とも言う。デバイス上に表示された文字や数字を入力することで、操作している者が人間かロボットかを判別する仕組み。
Credit Center Terminalの略。
共同利用端末として運営される情報処理センターの信用照会端末。
CVMとは、Cardholder Verification Methodの略。
クレジットカードに対するカード保有者を認証する本人確認方法。カードを提示した者が当該カードを使用する権利を有する者かを検証する。
CVMリミット金額とは、カード会社が定める本人確認を不要とする上限額。
Derived Unique Key Per Transactionの略。
トランザクションごとにデータの暗号鍵が異なる暗号鍵管理の仕組み。
オンラインショッピング時にクレジットカード番号等の情報の盗用による不正利用を防ぎ、安全にクレジットカード決済を行うために国際ブランドが推奨する本人認証サービス。
各カード会社（イシュアー）が、カード会員のデバイス情報等を用いて不正利用のリスク判断を行うとともに、必要に応じてパスワード入力を要求することで当該取引における安全性を確保する。
【EMV 3-D セキュア仕様の特徴について】①リスクベース認証で判定されたリスク度合いに応じて、認証処理は下記の通りフローが異なる。
・低：フリクションレスフローとしてパスワード等の入力なしに認証が完結する。

5

用 語

EMV カーネル

EMV 認定

IC 化

IC 対応
IC 取引
MO・TO 加盟店
mPOS

No CVM
PCI DSSPCI MPoC

PCI PTS説

明・中：チャレンジフローとして会員に対して追加の認証（パスワード等）を要求する。
・高：認証拒否②ブラウザ（PC）を利用した取引に加え、スマートフォンやタブレットによるアプリ
ケーションを利用した取引にも活用できる。
③クレジットカード登録等、非決済分野での利用が可能。
詳細は、「EMV 3-D セキュア導入ガイド【附属文書 14】」参照
EMVとは、IC取引の基準を策定する国際的な業界団体EMVCoが管理するICカードによる金融取引に関する仕様で、事実上の国際的な基準。
カーネル（Kernel）とは、オペレーティングシステム（OS）の中核となる部分であり、EMV カーネルは EMV 仕様に対応したカーネルをいう。IC 取引によるクレジッ
ト決済処理を行うために必要なソフトウェア。
EMVCoが相互運用性の確保のために実施している認定テストのこと。認定はレベル1とレベル2とに階層化されており、レベル1はハードウェア仕様を含めICカードとのイ
ンターフェース制御処理の認定を、レベル2はICカードとのアプリケーション処理の認定を行う。
IC は Integrated Circuit の略。
クレジットカードにICチップを組み込むこと。構造上ICカードの複製は極めて困難であるとともに、演算機能を利用してオフラインで、偽造カードの検知やカード使用者の本人確認が可能であり、セキュリティ面で磁気カードより格段に優れる。ICチップのインターフェースによって接触型と非接触型に大別される。
加盟店に設置するクレジットカード決済端末にICチップ読取機能を持たせること。
カード情報をICチップに暗号化して格納したICカードを、加盟店に設置されたICチッ
プ読取機能を持ったカード決済端末で処理する取引。
メールオーダー・テレフォンオーダー等のEC加盟店以外の非対面加盟店。
Mobileの「m」とPoint of Salesの略語である「POS」を合わせた用語であり、汎用デバイス（スマートフォンやタブレットなど）をPOSレジ代わりに利用し、カード
リーダーおよびPINパッドと連動させてカード決済を受け付けるシステム。
本人確認を不要とすること。
Payment Card Industry Data Security Standard の略。
カード情報を取り扱う全ての事業者に対して国際ブランド（VISA、Mastercard、
JCB、American Express、Discover）が共同で策定したデータセキュリティの国際基準。
安全なネットワークの構築やカード会員データの保護等、12 の要件に基づいて約 400の要求事項から構成されており、「準拠」とは、このうち該当する要求事項に全て対応できていることをいう。PCI DSS 準拠の検証方法としては、①オンサイトレビュー（認定セキュリティ評価機関（QSA）による訪問審査）又は②自己問診（SAQ、自己評価によって PCI DSS 準拠の度合いを評価し、報告することができるツール）による方法がある。
※ Diners Club は Discover のグループであり、PCI DSS においては Discover の基準を適用している。
Payment Card Industry Mobile Payment On COTS の略（COTS =Commercial OffThe Shelf 市販製品）。汎用デバイスであるスマートフォン等の非接触 IC リーダー機
能を使用して、スマートフォン等単体にて非接触 IC カードのみを取扱う端末として利用することを可能するために PCI SSC が策定したセキュリティ基準。
Payment Card Industry PIN Transaction Securityの略。
PCI SSC が定めた、PIN 取引を保護する PIN 入力装置に関わる国際的なセキュリティ基準。PIN 取得時は PCI PTS に準拠した機器の利用が必要となる。機器メーカー
が PCI SSC に申請し、個体ごとにその認定を受ける。物理的なキーパッドやタッチス
クリーン等、PIN を入力して伝送する端末を対象とし、端末の不正開封行為に対する強度（耐タンパー性）や、端末の操作時に発生する信号の保護、PIN 伝送時の暗号化等を定める。
6

用 語
PCI P2PEPCI SSCPIN

PIN パッド
PSP

QSA

SAQ

SDK

オーソリモニタリン
グ
オフライン PIN

カード会社（イシュアー・アクワイアラー）カード会員データ
カード情報

説

明

PCI Point to Point Encryption の略。
カードリーダーデバイスから決済処理ポイントまでカード会員データを安全に伝送処理する仕組みで、PCI SSC に認定されたソリューション。
※ 詳細は、「【追補版】メールオーダー・テレフォンオーダー加盟店における非保持化対応ソリューションについて【附属文書1】」を参照。
Payment Card Industry Security Standards Council の略。
国際ブランド（VISA、Mastercard、JCB、American Express、Discover）が共同で設立した PCI セキュリティ基準の開発、管理、教育、認知を担当する、グローバル規模の開かれた協議会。
※ 現在、UnionPay International（銀聯国際）がストラテジックメンバーとして参加している。
Personal Identification Number の略。
カード入会時にカード会社（イシュアー）に登録する暗証番号で、IC 取引時にカード会員が IC 対応決済端末に入力する数字。
IC 取引に必要な PIN（暗証番号）を入力するためのパッド。
Payment Service Provider の略。
インターネット上の取引において EC 加盟店にクレジットカード決済スキームを提供
し、カード情報を処理する事業者をいう。
※ 割賦販売法におけるクレジットカード番号等取扱契約締結事業者の登録を行った事業者はカード会社（アクワイアラー）としての対策等も必要となる。
Qualified Security Assessorの略。
PCI SSC に認定されたセキュリティ評価機関。加盟店や PSP へのインタビューやドキュメント、サーバー等の訪問審査を正式に行うことができる認定セキュリティ評価機関。
Self-Assessment Questionnaireの略。
自己問診。PCI DSS 準拠の自己評価を支援することを目的とした検証ツール。

Software Development Kitの略。
スマートフォンのアプリ等のソフトウェアの開発にあたり、必要なプログラムや文書、サンプルコードなどをパッケージ化したもの。
カード会社がオーソリゼーション情報等により不正利用を検知する仕組み。
「不正検知システム」とも呼ばれるが、属性・行動分析ベンダーが提供するサービスとの混同を避ける観点から、本ガイドラインでは「オーソリモニタリング」と表記する。
IC 対応決済端末に IC カードが読み込まれ、カード利用時にカード会員が入力した数
字と、カードの IC チップ内に記録された PIN とを照合するもの。
一方、IC 対応決済端末上での照合ではなく、オンラインネットワークを経由してカード会社（イシュアー）のシステム上で照合するオンライン PIN がある。
イシュアーとはクレジットカード等購入あっせん業者（割賦販売法 35 条の 16 第 1 項
第 1 号）のことをいう。
アクワイアラーとは、クレジットカード番号等取扱事業者（割賦販売法第 35 条の 16
第 1 項）の 3 号事業者又はクレジットカード番号等取扱契約締結事業者（割賦販売法
35 条の 17 の 2）をいう。
本ガイドラインのクレジットカード情報保護対策分野においては、クレジットカード番号等取扱事業者としてのアクワイアラーについては「アクワイアラー（3号事業者）」等、クレジットカード番号等取扱事業者であることが分かるよう記載し、クレジ
ットカード番号等取扱契約締結事業者としてのアクワイアラーは、単に「アクワイア
ラー」と表記する。
クレジットカード番号、クレジットカード会員名、サービスコード、有効期限で構成されるデータをいう。
カード会員データ（クレジットカード番号、クレジットカード会員名、サービスコード、有効期限）及び機密認証データ（カード情報を含む全トラックデータ、
CAV2/CVC2/CVV2/CID いわゆるセキュリティコード、PIN 又は PIN ブロック）をいう。
7

用 語

共通シンボルマーク等

説「IC 対応」・「暗証番号の認知度向上」
共通シンボルマーク※

クレジットマスター

決済専用端末ソリューションベン
ダー
非保持化

非保持と同等/相当

ブランドテスト明

ただし、カード会員データのうち、クレジットカード番号以外のデータのみであれば「カード情報」ではない。カード仕様の一部を構成する機密認証データは、PCI DSSによりそれ単体での保持も認められていない。
また、以下の処理がなされたものはクレジットカード番号とは見做さない。
・トークナイゼーション（自社システムの外でクレジットカード番号を不可逆的に別の番号等に置き換え、自社システム内ではクレジットカード番号を特定できないもの）・トランケーション（自社システムの外でクレジットカード番号を、自社システム内
では特定できない方法で安全に国際的な第三者機関に認められた桁数を切り落としたもの）
・無効処理されたクレジットカード番号
上記にかかわらず、2 号事業者以外の事業者には PCI DSS 準拠が求められる。
周知活動に活用するために、一般社団法人日本クレジット協会（以下「日本クレジット協会」）が策定したもので、消費者が IC クレジットカード対応加盟店であることを認識・識別できるよう、IC 対応済みであることを示す「共通シンボルマーク」及び「IC 対応デザイン」のこと。
「IC 対応デザイン」「共通シンボルマーク」は日本クレジット協会の登録商標（平成 30 年 7 月 27 日登録）
使用方法は「クレジットカードの IC 対応『見える化』等のための共通シンボルマー
ク・デザインマニュアル」を参照（日本クレジット協会のホームページに掲載）。
クレジットカード番号の採番の規則性を悪用して機械的に生成した大量のクレジット
カード番号等の有効性を、EC サイトを介して確認し、有効なクレジットカード番号等を不正利用する手口。
CCT（Credit Center Terminal）及びそれと同等以上のセキュリティレベルのものをいう。
非保持化や非保持と同等/相当を実現するためのソリューション（仕組み）を提供する
システム会社等をいう。
加盟店におけるカード情報保護対策の一つ。
自社で保有する機器・ネットワークにおいて「カード情報」を「保存」、「処理」、「通過」しないこと。
POS 内システム又は社内システムを介してカード情報を処理等するが、クレジットカ
ード番号を特定できない状態とし、自社内で復号できない仕組み。
※ 詳細については、「【追補版】メールオーダー・テレフォンオーダー加盟店における非保持化対応ソリューションについて【附属文書 1】」及び「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について【附属文書 2】」を参照。
国際ブランドを介した取引に利用する決済システムの導入時に、国際ブランドごとに当該ブランドについて国際的な相互運用性が確保できることを確認するためのテス
ト。
8

用 語

説

リスクベース認証

利用者が決済に使用するデバイスの設定情報や利用者から提供される個人情報等のデータを活用して本人の利用であるかどうかの認証を行う仕組み。

9明附属文書、関係文書
本ガイドラインにおけるセキュリティ対策の各方策等については、本協議会が同ガイドラインとは別に策定した附属文書及び本協議会事務局である日本クレジット協会が策定した関係文書の中で詳述しており、本文中において※を付しその参照を促している。
（１）附属文書一覧
文書名【追補版】メールオーダー・テ
レフォンオーダー加盟店における非保持化対応ソリューション
について【附属文書 1】
対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について【附属文書 2】
非保持化実現加盟店における過去のカード情報保護対策【附属文書 3】
国内ガソリンスタンドにおけるクレジットカード取引対応指針【附属文書 4】オートローディング式自動精算
機の IC 対応指針と自動精算機の本人確認方法について【附属文書 5】IC カード対応 POS ガイドライン【附属文書 6】
IC カード対応 POS 導入の手引き～全体概要編～【附属文書 7】
IC カード対応 POS 導入の手引き～取引処理フロー解説編【附属文書 8】IC カード対応 POS 導入の手引き～認定・試験プロセス概要～【附属文書 9】
ブランドテスト要否一覧【附属文書 10】
非接触 EMV 対応 POS ガイドラ
イン（全体概要編）【附属文書11】
非接触 EMV 対応 POS ガイドラ
イン（取引処理編）【附属文書12】「非対面加盟店における不正利用対策の具体的な基準・考え方について」【附属文書 13】

目的・概要
メールオーダー・テレフォンオーダー（MO・TO）加盟店における「非保持化（非保持と同等/相当を含む）」の取組を推進するため、具体的な方策例について取りまとめたもの。
内回り方式を採用する対面加盟店において、「非保持と同等/相当」のセキュリティ確保を実現するため求められる 11 の想定リスクに対応したセキュリティ対策措置（暗号化、アクセス制限等）を取りまとめたもの。
電子計算機を使用して作成する国税関係帳簿書類の保存方法等の特例に関する法律に基づき、過去のカード情報を含む電子帳簿について非保持化が困難な場合があることを踏まえ、「スタンドアローン環境」
での保管・利用等の措置内容を取りまとめたもの。
国内のガソリンスタンドにおける商慣習上の制約を考慮し、2020 年
3 月までの IC 対応に向けて、実現可能な代替策を取りまとめたもの。
オートローディング式自動精算機の国際的なセキュリティ準拠が技術的に困難なことから、2020 年 3 月までに実現可能な自動精算機の IC対応とそれに伴うセキュリティリスク及び代替コントロール策を示したもの。
接触 IC 取引を対象とした POS 加盟店での IC 対応を円滑に進める具体的な方策として策定したもの。
POS 導入を計画するシステム企画担当者、売場の POS 運用担当者、POS のシステム・ネットワーク保守管理担当者を対象とし、IC クレ
ジットカードの受入れの為に必要な基礎知識について紹介するもの。
加盟店の POS 端末システム企画担当者、POS 端末保守運用管理担当者を対象に、EMV 仕様書で規定されている IC カードと IC 対応端末の間、IC カードとカード会社ホストの間で行われる処理内容やそのフローを解説したもの。
加盟店、POS ベンダーを対象に、接触/非接触 EMV 対応有人型 POSの導入・修正において考慮していただきたい要件や認定・試験プロセスを整理したもの。
「IC カード対応 POS 導入の手引き～認定・試験プロセス概要～」の付属文書であり、同手引きに記載される「シナリオ別ブランドテスト
要否一覧」の詳細を記したもの。
今後の非接触 EMV 決済の普及及び接触型と非接触型の POS 端末の同時導入を志向するニーズに応えるために策定したもの。
主にアクワイアラー、情報処理センターが端末を導入する際の共通仕様に関する項目や、加盟店に設置された際の接触 EMV 端末との運用性の整合性及び磁気端末との相違点等について説明しているもの。
加盟店のリスクや被害発生の状況等に応じ、セキュリティガイドラインに掲げる 4 つの不正利用防止方策を導入する際の指針として、具体的な基準・考え方を取りまとめたもの。
10

文書名「 EMV 3-D セ キ ュ ア 導 入 ガ イド」【附属文書 14】「クレジット取引における本人
確認方法に係るガイドライン」【附属文書15】「クレジットカード売上票の作成・保管に関するガイドライン」【附属文書16】「スマートフォン・タブレット
等のアプリを利用した決済に関するセキュリティ対策の技術要件について」【附属文書17】

目的・概要
EMV 3-D セキュアの導入促進を目的として、概要やシステム要件
等、各ステークホルダーに必要な情報が分かりやすいように取りまとめたもの。
IC取引時のオペレーションルールとして、国内加盟店でのIC取引における本人確認方法の業界統一的な考え方を示すとともに、加盟店の円滑なIC対応に資するよう、日本クレジット協会が策定し、2023年度より協議会の附属文書として移管されたもの。
「サイン」を取得しない加盟店の運用変更が円滑に進むことや運用の統一を目指し、クレジットカード取引における売上票の作成・保管に関しての運用を取りまとめたもの。
スマートフォンやタブレット等の汎用デバイスを用いた決済及び、ス
マホアプリ等のSDKを利用する決済について、「非保持化（非保持と同等/相当を含む）」の取組を推進するため、具体的な方策例について取りまとめたもの。

（２）関係文書一覧
文書名
クレジットカード情報の漏えい時及び漏えい懸念時の対応要領【関係文書 1】

目的・概要
クレジットカード取扱加盟店からクレジットカード情報が漏えいした、又は漏えいの懸念がある場合の、対応ポイントをまとめたもの。

11

本ガイドラインの基本的な考え方
１．本ガイドラインにおけるセキュリティ対策の対象について
本ガイドラインでは、「カード情報保護」と「不正利用防止」のため、クレジットカード取引の関係事業者が講ずべきセキュリティ対策を定めるとともに、その対策を有効に機能させるために取組むべき事項を記載している。
２．割賦販売法との関係性について
本ガイドラインは、「割賦販売法（後払分野）に基づく監督の基本方針」において割賦販売法で義務付けられているカード番号等の適切な管理及び不正利用防止措置の実務上の指針として位置付けられるものであり、本ガイドラインに掲げる措置又はそれと同等以上の措置を適切に講じている
場合には、セキュリティ対策に係る法令上の基準となる「必要かつ適切な措置」を満たしていると認められる。
本ガイドラインにおいては、同法で規定される措置に該当する部分を【指針対策】と記載している。
３．対象となる関係事業者について
現時点ではセキュリティ対策の実施主体者である「加盟店」「カード会社（イシュアー・アクワイアラー）」「決済代行業者等（4 号事業者＊）」、「QR コード決済事業者等（5 号事業者＊）」及
び「その委託会社（6 号事業者＊）」、「加盟店向け決済システム提供事業者（7 号事業者＊）」並びにこれらの事業者が対策を実施するに際し協力等を行う「機器メーカー」「ソリューションベンダ
ー＊」、「情報処理センター」、「セキュリティ事業者」、「国際ブランド」及び「業界団体」等のクレジットカード取引に関係する事業者を「関係事業者」としている。今後新たな決済スキームの進展や新たな事業者が登場し、これらのセキュリティ対策の検証が必要な場合には、関係事業者を追加することとする。
４．対象となるクレジットカードについて
本ガイドラインの対象となるクレジットカードは、世界中で利用され、不正利用のリスクが高い「国際ブランド付きのクレジットカード」としている。
「国際ブランドが付いていないクレジットカード」は、利用できる範囲が限定され不正利用のリスクも低いことから本ガイドラインの対象とはしていないが、不正利用等のリスクに応じたセキュ
リティ対策を講じることが必要である。
５．関係事業者間の情報連携等について
本ガイドラインのセキュリティ対策は、関係事業者間による緊密な連携、協力体制の下で実施されなければ実効性のあるものにはならないため、各関係事業者は、本ガイドラインに基づく対策を講じる場合には相互に必要なサポートや情報提供を行う体制を構築する必要がある。
６．消費者への情報提供について
本ガイドラインのセキュリティ対策の実効性確保のためには、クレジットカード利用者である消費者自らの取組の実施が必要である。このため、各関係事業者は、消費者の理解及び取組の推進に向けた情報提供、周知活動に取組む必要がある。

12

Ⅰ．クレジットカード情報保護対策分野
カード情報＊の保護は、クレジットカード取引に関わる全ての事業者の責務である。
企業や個人を狙ったマルウェアや標的型攻撃による個人情報やカード情報の窃取、さらには EC サ
イトの脆弱性やフィッシングメールによるカード利用者からの窃取、そしてそれらの窃取した情報を利用したカード情報の不正利用は国内に甚大な被害をもたらしている。これらは、不正を働いている犯罪者の大きな資金源になっているとも言われており、犯罪防止の観点からも関係事業者が責任を持って適切な情報管理を行うことが求められる。
そもそもカード情報を自社で保持していなければ、カード情報を窃取されることがなく、情報漏
えいの観点からは有効なセキュリティ対策と考えられてきたが、最近の漏えい事故の傾向として、非保持化を達成した EC 加盟店からもカード情報が窃取されていることから、カード情報の保持又は非保持にかかわらず、EC 加盟店は自社システムの定期的な点検を行い、この点検結果に基づき、必要あれば追加的な対策を導入するなどの適切な対応をとることが求められる。
本ガイドラインにおいて、加盟店には非保持化（非保持と同等/相当＊を含む）又はカード情報を保持する場合は PCI DSS＊（国際ブランド（VISA、Mastercard、JCB、American Express、Discover）が共同で策定したデータセキュリティの国際基準。Payment Card Industry Data
Security Standard の略）準拠、さらに、EC 加盟店に対しては、セキュリティ対策の実施状況の申告（試行）、カード会社、決済代行業者等（4 号事業者）、コード決済事業者等（5 号事業者）
及びその委託会社（6 号事業者）、加盟店向け決済システム提供事業者（7 号事業者）には PCIDSS の準拠を求めている。
各事業者は、本ガイドラインに基づき自社の業務の実態を踏まえたカード情報保護対策を的確に講じる必要がある。
※「カード情報」とは、カード会員データ（クレジットカード番号、クレジットカード会員名、サービスコード、有効期限）及び機密認証データ（カード情報を含む全トラックデータ、
CAV2/CVC2/CVV2/CID いわゆるセキュリティコード、PIN＊又は PIN ブロック）をいう。
ただし、カード会員データのうち、クレジットカード番号以外のデータのみであれば「カード情報」ではない。機密認証データは、それ単体での保持も認められていない。
また、以下の処理がなされたものはクレジットカード番号とは見做さない。
・トークナイゼーション（自社システムの外でクレジットカード番号を不可逆的に別の番号等に置き換え、自社システム内ではクレジットカード番号を特定できないもの）
・トランケーション（自社システムの外でクレジットカード番号を、自社システム内では特定できない方法で安全に国際的な第三者機関に認められた桁数を切り落としたもの）
・無効処理されたクレジットカード番号
上記にかかわらず、2 号業者以外の事業者には PCI DSS 準拠が求められる。

13

１． 各事業者に求められる対策等
割賦販売法第 35 条の 16 第 1 項（クレジットカード番号等の適切な管理）では、「クレジットカー
ド番号等取扱業者（次の各号のいずれかに該当する者をいう。以下同じ）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（包括信用購入あっせん業者又は二月払購入あっせんを業とする者（以下「クレジットカード等購入あっせん業者」という）が、その業務上利用者に付与する第二条第三項第一号の番号、記号その他の符号をいう。以下同じ。）の漏えい、減失又は毀損の防止その他のクレジットカード番号の適切な管理のために必要な措置を講じなければならない。」と定めており、その義務対象事業者は以下のとおりである。
（１）1 号事業者：カード発行会社（イシュアー）
1 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 1 号に規定される事業者であり、具体的には、
カード発行会社（イシュアー）を指す。
【指針対策】■カード発行会社（イシュアー）は、外部からの不正侵入やカード情報の外部への漏えい等といった外的脅威によるリスクを極小化し、かつ予見される様々なリスクに厳格に対処するため
PCI DSS に準拠し、これを維持・運用する。
カード会社（イシュアー）は、カード会員に対して、フィッシングやウイルス感染、EC サイト改ざんによる不正画面への遷移等のカード会員から直接カード情報等を窃取する手口についての注意喚起
及び所持する電子機器のセキュリティ対策の必要性等の啓発を行う。
（２）2 号事業者：加盟店
2 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 2 号に規定される事業者であり、具体的には、加盟店を指す。加盟店には、対面加盟店と非対面加盟店が存在する。
【指針対策】■加盟店は、カード情報を保持しない非保持化（非保持と同等/相当を含む）、又はカード情報を保持する場合は PCI DSS に準拠する。
加盟店、特に非対面加盟店のうち EC 加盟店では、EC サイトの脆弱性対策、ウイルス対策、管理者
権限の管理、デバイス管理等の基本的なセキュリティ対策の不備を原因としたカード情報の漏えい事案が発生している。これらの対策はカード情報の保持又は非保持にかかわらず必要なものであることから、全ての EC 加盟店は、新規加盟店契約の申込み前に自らセキュリティ対策を実施し、契約申込
みの際にアクワイアラー又は PSP にその実施状況を申告し、アクワイアラーと加盟店契約を締結することが求められる。（試行）※
その他、カード情報の窃取を企図する者の最新の攻撃手口等の情報を踏まえ、不断に自社のセキュリティ対策の改善・強化を図る。
※ 「クレジットカード決済システムのセキュリティ対策強化検討会報告書」（2023 年 1 月 20 日）において、EC 加盟店の漏えい対策の強化のための当面の対応として、EC 加盟店のシステム、EC サイト自体の脆弱性対策（システム上の設定の不備への対策（PW 管理等）、脆弱性診断・対策、ウイルス対策等）の基本的なセキュリティ対策を必須とすることを 2024 年度末までに本ガイドラインに追記することが求められている。

14

1 加盟店に求められる対策●【指針対策】
形態

外回り（非通過型）
カード情報が自社で保有する機器・ネットワークを「保存」「処理」「通過」
しない方式

内回り（通過型）
カード情報が自社で保有する機器・ネットワークを「保存」「処理」「通過」
する方式

非保持化

PCI DSS 準拠

EC 加盟店
非対面
加盟店

非保持と同等/相当
MO・TO 加盟店
非保持化
又はPCI DSS 準拠
非保持と同等/相当
対面加盟店
非保持化
又は
PCI DSS 準拠
注 1 非保持と同等/相当を実現した場合でも、事業者の選択により PCI DSS に準拠することを否定しない。
注 2 継続課金加盟店において、カード受付時は対面取引を行い、以降は非対面取引を行う場合には、対面加盟店と非対面加盟店双方の対策が必要。
注 3 上表は加盟店に求められる対策を示すものであるが、どの対策を採るかは各事業者の選択に委ねられる。
＊

2 加盟店における対策概要●「❶加盟店に求められる対策」の概要は以下の通り。
対策
項目

概要

非保持化

非保持と同等/相当

PCI DSS 準拠

自社で保有する機器・ネット
ワークにおいてカード情報を「保存」「処理」「通過」しないこと

自社で保有する機器・ネット
ワーク外でカード番号を特定できない状態とし、自社内で復号できない仕組み（仮に窃
取されてもカード情報として不正に利用することは極めて困難となる）

カード情報を取り扱う全ての事業者に対して国際ブランドが共同で策定したデータセキ
ュリティの国際基準（PCI
DSS）に準拠すること実現
方法

本ガイドラインに記載の非保持化実現方策の導入等

本ガイドラインに記載の非保持と同等/相当実現方策の導入PCI DSS に定められた要件への対応（12 のセキュリティ要件への対応、準拠項目に関する
QSA＊による訪問審査（オンサイトレビュー）又は自己問診（SAQ*）の実施）

各々の特徴

非通過型（EC 加盟店）又は外回り方式（対面加盟店、
MO・TO 加盟店）等によりカード情報を一切保持しない

POS 内システム又は自社内システムを介してカード情報を処理等せざるを得ない場合
でも、事実上、「非保持化」
が可能

カード情報を自社で保有する機器・ネットワークで保持する場合の対策

15

①非保持化対策
加盟店におけるカード情報保護のための取組として「非保持化」を推進する。
非保持化は PCI DSS 準拠とイコールではないものの、カード情報保護という観点では同等の効果があるものと認められるため、本ガイドラインにおいては、PCI DSS 準拠に並ぶ措置とする。
本ガイドラインで示す加盟店における「非保持化」とは、「自社で保有する機器・ネットワーク
において『カード情報』を『保存』『処理』『通過』しないこと」をいう。
※カード情報に含まれる「機密認証データ」の保持は認められない。
また、決済専用端末＊から直接外部の情報処理センター等に伝送している場合も「非保持化」に該当する。
なお、以下①～③の状態でカード情報を保存する場合には、「保持」とはならない。
①紙（クレジット取引伝票、カード番号を記した FAX、申込書、メモ等）②紙媒体をスキャンした画像データ③電話での通話記録（音声データを含む）
注 1 上記①～③以外において非保持化（非保持と同等/相当を含む）が実現されていることが前提。
注 2 本ガイドラインにおいて上記①～③の状態でカード情報を保存する場合は「保持」とはならないが、PCI DSS 準拠を目指す加盟店においては、本ガイドラインの内容にかかわらず、PCI DSS の準拠対象になることに留意する必要がある。
１）非対面加盟店における非保持化対策
非対面加盟店における非保持化は「EC 加盟店」「メールオーダー・テレフォンオーダー」の別により、以下の取組により実現可能となる。なお、EC 加盟店では「非保持と同等/相当」の対策はない。
ａ）EC 加盟店の対策
PSP を利用する EC 加盟店のカード決済システムにおいては、カード情報が EC 加盟店の機器・ネットワークを通過する「通過型」と、通過しない「非通過型」に大別される。
通過型は、カード情報が EC 加盟店の機器・ネットワークを「通過」して「処理」されるた
め、EC 加盟店が意図せずにカード情報を「保存」することがある。これらの「通過」し「処理」されたカード情報や「保存」されたカード情報は、外部からの不正アクセスやウイルスの侵入、システムの改ざんや機器の脆弱性により、窃取されるリスクが高い。過去に発生した漏えい事故の多数は、この「通過型」の EC 加盟店にて発生したものであった。
一方、非通過型は、カード情報が EC 加盟店ではなく、PSP の機器・ネットワークを「通過」して「処理」され、EC 加盟店はカード情報を「保存」「処理」「通過」することはな
い。EC 加盟店は、PCI DSS 準拠済みの PSP が提供する非通過型（「リダイレクト（リンク）型」」又は「JavaScript 型（トークン型）」）等の決済システムを導入して非保持化を実現する必要がある。
しかし、最近の傾向では、「非通過型」により非保持化を達成した EC 加盟店における漏えい事故が主流となっている。これは、脆弱性対策、ウイルス対策、管理者権限の管理、デバ
イス管理等の基本的なセキュリティ対策を実施していない EC 加盟店に対して外部からの既知の脆弱性の悪用やウイルスの侵入によりシステムの改ざんが行われ、カード情報が不正に取得される漏えい事故が頻発しているからである。これらの基本的なセキュリティ対策は、
カード情報の保持又は非保持であるかにかかわらず、EC 加盟店が実施するべきものである。
このため、EC 加盟店は、新規の加盟店契約時までにこれらの対策を実施するとともに、契約先のアクワイアラー又は PSP にセキュリティ対策の実施状況を記載した申告書を提出することが求められる。
その他にも、PSP との協働による悪質な有効性確認及びクレジットマスター*への対策、加盟店及び消費者のログイン画面に対するセキュリティ対策等、EC 加盟店が実施するべき対策の検討が必要である。
16

＜留意事項＞
・自社の決済システムが「通過型」「非通過型」のいずれかであることを認識しておらず、
カード情報の漏えい事故が発生した後に、「通過型」であることを認識する事例が見られることから、EC 加盟店は自社の決済システムを確認し、「通過型」を導入している場合には、カード情報を保持しない非通過型への移行か、カード情報を保持する必要がある場合
は、PCI DSS に準拠しなければならない。

□EC 加盟店における非保持化導入例

非通過型

方策
❶リダイレクト（リンク）型❷JavaScript 型（トークン型）

概要
PSP の決済画面に遷移させカード決済を行う方式
加盟店の決済画面に PSP が提供する JavaScript プロ
グラムを組み込んで利用し、決済を行う方式

1 リダイレクト（リンク）型●

EC 加盟店においてカード決済処理を行うのではなく、PSP において決済処理する方式。カード
情報入力画面は、加盟店サイトの購入画面から PSP が提供する決済画面に遷移させカード決済を行うため、加盟店ではカード情報を保持しない。
なお、アプリケーションファイルの改ざん等により偽の決済フォームに遷移される事案が発生していることから、基本的なセキュリティ対策の実施が求められる。
【❶リダイレクト（リンク）型】（決済画面は PSP のサイトへ遷移する）

2 JavaScript 型（トークン型）●

EC 加盟店のカード情報入力画面に、PSP が提供する JavaScript プログラムを組み込み、それを利用することで決済を行う方式。カード情報は JavaScript を利用して加盟店サーバーを経由せず、消費者から直接 PSP に送信するため加盟店ではカード情報を保持しない。
なお、アプリケーションファイル等の改ざんにより、消費者が入力したカード会員データが、EC 加盟店サーバー内に保存される事案が発生していることから、基本的なセキュリティ対策の実施が求められる。

17

【❷JavaScript 型（トークン型）】（決済画面は加盟店のサイトから遷移しない）※スマートフォンのアプリ等の SDK を利用する方式については、技術的なセキュリティ対策を取りまとめた「スマートフォン・タブレット等のアプリを利用した決済に関するセキュリティ対策の技術要件について【附属文書 17】」を参照。
ｂ）メールオーダー・テレフォンオーダー加盟店の対策＜具体的方策の考え方＞
ア）MO・TO 加盟店が、顧客から電話・FAX・はがき等でカード情報を入手し、MO・TO
加盟店の機器にカード情報を入力して決済を行っている場合には、カード情報を電磁的情報として自社内に「通過」させない外回り方式を導入することにより、非保持化を実現することが可能である。
イ）PCI P2PE＊認定ソリューションは、カード会員データを特定できない状態とし、自社内で復号できない仕組みであり、仮に情報を窃取されてもカード情報として不正に利用することは極めて困難であることから、PCI P2PE 認定ソリューションを導入すること
により、非保持と同等/相当のセキュリティ措置を実現することが可能である。（この場合には、PCI DSS 準拠までは求めないこととする。）※MO・TO 加盟店における対策の詳細は、「【追補版】メールオーダー・テレフォン
オーダー加盟店における非保持化対応ソリューションについて【附属文書 1】」を参照。
□MO・TO 加盟店における非保持化（非保持と同等/相当を含む）導入例
方策

概要
決済専用端末を利用した外回り方式
タブレット端末※を利用した外回り方式

❶非保持化
非通過型
（外回り方式）❷非保持化❸非保持と同等/相当
PCI P2PE 認定ソリューションを導入した内回り方式（内回り方式）※非保持化のためにカード情報の取扱いを委託した PSP から提供される端末の例示
1 非保持化 決済専用端末を利用した外回り方式●

PCI DSS に準拠した ASP/クラウドセンターより貸与された、CCT＊端末と同等以上のセキュリ
ティレベルの決済専用端末を使用して決済を行う方式である。カード情報を MO/TO 加盟店が自社で保有する機器である業務用端末ではなく決済専用端末に入力することにより、外回りによる非保持化を実現するものである。当該決済専用端末と MO/TO 加盟店の業務用端末との接続を行い、18

金額を連動させる場合には、業務用端末側の決済結果に、カード情報を含めないこと及び、通信回線はキャリア等の外部の回線を使用することが必要である。

【❶非保持化 決済専用端末を利用した外回り方式】

注 1 ASP は Application Service Provider の略
注 2 決済 GW は決済ゲートウェイの略
2 非保持化 タブレット等の専用端末を利用した外回り方式●

MO/TO 加盟店のオペレーターが、PSP 等から提供されたタブレット等の専用端末の機器・ネットワークを利用して自社の EC サイトで注文情報を入力する方式。タブレット等の専用端末は業務用端末のネットワークとは分離されていることが条件となる。

【❷非保持化 タブレット等の専用端末を利用した外回り方式】

3 非保持と同等/相当 PCI P2PE 認定ソリューション端末を利用した内回り方式●｢PCI P2PE」は、カード会員データを、カードリーダーデバイスから決済処理ポイントまでの加盟店自社内を DUKPT＊（Derived Unique Key Per Transaction の略。トランザクションごとにデータの暗号鍵が異なる暗号鍵管理の仕組み）により安全に伝送処理する方式。

19

PCI P2PE 認定ソリューション端末の利用により、カード会員データは暗号化され、トランザク
ションごとに暗号鍵が異なることから、多量なカード会員データを解読することは事実上困難である。このため仮に解読された場合であっても、使用が可能となるカード番号は極めて限定的であるため、不正利用されるリスクは極めて低いことから、非保持と同等/相当の対策となる。

【❸非保持と同等/相当 PCI P2PE 認定ソリューション端末を利用した内回り方式】

２）対面加盟店における非保持化対策
対面加盟店ではクレジットカードの IC 化に伴い、偽造被害減少の実績から、非保持化対策が効果的な対策だと言える。
＜具体的方策の考え方＞
ア）POS システムを導入している加盟店では POS の機能と決済の機能を分離し、決済専用
端末から直接外部の情報処理センター又は ASP/クラウドセンター等に伝送される「外回り方式」を導入することにより非保持化を実現することが可能である。
イ）カード会員データを特定できない状態とし、自社内で復号できない仕組みとすれば、仮に窃取されてもカード情報として不正に利用することは極めて困難であるため、PCI
P2PE 認定ソリューションの導入又は本協議会が取りまとめたセキュリティ技術要件に適合するセキュリティ基準※を満たすことにより（「内回り方式」）、非保持と同等/相当のセキュリティ対策を実現することが可能である。（この場合には、PCI DSS 準拠
までは求めないこととする。）※セキュリティ技術要件に適合するセキュリティ基準については「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について【附属文書 2】」を参照。
＜留意事項＞
・カード会社や ASP/クラウドセンター等を運営する事業者から、カード情報の還元を受け自社で保有する機器・ネットワークにおいて「保存」「処理」「通過」している場合（決済以外の目的の場合も含む）は、カード情報の保持となるため PCI DSS の準拠が必要。

20

□対面加盟店における非保持化（非保持と同等/相当を含む）導入例
方策
❶非保持化
非保持化
（外回り方式）❷非保持化❸非保持と同等/相当（内回り方式）概要
決済専用端末連動型
ASP/クラウド接続型
PCI P2PE 認定ソリューション又は PCI MPoC* 認定ソリューシ
ョンの導入あるいは本協議会が取りまとめたセキュリティ技術要件に適合するセキュリティ基準を満たしたカード情報の暗号化による内回り方式❶・❷非保持化 決済専用端末連動型・ASP/クラウド接続型（外回り方式）
オーソリゼーションやクレジットカードの売上処理を、加盟店あるいはカード会社等が所有する決済専用端末から直接外部の情報処理センター又は ASP/クラウドセンター等に伝送して行う方式である。この方式では、POS に連動する場合「決済結果」にカード情報が含まれないようにする必要がある。❶❷とも、決済機能は POS システムの外側となるため、カード情報が POS 端末や POS システ
ムの機器・ネットワークを「保存」「処理」「通過」しないことから、カード情報の非保持化が実現可能である。また、加盟店が POS システムでクレジットカード決済を行わず「IC 対応＊した決済専用端末」のみを使用し、カード情報を直接外部の情報処理センター等に伝送している場合も非保持となる。
【❶非保持化 決済専用端末連動型】【❷非保持化 ASP/クラウド接続型】【外回り方式（決済専用端末連動型）】【外回り方式（ASP/クラウド接続型）】※POS 連動する「決済結果」にはカード情報を含めないこと❸非保持と同等/相当 ASP/クラウド接続型（内回り方式）
オーソリゼーションやクレジットカードの売上処理のため、カード情報が決済端末から POS
システム又は自社内システムを介して外部の情報処理センター又は ASP 事業者等へ伝送される方式である。この場合、カード情報が自社で保有する機器・ネットワークを「保存」「処理」「通過」するため、PCI DSS 準拠、又は非保持と同等/相当のセキュリティ措置（PCI P2PE 認
21

定ソリューションの導入又は本協議会において取りまとめた「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について【附属文書2】」に適合するセキュリティ基準（11 項目））を満たすことが求められる。
特殊なケースとしてスマートフォンやタブレット等の汎用デバイスを用いた決済端末（mPOSや PCI MPoC 仕様の非接触 IC 端末）の実装においては、技術的な対応指針として制定する「スマートフォン・タブレット等のアプリを利用した決済に関するセキュリティ対策の技術要件について【附属文書 17】」を参照。
【❸非保持と同等/相当 ASP/クラウド接続型（内回り方式）】

３）非保持化対策における留意点ａ）非保持化を実現した加盟店における顧客からの照会等への対応
クレジットカードを利用した顧客からの返品や購入金額の訂正等の照会に対し、クレジッ
トカード番号等を用いてカード会社（アクワイアラー）への連絡、確認等を行っていた加盟店については、非保持化を実現した場合、以下のような対応が考えられる。
（非対面加盟店）
非対面加盟店においては、通常 PSP がカード情報を保有しているため、カード情報を非保持化した場合でも、PSP が仲介を行うことで従来通り顧客からの照会等への対応が可能である。
（対面加盟店）
対面加盟店のうち決済専用端末を導入している加盟店においては、クレジットカード番号の一部非表示化が図られており、一部非表示化されたクレジットカード番号に加え、利用日、利用金額、端末番号、伝票番号等により顧客からの照会等への対応が可能である。
一方、決済専用端末導入以外の方法にて非保持化（非保持と同等/相当を含む）を実現した加盟店では、クレジットカード番号以外の取引を特定するための照会キー（伝票番号、取引日時、金額等）により照会を行うこととなるが、これらの照会キーのみでは対象取引を特定できないこともある。また、全ての加盟店とカード会社が一律に、クレジットカード番号22

を保持していた時と同様の対応を行うことは現状困難であるため、クレジットカード番号を基本としつつ、加盟店の委託先の PCI DSS に準拠した ASP 事業者から一時的にクレジット
カード番号を取り寄せるなど、加盟店、カード会社双方で照会する必要がある。
（非対面・対面加盟店）
非保持化（非保持と同等/相当を含む）を実現した加盟店が顧客照会等の際、クレジット
カード取引に係る紙伝票（加盟店控え、お客様控え）等の紙媒体、紙媒体をスキャンした画像データ、電話での通話記録（音声データを含む）を利用する方法や、PCI DSS に準拠した ASP 事業者が提供するセキュリティ対策が施された環境に加盟店がアクセスし、一時的にクレジットカード番号を入手・利用する方法は、非保持化後も認められる。なお、顧客対応については、加盟店の運用実態により異なることから、これらの運用上の課題については各加盟店、カード会社、必要に応じて ASP 事業者等が連携の上、個別に対応を実施することが重要である。
ｂ）過去に取り扱ったカード情報の保護対策
非保持化（非保持と同等/相当を含む）を実現した加盟店において、電子計算機を使用して作成する国税関係帳簿書類の保存方法等の特例に関する法律に基づき非保持化対応完了以前に取り扱った過去のカード情報を画像データ以外のテキスト形式等で電子帳票として保存する場合、本協議会にて定めたセキュリティ対策※を行う必要がある。
※ネットワークを利用しない「スタンドアローン環境」で保管・利用することが必須条件であり、カード情報の保護方法に関しては、管理責任者のもとで第三者に持ち出されて閲覧されない方法により適切な管理が行われていること。詳細については、「非保持化実現加盟店における過去のカード情報保護対策【附属文書 3】」を参照。

（３）3 号事業者：カード会社（アクワイアラー）
3 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 3 号に規定される事業者であり、具体的には、
立替払取次業者（アクワイアラー）を指す。
【指針対策】■カード会社（アクワイアラー（3 号事業者））は、外部からの不正侵入やカード情報の外部への漏
えい等といった外的脅威によるリスクを極小化し、かつ予見される様々なリスクに厳格に対処するため PCI DSS に準拠し、これを維持・運用する。
※アクワイアラーは、クレジットカード番号等取扱事業者（割賦販売法第 35 条の 16 第 1 項の 3号事業者）及びクレジットカード番号等取扱契約締結事業者（割賦販売法 35 条の 17 の 2）があるが、ここでは前者を「アクワイアラー（3 号事業者）」と表記する。（用語集参照）
アクワイアラー（3 号事業者）は、契約のある決済代行業者等と連携し、対面/非対面加盟店に対し非保持化（非保持と同等/相当を含む）又は PCI DSS 準拠及び、その他セキュリティ対策について必要な助言や情報提供等を行う。また、アクワイアラーは、EC 加盟店に対して、新規の加盟店契約に際し、EC 加盟店自らセキュリティ対策を実施した上で、その実施状況をアクワイアラーに申告することを求めるとともに、申告内容を基に EC 加盟店のセキュリティ対策の実施状況を確認することとする。（試行）（４）4 号事業者：決済代行業者等
4 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 4 号に規定される事業者であり、具体的には、
アクワイアラーから交付を受けた代金相当額（立替金）を加盟店に交付する事業者を指す。
対象事業者の例としては、以下の通り。
〇決済代行業者で包括代理契約を締結している事業者（対面取引、非対面取引双方）〇EC モール事業者（デジタルプラットフォーマー等）
23

〇SC、百貨店（消化仕入れを除く）、ショッピングモール等（対面取引）〇包括代理を行っている商店街組合（対面取引）、これらの事業者に限らない。
【指針対策】■4 号事業者については対面取引、非対面取引のいずれにかかわらず PCI DSS に準拠し、維持・運用する。ただし対面取引を取扱う 4 号事業者であって、カード会員データを自社で保有せず、保存・処理・通過を自社以外の業者で行っており、立替払いのみを行っている事業者については当協議会が定める資料「セキュリティ対策チェック項目」に基づき対策を実施し、これを維持・運用す
る方策も認められる。
決済代行業者等は、加盟店の取組を支援するため、加盟店に対しカード情報保護対策について必要な助言や情報提供を実施する。なお、カード会社（アクワイアラー）と契約を有する決済代行業者等
については、カード会社（アクワイアラー）と連携して対応する。特に、EC 加盟店に対して、新規の加盟店契約に際し、EC 加盟店自らセキュリティ対策を実施した上で、その実施状況を 4 号事業者に申告することを求めるとともに、申告内容を基に EC 加盟店のセキュリティ対策の実施状況を確認することとする。（試行）（５）5 号事業者：QR コード決済事業者等
5 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 5 号に規定される事業者であり、具体的には、
カード会員データ等を別の決済用情報（QR コード、ID 等）に紐付け、当該決済用情報で後払決済を行うことができるサービスを提供している事業者を指す。
対象事業者の例としては、以下の通り。
〇QR コード決済事業者〇スマートフォン決済事業者〇ID 決済事業者等〇その他名称の如何に関わらず、カード情報と紐づけた他の決済用番号で決済を行う事業者、これらの事業者に限らない。
【指針対策】■5 号事業者については、PCI DSS に準拠し、これを維持・運用する。

（６）6 号事業者：5 号事業者の委託会社
6 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 6 号に規定される事業者であり、具体的には、5号事業者からカード会員データの伝送処理保存を委託されている事業者を指す。
対象事業者の例としては、以下の通り〇第 5 号事業者からカード情報の管理を受託している事業者【指針対策】■6 号事業者については、PCI DSS に準拠し、これを維持・運用する。

（７）7 号事業者：加盟店向け決済システム提供事業者
7 号事業者とは、割賦販売法第 35 条の 16 第 1 項第 7 号及び割賦販売法施行規則第 132 条の 2 に規定される事業者であり、具体的には、加盟店が決済代行会社又はアクワイアラーにカード会員データを提供するために、クレジットカード決済機能を有するシステム及びそのサービスを提供する事業者を指す。この事業者には、カード会員データの伝送処理保存を行っている事業者、決済代行会社又はアクワイアラーに接続できる決済モジュールを提供している事業者も含まれる。
対象事業者の例としては、以下の通り。
〇EC システム提供会社（アクワイアラーとの契約有無にかかわらず、決済システムを運営し EC
加盟店にサービスとして提供する事業者。ASP/SaaS として EC 事業者にサービス提供する事業者、EC 事業者に購入プラットフォームを提供する事業者）、これらに限らない。

24

【指針対策】■7 号事業者については、PCI DSS に準拠し、これを維持・運用する。
加盟店向け決済システム提供事業者は、加盟店の取組を支援するため、当協議会のガイドラインに基づき、加盟店に対しカード情報保護対策について必要な助言や情報提供等を実施する。

25

（８）その他関係事業者等①国際ブランド■本ガイドラインに掲げるカード情報保護対策の実現に向け、国際ブランドの各種ルール等との調整を行い、各種課題の解決に向けて関係事業者と協働して取組む。
■グローバルな観点から、海外におけるカード情報保護に関するリスクや各種課題、我が国における国際水準のセキュリティ環境の整備の必要性等について、事業者向けの情報共有・発信に取組
む。
②ソリューションベンダー■非保持化を実現した加盟店に対し決済端末やソリューション等を提供する立場から、本ガイドラ
インに基づく非保持の状態が維持されるように、各事業者が連携の上、端末やソリューション等の機能・仕様面で情報漏えい防止のための必要なセキュリティ対策を講じる。
③行政■割賦販売法に基づく監督等を通じ、カード会社及び加盟店等におけるカード情報の適切な管理のために必要な措置の適確な実施について指導等を行う。また、本ガイドラインに掲げるカード情報保護対策の実施について、事業者向けや消費者向けの情報発信に取組む。
④業界団体等■日本クレジット協会は、カード会社（アクワイアラー）と連携し、本ガイドラインに掲げるカード情報保護対策の必要性について加盟店に対する周知活動を徹底するとともに、加盟店の業界団
体、消費者団体及び関連団体（一般社団法人キャッシュレス推進協議会、EC 決済協議会、一般
社団法人 Fintech 協会）等との連携を強化し、事業者向けの情報発信に取組む。
■日本クレジット協会は、行政と連携の上、他の情報セキュリティに係る関係機関との連携・情報共有を図り、クレジット取引に関係する事業者等に対して適時情報発信を行う。
■政府の情報セキュリティ政策会議において、クレジット分野は、国の重要インフラの一つに指定されており、「重要インフラのサイバーセキュリティに係る行動計画」（2022 年 6 月 17 日付策定）に基づき、官民連携による重要インフラ防護を推進していく。具体的な取組としては、「クレジット CEPTOAR における情報セキュリティガイドライン」に基づき、重要インフラ事業者
における安全基準等の整備・浸透、情報共有体制の強化等を図る。

②PCI DSS 準拠（1）2 号事業者で「非保持化」を達成した加盟店を除く、1 号事業者から 7 号事業者については PCIDSS に準拠しカード情報の保護を行う。なお、非保持化を達成しても業務の都合等により PSP 等から別途カード情報の還元を受けて保持する場合には「非保持」とはならず、PCI DSS に準拠しなければならない。
（2）PCI DSS は安全なネットワークの構築や、カード会員データの保護等の 12 の要件から構成されているが、各事業者の業態、システム・ネットワーク構成に応じ要求事項が異なることから、自社が対応するべき事項を検証し、準拠する必要がある。
（3）PCI DSS への準拠に関しては、2022 年 3 月、新しいメジャーバージョンとなる「Ver4.0」（英語版）が公開された（日本語版は 2022 年 5 月公開）。「Ver4.0」公開後 2 年間は「Ver3.2.1」と「Ver4.0」の並行期間となるが、PCI DSS に準拠している事業者は 2024 年 3 月末までに「Ver4.0」への移行を完了するように対応することが必要である。
（PCI SSC ホームページ https://www.pcisecuritystandards.org/から、移行スケジュールを含む「Ver4.0」の概要「PCI DSS v4.0 一覧」がダウンロードできるので、適宜参照）
PCI DSS 認定セキュリティ評価機関（QSA）の団体である日本カード情報セキュリティ協議会（以下「JCDSC」という）が、PCI DSS 準拠の取組をサポートするため、各種資料の提供や相談窓口を設置しており活用されたい（JCDSC ホームページ https://www.jcdsc.org/）。

26

上記の指針対策のまとめ
情報保護
非保持化
事業者

事業者の例示1 号事業者

イシュアー

EC 加盟店
2 号事業者

内回り方式(非保持同等/相当)

外回り方式

準拠

○
リダイレクトJavaScript(リンク)型(トークン)型

決済専用端末利用型

タブレット端末利用型

加盟店
MO/TO

PCI DSS○PCI P2PE 認定○

ソリューション
PCI P2PE 認定ソリューション

対面

決済専用端末利用型

ASP/クラウド接続型

PCI MPoC 認定ソリューション

○本協議会が取りまとめたセキュリ
ティ技術要件

3 号事業者

4 号事業者○

アクワイアラー
決済代行事
業者等

対面

一部の事業者においては「セキュリティ対策チェック項目」

○

非対面

○

5 号事業者

QR コード事業者等○

6 号事業者

5 号事業者の委託会社○

7 号事業者 加盟店向け決済システム
提供事業者

○

２．その他留意事項（１）カード情報の取扱い業務を外部委託する場合の留意点と受託者における必要な対策
セキュリティ対策の実施主体者である関係事業者（加盟店、カード会社、決済代行業者等、コード決済事業者等及びその委託会社、加盟店向け決済システム提供事業者等）が、カード情報を取り扱う業務を外部委託する場合は、委託者自身が委託先のセキュリティ状況を確認し、責任を持って PCI DSS 準拠等の必要な対策を求める。
特に、複数の委託者からカード情報を取り扱う業務を受託する事業者及びショッピングカート
機能等のシステムを提供する事業者においては、カード情報が漏えいした場合の影響が大きく、標的型攻撃や既知の脆弱性等により不正侵入を許し、カード情報が漏えいする事案が発生していることから自社システムにおけるカード情報の保持状況について確認の上、PCI DSS 準拠等の必要なカード情報保護対策等を行う。
（２）カード情報漏えい時の対応
加盟店等からカード情報が漏えいした際は、取引に関係するカード会社及び決済代行業者等は被害の拡大を防ぐために早急に行動を起こす必要がある。具体的には、日本クレジット協会において策定した「クレジットカード情報漏えい時及び漏えい懸念時の対応要領【関係文書 1】」を有事の際の参考にしつつ、二次被害の防止のために必要な措置を講じることとする。
また、カード情報の漏えい事案が発生した加盟店等は、被害の拡大を防止するために初動対応として漏えい元（データベース等）のネットワークからの切り離し、カード決済の一時停止等の措置、フォレンジック調査、PCI DSS 準拠等の確認及び再発防止のための適切な措置を講じる。
契約元のカード会社（アクワイアラー）等は、漏えい事案が発生した加盟店等のカード決済の再開にあたっては、SAQ 等の提出内容や再発防止のための措置等の対応状況を十分に確認した上で、判断する必要がある。なお、PCI DSS 準拠等の再発防止のための適切な措置の具体的な内容は、当該加盟店等と契約カード会社（アクワイアラー）等で協議の上、決定することとする。
27

Ⅱ．不正利用対策分野（Ａ）対面取引におけるクレジットカードの不正利用対策
対面取引の不正利用対策である IC 取引については、割賦販売法によるセキュリティ対策の義務化により加盟店の決済端末の IC 対応が進み、カードの IC 化についても本協議会の取組により、ほぼ全ての国内発行カードが IC 化されている。このような IC 取引の進展により、対面取引による不正利用被害は減少傾向が続いており、対面取引のクレジットカードの不正利用対策は、現時点においては IC 取
引が最も効果的な対策である。
１．各事業者に求められる対策等（１）カード会社（イシュアー）■イシュアーは発行するカードの全てを IC 化する。
（２）加盟店【指針対策】■加盟店は IC 取引を可能とするため設置する決済端末の全てを IC 対応にする。
特に、POS システムでクレジットカード決済を行う加盟店は、自社の IC 対応に係る実現方法を選択する際には、カード会社（アクワイアラー）や機器メーカー等に情報を求める。
①POS システムの IC 対応に係る実現方式例
IC 対応の実現方式としては、各加盟店の現行システムや店頭オペレーションの特徴を踏まえ、技術面、コスト面から検証・整理を行うと、決済専用端末（CCT）連動型、決済サーバー
接続型、ASP/クラウド接続型に大別される。以下に示す IC 対応の型別の構成図は、コスト削減を目的としたインターフェースの標準化、ブランド認定/テストの簡素化の観点からの推奨例を示したものである。
※詳細は、「IC カード対応 POS ガイドライン【附属文書 6】」を参照。また、カード情報保護の観点からのパターン別構成図は、「Ⅰ．クレジットカード情報保護対策分野」（13 頁～27 頁）の記載内容を参照。
１）決済専用端末（CCT）連動型
IC 対応した決済専用端末（CCT）と POS システムの間で取引金額や決済結果等を連動する仕組みである。EMV カーネル＊を決済専用端末や PIN パッド＊等に置くことで、クレジット決済処理を POS システムの処理端末と切り離して行うこととなるため、開発・EMV 認定＊・ブランドテスト＊等については決済専用端末側（CCT）で対応すればよく、POS システム側の対応が不要であることから、導入時における対応（開発・EMV 認定・ブランドテスト等）の影
響が最も小さい。また、カード情報が IC 対応の決済専用端末（CCT）から直接カード会社に伝送されるため、加盟店におけるカード情報の非保持化が同時に実現できる※。一方で、決済専用端末（CCT）を新たに追加する必要があるため、設置場所の確保等の対応が必要となる。
※カード情報保護対策として非保持化を実現するためには、決済専用端末（CCT）から POSに連動する「決済結果」にカード情報を含めないことが必要。

28

２）決済サーバー接続型
EMV カーネルを PIN パッドに置き、POS システムでクレジットカード決済を行う仕組みである。EMV カーネルを POS システムの外側に置くため、POS 本体で開発・EMV 認定等を取る必要がなく、ブランドテスト等の対応で済むため、導入による対応の影響が小さい。
この場合、カード情報は POS システムを通過してカード会社に伝送されるため、カード情報が自社で保有する機器・ネットワークを「保存」「処理」「通過」し、カード情報を保持することになることから、PCI DSS 準拠が必要となる。

29３）ASP/クラウド接続型
POS システムと加盟店の外部の事業者（ASP/クラウドセンター）との間で取引金額や決済
結果を連動させる仕組みである。基本的には前記決済サーバー接続型と同じ構造であるが、ASP/クラウド配置型での EMV 認定・ブランドテストの対応については社外（ASP/クラウドセンター）で行うため、加盟店の個別負担は少ない。この中で、EMV カーネルクラウド配置型のうち決済専用端末を POS システムと連動させる場合（下記概要図②）については、カード情報が IC 対応の決済専用端末から直接外部の ASP/クラウドセンターに伝送されるため、加盟店におけるカード情報の非保持化が同時に実現できる※1。下記概要図①及び③の場合には、カード情報は POS システムを通過するため、加盟店は PCI DSS 準拠、又は非保持と同等/相当のセキュリティ措置（PCI P2PE 認定ソリューションの導入又は本協議会において取りまとめた「対面加盟店における非保持と同等/相当のセキュリティ確保を可能とする措置に関する具体的な技術要件について【附属文書 2】」に適合するセキュリティ基準（11 項目）※
2）を満たすことが求められる。
※1 カード情報保護対策として非保持化を実現するためには POS に連動する「決済結果」にカード情報を含めないことが必要。
※2 上記 11 項目の詳細については、「対面加盟店における非保持と同等/相当のセキュリテ
ィ確保を可能とする措置に関する具体的な技術要件について【附属文書 2】」を参照。

②クレジットカード決済に POS システムを用いない加盟店等の対応
POS システムを導入していない加盟店又は POS システムをクレジットカード決済に用いていない加盟店については、IC 対応した決済専用端末（CCT）を導入することで、IC 対応を図ることができる。

30

③特定業界向けの IC 対応について
１）ガソリンスタンドにおける IC 対応上の実現可能な方策
日本国内のガソリンスタンドにおいては、利用者が乗車したまま決済するといったサービス（フルサービス）を行うガソリンスタンドの場合、総務省消防庁通知の内容に準拠したPIN入力が可能なハンディ端末の開発・導入が必要となる。
また、セルフサービスのガソリンスタンドにおいては、現行システム・機器の仕様の制約上、現状では国際基準が求めるPINパッドの設置等が困難であり、代替コントロール策の導入が必要となる。このため、同様の課題を抱える一部の業界と合わせて対応の指針として「オートローディング式自動精算機のIC対応指針と自動精算機の本人確認方法について【附属文書5】」を取りまとめており、これらの課題が解決するまでの間は、この指針に基づいて対応す
ることとする。
また、ガソリンスタンドにおけるIC対応については、上記のような業界固有の課題を踏まえ「国内ガソリンスタンドにおけるクレジットカード取引対応指針【附属文書4】」に実現可能な方策を取りまとめており、同指針に基づく対応によりIC対応することとする。
※詳細は「オートローディング式自動精算機のIC対応指針と自動精算機の本人確認方法について【附属文書5】」及び「国内ガソリンスタンドにおけるクレジットカード取引対応指針【附属文書4】」を参照。
２）オートローディング式自動精算機における IC 対応
オートローディング式自動精算機に関しては、ICカードリーダーライターとPINパッドが物理的に分離した構造となるため、現状、PCI SSC＊が定めた国際的なセキュリティ基準である
PCI PTS＊に準拠することが技術的に難しいという課題がある。
一部の業界（例：ガソリンスタンド、鉄道等）では、PCI PTSへの準拠が困難であるオートローディング式によりIC対応を進めることとなったことを受け、「オートローディング式自動精算機のIC対応指針と自動精算機の本人確認方法について【附属文書5】」を取りまとめた。当該指針では、オートローディング式の自動精算機をIC対応する場合のPCI PTS未準拠
により生じ得るセキュリティリスクに応じた代替コントロール策の内容等、具体的な対応事例を示している。オートローディング式の自動精算機のIC対応については、当面の間、同指針に基づき対応することとする。
※詳細は「オートローディング式自動精算機のIC対応指針と自動精算機の本人確認方法について【附属文書5】」を参照。
□加盟店における指針対策の実現方法
加盟店
POS システムでクレジット
カード決済を行う加盟店
POS システム以外でクレジッ
トカード決済を行う加盟店

特定業界の加盟店指針対策の実現方法
次の実現方式による POS システムでの IC 対応
1) 決済専用端末（CCT）連動型
2) 決済サーバー接続型
3) ASP/クラウド接続型
IC 対応決済専用端末（CCT）の導入
1) 「国内ガソリンスタンドにおけるクレジットカード取引対応指針」に基づく実現可能な方策による IC 対応【附属文書 4】2) 「オートローディング式自動精算機の IC 対応指針と自動精算機の本人確認方法について」に基づく代替コントロール策によるIC 対応【附属文書 5】31

（３）カード会社（アクワイアラー）■アクワイアラーは契約を有する加盟店の決済専用端末の IC 対応を行う。
■「２．IC 取引時のオペレーションルール」に基づく運用がなされるように、加盟店に対して日本クレジット協会策定のガイドライン等について周知を行う。
■契約を有する加盟店に対し、本ガイドラインで整理された各方策について必要に応じて機器メーカーとも連携して情報を提供する。
■POS システムの接続インターフェース等の共通化や IC 取引オペレーション等を踏まえ作成した「IC カード対応 POS ガイドライン【附属文書 6】」及び「非接触 EMV 対応 POS ガイドライン【附属文書 12】」について、機器メーカーや加盟店等への周知を行う。
（４）その他関係事業者等①国際ブランド■IC 取引時のオペレーションについて、我が国のクレジットカード業界として制定したルールを推進することに協働して取組む。また、技術の向上や環境の変化等により新たな措置等が必要になった場合は、カード会社（イシュアー・アクワイアラー）と調整を行う。
②機器メーカー■加盟店における IC 対応に関し、本ガイドラインで整理された各方策についてカード会社（アクワイアラー）とも連携し、加盟店へ必要な情報を提供する。
■POS システムの接続インターフェース等の共通化や国際ブランドテストの簡略化等を活用し、加盟店における IC 対応 POS システム導入時のコスト低減化に資する技術的解決策の実現に取組む。
③行政■割賦販売法に基づく監督等を通じ、対面加盟店における偽造カードによる不正利用防止のための必要な措置の適確な実施について指導等を行う。
２．IC 取引時のオペレーションルール
カード会社は、IC 取引上の本人確認方法等のオペレーションについては、「クレジット取引における本人確認方法に係るガイドライン【附属文書 15】（以下「本人確認ガイドライン」という）」に基づき対応することとする。
本人確認ガイドラインに基づく IC 取引における本人確認方法の大別は以下のとおり。
（１）接触 IC 取引
接触 IC 取引は、決済端末に IC カードを挿入しカード券面上に露出した IC チップの接触端子からカード情報を読み込んで処理を行うものである。
・カード偽造防止のみならず、紛失・盗難カードによる不正利用被害抑制のため、原則 PIN 入
力による本人確認を行うこととする。カード利用時にカード会員が入力した PIN の照合方法には、カードの IC チップ内に保存された PIN と照合する「オフライン PIN＊」とオンライン
ネットワークを経由してカード会社（イシュアー）のシステム上で照合する「オンライン
PIN」があるが、現状の我が国の決済インフラを考慮すると「オフライン PIN」が最適な本人確認方法である。
・一部の海外発行カードでは、「オフライン PIN」での本人確認を許容しないカードが存在す
るため、これらのカード利用時の本人確認にも対応できるよう従来はサイン記入欄が印字可能な機能やサインパッド等の装備も必須としていたが、サイン取得の任意化に伴いこれら機能等の装備も任意とする。
・本人確認ガイドラインで規定する「本人確認が必要となる業種/売場商品等」に該当せず、かつ、「本人確認不要取引の CVM リミット金額」の範囲内であることを前提として、加盟店は本人確認を不要とすることができる。ただし、加盟店が自主的に本人確認を実施することを妨げるものではない。

32

・なお、本人確認が不要とされる取引は、紛失・盗難カードによる不正利用のリスクを踏まえた
セキュリティ確保の観点から、IC 取引時のオペレーションルールに基づき、全件オンライン
オーソリゼーションを必須とする。ただし、非接触 IC 取引は除く。
・上記の接触 IC 取引オペレーションを実現するため、国内の IC 決済端末には、オフライン
PIN 機能と本人確認を不要とする No CVM＊機能が装備されていることが必須となる。NoCVM を実現させるために採用する具体的な実現方式は、セレクタブルカーネルコンフィグレ
ーション方式とする。同方式は、決済アプリケーションの機能にて取引単位で端末が指定する
本人確認方法の切り替えを可能とする EMV カーネルの実装方式であり、EMV 仕様に準拠しつつ、「本人確認要（PIN/サイン）」と「本人確認不要」の両方の取引を一つの装置で実現する方式である。本方式により、原則「オフライン PIN」の考え方に則り、CVM リミット金額以下は本人確認不要取引を認めつつ、CVM リミット金額超では「オフライン PIN」での本人確認が可能となる。
（２）非接触 IC 取引
非接触 IC 取引は、決済端末に IC カードをかざす通信により、カード券面の内部に搭載された IC チップ内のカード情報を読み取り処理を行うものである。
・非接触 IC 取引の形態は、「カード型」とスマートフォン等を用いた「モバイル型等（『キーホルダー型』や『ウェアラブル型：リストバンドや時計等の身に着けて使用』を含む)」に分けられる。
・本人確認方法としては、「サイン」、「PIN」、「Consumer Device CVM （モバイル型等のパスワードや指紋認証等の機能）」の 3 種類がある。
・非接触 IC 取引については仕様上、PIN による本人確認の手法は、「オンライン PIN」のみであり、先述の通り「オンライン PIN」は我が国の市場環境においては実現が困難であることか
ら、非接触 IC 取引における本人確認方法は「Consumer Device CVM 」のみとする。
・非接触 IC 取引の多くは少額での決済が中心であり、多くは CVM リミット金額以下になることから、消費者の利便性を勘案し、CVM リミット金額以下の取引においては、本人確認不要とすることができるものとする。
・CVM リミット金額を超える取引においては、以下のとおりカード会員が提示する媒体に応じて本人確認を行う。
①カード型
・CVM リミット金額超の取引については、非接触 IC 取引から接触 IC 取引に切り替え、オフ
ライン PIN による本人確認を行う。接触 IC 取引への切り替えができないカードの場合には、サインによる本人確認を許容する。
②モバイル型等・CVM リミット金額超の取引については、Consumer Device CVM （モバイル型等のパスワ
ードや指紋認証等の機能）もしくはサインを用いた本人確認を行う。
このため、日本国内の接触 IC/非接触 IC の処理をする決済端末には、カード型対応のために「No CVM（本人確認不要）機能」「オフライン PIN 機能」及び「サイン機能」また、モバイル型等対応のために「No CVM（本人確認不要）機能」「Consumer Device CVM 機能」及び「サイン機能」の装備を必須とする。

33

IC 取引時のオペレーションルール
□取引形態別（接触 IC 取引/非接触 IC 取引）の本人確認方法◆接触 IC 取引・原則、「オフライン PIN」とする。
・CVM リミット金額以下の場合は、本人確認を不要とすることができる。
◆非接触 IC 取引
・CVM リミット金額以下の場合は、本人確認を不要とすることができる。
・「カード型」における CVM リミット金額超過時は「接触 IC 取引」へ切り替える。
ただし切り替えができないカードの場合にはサインによる本人確認を許容する。
・「モバイル型等」における CVM リミット金額超過時は Consumer Device CVM（モバイル PIN/指紋等）もしくはサインとする。

CVM リミット金額
CVM リミット以下

CVM リミット超

取引形態
非接触 IC 取引
接触 IC 取引
カード型
モバイル型等
本人確認を「不要」とすることが可能[接触 IC 取引へ切替え]
Consumer Device
原則
原則
CVM
オフライン PIN
オフライン PIN
（モバイル
PIN/指紋（サインを許容注 1）（切替え不可の場合等）もしくはサイン
サインを許容注 2）

注 1 接触 IC 取引において、一部の海外イシュアー発行のカードはオフライン PIN 環境での利用が許容されないため
注 2 非接触 IC 取引の「カード型」において、接触 IC 取引への切り替えを許容しないカードが存在するため※詳細は「クレジット取引における本人確認方法に係るガイドライン【附属文書 15】」を参照。
（３）サイン取得の任意化、PIN バイパスの廃止、NoCVM の見直しについて①加盟店によるサイン取得の任意化
・我が国のクレジットカード市場では長年にわたり、本人確認としてサインの果たす役割の重要性に鑑み、カード会員に対してはカード券面上のサインパネルへの自署の徹底を、加盟店に対してはそのサイン照合の徹底について業界を挙げて啓発し取組んできた経緯がある。
・割賦販売法による不正利用防止措置の義務化、本ガイドラインに基づく IC 化の取組の推進により接触 IC 取引の実現が進展し、一般的には PIN 入力により本人確認が行われているが、例えば、海外イシュアーが発行したオフライン PIN 環境に対応しないカードが利用される場面や、今後一層の利用拡大が見込まれる非接触 IC 取引については本ガイドラインにおいても規定しているように、CVM リミット金額を超える取引の際にサインによる本人確認を行う場合があることから、依然、本人確認方法としてサインが残存している。
・一方で、カード会員自ら決済端末にカードを挿抜する、あるいはかざす決済オペレーションが浸透しつつあることにより、従来、加盟店がカード会員から一時的にカードを預かりサイン照合を行ってきた商慣習がその変更を迫られている。また、国際ブランドのルールでは、サインを取得するか否かは加盟店による裁量に委ねられており（任意化）、世界的には既に、サインが従来果たしてきた本人確認としての有効性は低下している。
上記に鑑み、本人確認方法としての「サイン」の取得は 2025 年 3 月を目途に加盟店の任意とし、取得しないことを推奨する。なお、「サイン」を取得する場合においても売上票に記載されたサインとの同一性確認は必須とはしない。
34

このため、2022 年 4 月以降、加盟店及びカード会社による（サイン取得の任意化について）
段階的な周知・啓発活動を実施する。
これらの状況を踏まえ、クレジットカード取引の売上票（カード会社控え等）は「サイン」
取得の前提で取引時に作成され、保管されている運用が一般的であるが、一方で「サイン」を取得しない加盟店の取引においては紙伝票印刷や保管業務の削減等、運用の合理化を図ることが可能となる。「サイン」を取得しない加盟店における、クレジットカード売上票の取扱いに関して運用を検討する際には「クレジットカード売上票の作成・保管に関するガイドライン【附属文書 16】」を参照。
②PIN バイパスの廃止
現状、IC 取引においてカード会員の PIN 失念への一時的な救済措置が可能となるよう PIN 入
力スキップ機能（PIN バイパス）の運用が許容されているが、PIN 入力による本人確認の未実
施により不正利用被害を発生させるリスクがある。海外発行のカードには本機能を許容しないものも存在し利用阻害が発生していること、また上述のとおり、本人確認としてのサイン任意化により、当該救済措置としての存在意義も失われることになるため、PIN バイパスは 2025 年 3 月をもって原則廃止することとする。
・カード会社（アクワイアラー）は PIN バイパスをサポートする IC 決済端末について、2025 年
3 月までに当該機能の廃止を求める。そのため、2022 年 4 月より加盟店への告知を進め、実施
可能な加盟店より順次対応を求める。ただし、カード会員による PIN 失念等の救済措置が真に必要となり、2025 年 3 月をもって PIN バイパスの廃止が困難な加盟店への対応について十分に配慮する。
・一方、カード会員の PIN 認知率は高まってきているが、PIN 不知による利用阻害やトラブルを防止するべく、カード会社（イシュアー）は PIN の認知率の向上に一層努めるとともに、カード会員が PIN を失念した場合には接触 IC カード及び非接触 IC カードで CVM リミットを超える場合には利用ができなくなることを周知徹底する。
③NoCVM（本人確認不要取引）の見直し
・クレジットカード取引において、店頭での PIN 入力等での本人確認は、カード会社がカード保有者を確認するだけではなく、カード会員と加盟店間の取引の成立を証明するための基本要件の一つである。一方、決済端末の IC 対応推進にあたっては、取引の安全性が確保できる環境であることを条件として「本人確認不要取引の対象加盟店（業種/売場等）」及び「本人確認不要取引の除外商品」を定め、例外的に「本人確認不要取引」を認めてきた。
・また、一定金額以下の取引は本人確認を不要とする非接触 IC 取引が拡大しており、本人確認不要取引は、諸外国でも急速に普及している。さらに、今後「サイン」を取得しない取引を推奨す
ることも踏まえ、不正利用防止及びカード会員の利便性を両立するとともに、加盟店及びカード
会員の円滑な取引を実現するため、本人確認不要取引の考え方について以下のとおり取りまとめた。
・各国際ブランドで定める本人確認不要取引のルールは、各ブランド間で差異があり、また、本人確認ガイドラインの内容と相違する可能性があるが、アクワイアラーは、本人確認不要取引のリスクを認識の上、自己責任の下、対応する必要がある点も留意が必要である。
・本人確認不要取引を行うにあたっては、その導入の必要性を十分に勘案したうえで、カード会員の保護及び不正利用発生の防止に留意しなければならない。カード会社、特にアクワイアラーは
本人確認ガイドラインに基づく本人確認不要取引の公正な維持に努めるものとし、同ガイドラインに基づく適切な対応が図られるように、加盟店に対して十分な説明を行い、理解を求めていく必要がある。
・上記のような状況から 2022 年 4 月より、アクワイアラーは本人確認ガイドラインで規定する「本人確認が必要となる業種/売場/商品等」に該当せず、かつ、「本人確認不要取引の CVM リ
ミット金額」の範囲内については、加盟店は本人確認を不要とすることができることを、加盟店に対し告知を進め、実施可能な加盟店より順次対応を求める。ただし、加盟店による自主的な本
人確認の実施を妨げるものではない。
35

・なお、上記の業種/売場/商品等は、市場環境の変化により不正動向が変動していくことを前提に定期的に見直すこととされている。
・本人確認不要加盟店での本人確認不要取引の CVM リミット金額を超過する場合は本人確認が必要となる。
・本人確認不要取引の CVM リミット金額については、加盟店店頭でのオペレーションの混乱を防止するため、取引種別（磁気・接触 IC・非接触 IC）ごとに金額を設定せず、統一することが望ましい。
・本人確認として「PIN」を取得することが売場形態等の事由により困難なケースや既にサイン取引を前提とした端末設置加盟店等については、IC 対応への円滑な移行という観点から例外的に「サイン」を許容してきたが、「サイン」の位置付けが変更されるにあたり、2025 年 3 月までにモバイル端末の活用等により「オフライン PIN」対応を求める。
・ただし、一部残存する「PIN」による本人確認が実施できない特殊なケース等（オフライン PIN
未サポートの海外発行カード、PIN バイパス実施時、フルサービスのガソリンスタンドにおける車内精算等）で、現状「サイン」による本人確認をしている場合においても、今後「サイン」を取得しないことを推奨し、「サイン」の照合は不要とする。
・売場形態等事由で「PIN」の取得が困難なケースの本人確認については、以下のとおりとする。
①モバイル型決済端末等の運用により PIN 入力が可能なケース（例：モバイル通信等が可能な環境における飲食店等のテーブル決済、宿泊施設等の客室決済等）
新規で端末を導入する場合はモバイル型決済端末等での「オフライン PIN」とする。既存の端末については経過措置として「サイン」を許容するが、2025 年 3 月までにモバイル型決済端末
等での「オフライン PIN」へ移行する。
②上記以外で PIN の取得が真に困難なケース（例：モバイル通信等が不可能な環境等）は「サイン」取引を継続する。
※可能な金額帯・範囲においては本人確認不要取引を活用する。
なお、上述の「サイン取得の任意化」、「PIN バイパスの廃止」及び「No CVM（本人確認不要取引）運用」については、これまで我が国では長年にわたりサインによる本人確認の的確な実施のため、業界として、カード会員に対するカード券面上のサインパネルへの自署の徹底、加盟店に対するそのサイン照合の徹底についての啓発、取組を行ってきた経緯がある。このため、ク
レジット取引の円滑な運用を確保しつつ、カード会員と加盟店に混乱を招かぬよう運用していくことが必要である。特に、「PIN バイパスの廃止」については PIN 不知者の利用阻害に繋がるため、2022 年 4 月から開始したカード会員や加盟店への告知を継続的に進め、移行に取り組むこととする。
カード会社は、2025 年 3 月までを目途にこれら施策への移行に取組むこととするものの、加盟店個々のシステム面やオペレーション等の固有事象も踏まえ、個別に十分に配慮することが求められる。
加盟店や機器メーカーにおいても、上記クレジットカード業界としての IC 取引時のオペレー
ションルールに基づき、IC 取引において、移行期間が設定されていることに留意が必要である。
加えて、本人確認ガイドラインの対象は、本ガイドラインと同様に世界中で利用され、不正利用リスクが高い「国際ブランド付きのクレジットカード」であるが、発行主体者と利用される加盟店が同一グループであるなどにより固有の本人確認が行われている場合の対応においては、その対応は当該発行主体者と加盟店に委ねられている。

36

３．その他留意事項
POS システムの IC 対応に係る各種ガイドライン等（附属文書）
POS システムの IC 対応にあたっては、接触 IC 取引を対象とした「IC カード対応 POS ガイドラ
イン【附属文書 6】」と各種手引き、非接触 IC 取引を対象とした「非接触型 EMV 対応 POS ガイド
ライン（全体概要編・取引処理編）【附属文書 11・12】」が取りまとめられている。
機器メーカー、加盟店及び情報処理センターは、これら各附属文書に留意し、IC 取引実現上の必要な対応を行うこととする。

37

（Ｂ）非対面取引におけるクレジットカードの不正利用対策
非対面取引の加盟店には、インターネットを利用して注文する電子商取引の加盟店（EC 加盟店）と、カタログやテレビを見て、はがきや電話で注文するいわゆるメールオーダー・テレフォンオーダーによる通信販売（MO・TO 加盟店）があるが、不正利用被害のほとんどは EC 加盟店（特に家電量販店やデジタルコンテンツ等）において発生しており、被害額は近年増加し続けている。日本
クレジット協会の調査によると 2021 年のクレジットカード不正利用被害額は約 330 億円にのぼり、そのうちの約 9 割を番号盗用による被害が占めている。また、2022 年の不正利用被害額についても
1 月から 9 月の被害額が約 309 億円にのぼり、2021 年の被害額を上回ることは確実な状況にある。
非対面不正利用による被害が増加傾向にある背景としては、EC 加盟店からの情報漏えいやフィッ
シングメールによる、カード会員からのクレジットカード番号や静的（固定）パスワード等の窃取の発生件数が高止まりしていること、クレジットカード番号の採番の規則性を悪用して推定した大量のクレジットカード番号を特定の EC 加盟店において集中的に短期間で使用する手口による不正利用が依然として発生しているためである。
「（Ｂ）非対面取引におけるクレジットカードの不正利用対策」では、このような不正利用の発生状況等を踏まえ、EC 加盟店の不正利用防止策として、後述のとおり EC 加盟店が取り扱う商材や不正利用の被害発生状況等から不正利用発生のリスクに応じて、非対面不正利用防止の 4 つの方策をベースとした対策を導入することとしてきた。
しかし、EC 加盟店における非対面不正利用被害が増加している現状を踏まえ、2025 年 3 月末までに、原則、全ての EC 加盟店に EMV 3-D セキュア＊の導入を求めることとする。
これは、割賦販売法第 35 条の 17 の 15 及び同施行規則第 133 条の 14 の規定を踏まえ、加盟店
が、クレジットカード番号等の通知を受けた際、当該通知がイシュアーから当該クレジットカード
番号等の交付等を受けた利用者によるものであるかの適切な確認をする（クレジットカード番号等の交付等を受けた利用者によるものであることを確認しうるのはイシュアーのため、その判断はイシュアーが行う）ために必要な措置（EMV 3-D セキュアの導入）を講じるものである。
このため、各事業者は、2025 年 3 月末までに、関係事業者と連携し、主体的に導入計画を作成し、それを実行する事が強く望まれる。
※EMV 3-D セキュアによる認証の対象となる「クレジットカード取引」は、「（加盟店がクレジッ
トカード利用者から）クレジットカード番号等の通知を受けたとき」とし、具体的には以下を想定する。なお、EMV 3-D セキュアによる認証の運用方法については今後検討し、改めて整理することとする。
①クレジットカード番号での決済時②加盟店等のアカウントへのクレジットカード番号の紐づけ（有効性チェックのみ含む）時
１．各事業者に求められる対策等(１）カード会社（イシュアー）■過去の取引履歴等の様々な情報から、不正取引か否かを判断するオーソリモニタリング＊の検知
精度の向上・強化を図る。
■EMV 3-D セキュアを導入し、継続的に安定稼働のための対応及びリスクベース認証＊（RBA）
精度向上を図る。
■自社カード会員に対して EMV 3-D セキュアの登録を強く推進するための取組を行う。また、カード会員の登録の有無にかかわらず、オーソリモニタリングやリスクベース認証を用いた不正利用対策を講じる。
■EMV 3-D セキュアのチャレンジフローにおける追加認証方法として、「動的（ワンタイム）パ
スワード」等の「静的（固定）パスワード」以外の認証方法への移行環境を整え、2025 年 3 月
末までに自社カード会員が「静的（固定）パスワード」以外の認証方法へ登録・移行するよう取組む。
■上記 EMV 3-D セキュアの登録及び静的（固定）パスワード以外の認証方法への登録・移行を促進するためのカード会員への周知啓発を行う。

38

■EC 加盟店からの真正利用確認照会（オフアス取引の場合はアクワイアラー経由の照会）に応じるべく情報連携強化に取組む。
■カード会員に対する「カード利用時の利用内容通知」の導入を促進する。また、カード会員に対し、「カード利用時における利用内容通知」の登録の促進に取組む。
■多数回連続の不審なオーソリゼーションに対しては当該不正行為を早期に検知し当該取引を停止する対策を講じる。
①リスクベース認証（RBA）の精度向上
・リスクベース認証とは、EMV 3-D セキュアにおいて、利用者が決済に使用するデバイスの設定
情報や利用者から提供される個人情報等のデータを活用して本人の利用であるかどうかの認証を行う仕組みであり、EMV 3-D セキュアにおいては、カード会社（イシュアー）が当該取引におけるリスク度合いを評価する。リスクベース認証の活用により、リスクが低いと判定された取引は利用者の ID・パスワードの入力が省略可能（フリクションレスフロー）となる。カード会社（イシュアー）は自社カード会員取引のリスク度合いを適切に判定するために、データ処理能力の向上や認証精度の分析及びルール設定等の最適化を行い、安定稼働のための対応及びリスクベース認証の精度向上に継続的に取組むことが求められる。
※詳細は「EMV 3-D セキュア導入ガイド【附属文書 14】」参照②「静的（固定）パスワード」以外の認証方法への移行について
・カード情報とともに「静的（固定）パスワード」が窃取された場合、不正利用被害の蓋然性が高くなることから、カード会社（イシュアー）は EMV 3-D セキュアのチャレンジフローにおける追加認証方法として、「動的（ワンタイム）パスワード」等の「静的（固定）パスワー
ド」以外の認証方法への移行環境を整え、原則、全ての EC 加盟店に EMV 3-D セキュアの導入を求める 2025 年 3 月末までに自社カード会員が「動的（ワンタイム）パスワード」等の「静的（固定）パスワード」以外の認証方法へ登録・移行するよう取組むことが求められる。
・国際ブランドでは、「動的（ワンタイム）パスワード」とともに、「指紋等の生体情報による認証」（生体認証）の活用も推奨している。また、欧州連合（EU）では SCA※を踏まえ、デバ
イス認証の方策の一つである生体認証による認証方法が主流となっている。このデバイス認証の方策の一つである生体認証では、必ずしもカード会社（イシュアー）がカード会員の生体情報を保有する必要はない。生体認証を導入する場合は、生体情報をスマートフォン等のデバイスに登録する際に、確実な認証がカード会員により行われる必要があるが、その後の当該デバイスによるクレジットカード利用時においては、登録された生体情報による認証等も認証方法として認められるものであり、有効な方策である。
※SCA（Strong Customer Authentication）とは：EU によって制定された決済サービス指令（PSD2：Payment Service Directive 2）において求められる強力な顧客認証（SCA）要件であり、不正利用の削減を目的に全ての電子決済取引では「知識」「所有」「固有性（生体）」の 3 つの方法のうち、少なくとも 2 つの方法で認証しなければならないとされている。
③クレジットカードと連携するコード決済事業者等に対する多面的・重層的な対策の実施
・クレジットカードを、コード決済事業者等が提供する他の決済サービスと連携（紐づけ）する
取引は、なりすましによりクレジットカードを連携された場合、反復的に不正にチャージや決済利用により、高額な不正利用被害が発生する蓋然性がある。このことから、クレジットカー
ドと連携する取引の時点で、カード会社（イシュアー）は EMV 3-D セキュアによる認証やオー
ソリゼーションによるモニタリング、セキュリティコードの照合等の対策を複数組み合わせる
ことにより、セキュリティ対策を多面的・重層的に講じる必要がある。
④カード会員に対するカード利用時の利用内容通知
・「カード会員に対するカード利用時の利用内容通知」とは、カード会員に対してメールやアプリ等により、カード利用時にその利用内容を通知することで、カード会員がカードを利用された事実の確認をできるものである。当該通知によりカード会員が利用覚えのない取引を発見
39

し、カード会社（イシュアー）に連絡することで、不正利用を認知し、より早くカードの無効
手配・処理が可能となる。このように有効な不正利用対策であることから、カード会社（イシュアー）は、導入及びカード会員への登録を促進する必要がある。
⑤多数回連続の不審なオーソリゼーションへの対策
・不正に入手した大量のカード会員データや採番の規則性を悪用し推定した大量のクレジットカ
ード番号を利用して、コンピューターを用いて自動的に決済等を行おうとする手口が依然として発生していることから、このようなクレジットカード決済を早期に検知し、当該クレジット
カード番号による取引を停止させることが必要となる。
（２）EC 加盟店
前述のとおり、原則、全ての EC 加盟店は 2025 年 3 月末までに EMV 3-D セキュアの導入を計画的に進めることが求められる。
また、後述する「不正顕在化加盟店」は既に不正利用が発生し被害が生じている加盟店であることから、早期に EMV 3-D セキュアを導入することが求められる。
さらに、全ての EC 加盟店は、カード会社（イシュアー）におけるリスクベース認証の精度向上のため、「EMV 3-D セキュア導入ガイド【附属文書 14】」を参照し、アクワイアラーや PSP 等と連携しながら、自社の取扱商材や不正発生状況等の実態を踏まえ、カード会員のデバイス情報等の情報をカード会社（イシュアー）により多く提供できるよう、また提供する情報を適宜見直せるよ
う、データ項目の設定等の体制を整えることが求められる。加えて、不正顕在化加盟店や高リスク商材取扱加盟店等において更なる不正利用対策強化が必要な場合には、アクワイアラーの要請に応じ、カード会社（イシュアー）の認証精度向上に資するデータ項目の設定を行うことが求められる。
【指針対策】■オーソリゼーション処理の体制整備と加盟店契約上の善良なる管理者の注意をもって不正利用の発生を防止するとともに、リスクや被害状況に応じた非対面不正利用対策を導入する。
■上記に加え、後述する「高リスク商材取扱加盟店」は、本ガイドラインが掲げる 4 つの方策の内
1 方策以上、「不正顕在化加盟店」は 2 方策以上の導入が必要となる。
■自社が導入している不正利用対策の課題を検証し、必要に応じて新たな方策の導入等を検討する
ため、契約カード会社（アクワイアラー）や PSP との間で迅速な情報共有に努める。
■加盟店サイトでの大量かつ連続するカード利用の不正アタックについては早期に検知、遮断するなど、加盟店各社サイトにおいて被害の状況等に応じて必要な対策を講じる。
■自社での不審なカード利用の把握に努めるとともに、不正利用の手口は日々巧妙化することから、カード会社における不正利用対策の更なる向上のため、当該情報（不審利用）や不正利用対策に有効な情報について契約カード会社（アクワイアラー）や PSP と迅速な情報共有に努める。
非対面不正利用による被害を防止するための具体的な方策にはそれぞれ特徴があり、EC 加盟店が取り扱う商材や販売手法に応じた有効な方策を講じることが必要である。特に、不正利用が多発している EC 加盟店においては、多面的・重層的な対策を講じる必要がある。2022 年度の日本クレジット協会のインフラ整備部会からの報告によると、引き続き複数の方策を導入した EC 加盟店において、不正利用の抑止の効果が確認されていることから、不正利用が多発している EC 加盟店においては、契約カード会社（アクワイアラー）、PSP、セキュリティ事業者等と連携し自社の業務実態、不正利用の発生リスクに応じて本ガイドラインが掲げる方策を実施する必要がある。
EC 加盟店における非対面不正利用対策の具体的方策
１）本人認証EC 加盟店における非対面不正利用防止のための本人認証の具体的手法として、EMV 3-D セキ
ュアや認証アシストがある。これらは、カード会員に特定のパスワードや属性情報等を入力させること等で、利用者本人が取引を行っていることを確認するものである。

①

40ａ）EMV 3-D セキュア
・EMV 3-D セキュアとは、オンラインショッピング時にクレジットカード番号等の情報の盗用
による不正利用を防ぎ、安全にクレジットカード決済を行うために国際ブランドが推奨する本
人認証サービスのことである。
・EMV 3-D セキュアでは、各カード会社が、カード会員のデバイス情報等を用いて不正利用のリスク判断を行うとともに、必要に応じてパスワード入力を要求することで当該取引の安全性を確保する。
・EMV 3-D セキュアにおいては、加盟店等のアカウントへのクレジットカード番号の紐づけ時等、非決済分野での利用が可能であるが、登録カードを利用した不正取引も頻繁に発生していることから、クレジットカード番号の紐づけ時に EMV3-D セキュアによる認証に加えてオーソリ
ゼーション処理を行うことを推奨する。
※詳細は「EMV 3-D セキュア導入ガイド【附属文書 14】」を参照。
ｂ）認証アシスト
・「認証アシスト」とは、カードのオーソリゼーション電文を用いて、EC 加盟店が特定のカード会員の属性情報をカード会社（イシュアー）に送信し、カード会社（イシュアー）が自社に予め登録している属性情報と照合し、利用者本人が取引を行っていることを確認する手法である。カード会社（イシュアー）が保有するカード会員本人の属性情報を用いた認証方法であるため、カード会員によるパスワード失念等を懸念することなく運用が可能であることが特徴である。
２）券面認証（セキュリティコード）・カード券面に印字されている「セキュリティコード」（数字 3～4 桁）にて認証することにより真正なカードが利用されていることを確認する手法である。
・「セキュリティコード」による認証は、使用するクレジットカード番号が真正であることをカード会社（イシュアー）が確認できること、セキュリティコード自体がカード会社（イシュアー）及びそのカード会員のカードに 100％普及していること、カード会員が認証で使用する番
号を失念する懸念がないこと、既存のオーソリゼーション電文の活用で導入できること等の特徴がある。
３）属性・行動分析（不正検知システム）
・非対面取引でのカード利用時に、利用者の入力情報（氏名、クレジットカード番号、メールア
ドレス等）、利用者の利用端末（PC・モバイル等）情報であるデバイス情報、IP アドレス、
過去の取引情報、取引頻度等収集した情報の分析に基づいて、取引のリスク評価（スコアリング等）を行い、不正な利用であるか加盟店側で判定する手法である。なお、日本クレジット協会のインフラ整備部会からの報告でも、本方策により EC 加盟店の不正検知精度の向上が確認されている。
・不正利用の手口や傾向は変化するため、「属性・行動分析（不正検知システム）」のツールにおいては、不正利用傾向の分析に基づき構築された不正判定の条件設定を更新・変更する機能を有することが必要である。真正/不正の判別が正当であったか否かについて、カード会社等から提供される不正利用の情報等により確認し、常に条件設定を最新化しておくことが望まれる。
４）配送先情報・過去に不正利用された注文等の商品の配送先情報を蓄積し、照合することで、取引成立後であっても商品等の配送を事前に止めることで不正利用被害を防止する手法である。現在、大手 EC 加盟店が独自のデータベースを運用しているほか、カード会社複数社が共同で運用しているサービスやシステムベンダーが提供するサービスがある。規模の小さい EC 加盟店では、不正利用に使われた配送先情報の把握が困難な場合もあるため、外部の事業者が提供するサービスを利用することも有効である。
41

・「配送先情報」による不正利用対策では、加盟店自らが取引顧客の配送先情報から、不正な取引か否かの判断を行うため、EC 加盟店において不正判断のノウハウを蓄積し、対策実施のための体制構築が必要となる。
方策a) EMV 3-D セキ
ュア1) 本人認証b) 認証アシスト2) 券面認証（セキュリティコード）3) 属性・行動分析（不正検知システム）

4) 配送先情報

特徴
・カード会員のデバイス情報等を用いて不正利用のリスク判断を行う
と共に、必要に応じてパスワード入力を要求することで当該取引における安全性を確保する
・取引時の属性情報とカード会社（イシュアー）の登録属性情報を照合し本人を確認・カード会員のパスワード失念等の懸念がない
・カード券面の「セキュリティコード（数字 3～4 桁）」を入力し、カードが真正であることを確認
・カード会員の対応が容易
・EC 加盟店の対応も比較的容易
・カード券面への印字はイシュアー側で 100％対応済み
・機械的にクレジットカード番号を生成して攻撃する手口に有効
・過去の取引情報等に基づくリスク評価によって不正取引を判定・抑止効果維持には継続的な不正利用の条件設定の最適化が必要で、カード会社（アクワイアラー）との継続的な情報連携が重要
・カード会員の負担なし
・不正利用の発生状況に合わせた不正利用の条件設定が可能
・EC 加盟店が収集した利用者のデバイス情報を活用できる
・個々の取引を人的対応によって判定するのではなく、条件設定による自動判定が行われることが重要で、更に、即時判定機能を導入す
れば、短時間に連続した不正判定が行われる場合でも即時に検知・拒否することが可能
・不正配送先情報の蓄積によって商品等の配送を事前に停止
・カード会員の負担なし
・多数の取引と一定以上の不正利用被害がある EC 加盟店においては自社構築によるデータベースでも一定の効果があるがそれ以外の加盟店は外部サービスを利用しないと期待する効果が得られない。

② EC 加盟店における非対面不正利用防止のための方策導入の考え方
・EC 加盟店は、リスクや被害発生の状況に関わらず、不正利用防止のための方策として加盟店契約に定める善良なる管理者の注意をもって不正利用の発生を防止するとともに、リスク評価
を含めたカード会社（イシュアー）の承認判定を得るためのオーソリゼーション処理が必要である。加えて、EC 加盟店の取り扱う商材や不正利用の被害発生状況等のリスクに応じて、前述の非対面不正利用防止の 4 つの方策をベースとした対策を導入する。
また、商材としては、換金性があり転売されやすい商品が不正利用の標的となることから、こういった商材を取り扱う EC 加盟店においては、カード会社（アクワイアラー）や PSP と協力し、商材に合わせた適切な不正利用対策を講じることが必要となる。
・以下の１)、２)の EC 加盟店は、不正利用の発生リスクや被害発生の状況に応じた方策を導入しなければならない。加えて、リスト型攻撃（システムを利用し短時間に大量の決済等を行う
こと）による不正利用が引続き発生していることから、不正利用が継続的には発生していない
EC 加盟店であっても、カード会社（アクワイアラー）や PSP から、短期間に不正利用が急増
し不正利用防止の対応が必要であることの情報連携を受けた場合は、追加的な方策の導入が必要となる。
１）高リスク商材取扱加盟店
・不正利用被害の発生状況からリスクの高い商材として選定した①デジタルコンテンツ（オンラインゲームを含む）、②家電、③電子マネー、④チケット、⑤宿泊予約サービスを主たる商材
42

として取り扱う EC 加盟店は、「高リスク商材取扱加盟店」として、本ガイドラインにて掲げる非対面不正利用対策の 4 つの方策のうち、1 方策以上を導入する必要がある。なお、ここでいう③電子マネーとは、コード決済事業者等のその他決済サービス（プリペイド機能等）にク
レジッカードを紐づけ、その決済サービスにチャージすることにより利用可能となるものは除く。39 頁③及び 44 頁②参照
２）不正顕在化加盟店
・カード会社（アクワイアラー）や PSP が不正利用被害が多発している状況にあると認識する
EC 加盟店を「不正顕在化加盟店」としている。「不正顕在化加盟店」は、本ガイドラインにおいて掲げる非対面不正利用対策の 4 つの方策のうち、2 方策以上を導入する必要がある。なお、「不正顕在化加盟店」の対象は、カード会社（アクワイアラー）各社が把握する不正利用
金額が「3 ヵ月連続 50 万円超」に該当する EC 加盟店とする。
・4 つの方策のうち 2 方策以上を導入していても不正利用被害が減少せず、引き続き、「不正顕在化加盟店」と認識される EC 加盟店は、カード会社（アクワイアラー）や PSP から不正利用の発生状況等の情報共有を受け、自社で発生する不正利用防止に実効的な方策を追加で導入する必要がある。なお、１)、２)に該当する EC 加盟店であっても、4 つの方策と同等以上の性能を満たしている方策であれば、4 つの方策以外の導入も認められるものとする。ただし、その方策が 4 つの方策と同等以上の性能であることの説明が求められる可能性がある点に留意する必要がある。
＜EC 加盟店分類表＞
全ての EC 加盟店○カード取引に対する善管注意義務の履行○オーソリゼーション処理※EMV 3-D セキュアの計画的導入
1) 高リスク商材取扱加盟店○本ガイドラインが掲げる非対面不正利用対策の4 方策のうち、1 方策以上
※EMV 3-D セキュアの計画的導入
2) 不正顕在化加盟店○本ガイドラインが掲げる非対面不正利用対策の4 方策のうち、2 方策以上
※EMV 3-D セキュアの早期導入○印は必要な措置（指針対策）※印は求められる措置
なお、EMV 3-D セキュアの導入における詳細については、「EMV 3-D セキュア導入ガイド【附属文書 14】」を参照③ 大量かつ連続する不正アタックへの対応
・EC 加盟店に対するクレジットカードの不正利用は、不正に入手した大量のカード会員データや採番の規則性を悪用して推定した大量のクレジットカード番号を利用して、コンピューターを用いて自動的に決済等を行おうとする手口が依然として発生している。このような手口では、真正なカード会員がカード番号等を入力して決済等を行おうとする場合と比較す
ると、その速度や連続性の点が明らかに異なることから、EC 加盟店が真正な取引との相違点等により不正な取引を早期に検知し取引を遮断することが、不正利用防止の有効な対策となる。具体的な手法として、CAPTCHA 認証＊や機械的・繰り返し実行されるオーソリゼー
ションリクエストを遮断する方法が考えられる。
・CAPTCHA 認証では、コンピューターを用いた機械的な決済等の不正アタックを防止する
ため、人間でしか判別できない数字や画像を用いることにより、不正ソフトウェアがログイ
ン操作を行う攻撃を防ぐことができる。
43

（３）カード会社（アクワイアラー）及び PSP■カード会社（アクワイアラー）及び PSP は、2025 年 3 月末までに、原則、全ての EC 加盟店
が EMV 3-D セキュアの導入を計画的に進められるようサポートを行う。また、「不正顕在化加盟店」に対して早期に EMV 3-D セキュアを導入するよう働きかける。
■カード会社（アクワイアラー）及び PSP は、EC 加盟店に対して、非対面不正利用対策の具体的な方策の導入について、適切な助言・協力を行うための体制の整備をするとともに、EC 加盟
店がリスク・被害発生状況に応じた方策を確実に導入するための指導及び状況に応じた適切な提案を行う。
「（２）②EC 加盟店における非対面不正利用防止のための方策導入の考え方（42～43 頁を参照）」■カード会社（アクワイアラー）は、EC 加盟店に対し、不正利用対策の参考となるよう、非対面不正利用の傾向や事例等の情報及び非対面不正利用対策を導入しないリスクについて情報共有に努める。
■カード会社（アクワイアラー）及び PSP は、オフアス取引において、EC 加盟店における非対
面不正利用対策の更なる向上のため、カード会社（イシュアー）から提供された不正情報についてできるだけ多くの EC 加盟店と迅速な情報共有に努める。各加盟店における不正利用対策の問題の特定とともにその解決を図るため、各加盟店との間で迅速な情報共有に努める。
■PSP は、本ガイドラインに掲げる「本人認証」「券面認証」「属性・行動分析（不正検知システム）」「配送先情報」の各方策を提供できる体制を構築し、契約先の EC 加盟店における導入の推進に努める。
「（２）①EC 加盟店における非対面不正利用対策の具体的方策（40～42 頁を参照）」■カード会社（アクワイアラー）及び PSP は、EC 加盟店からの真正利用確認照会や情報連携に取組む。
① EMV 3-D セキュアへの対応
・カード会社（アクワイアラー）及び PSP は、「EMV 3-D セキュア導入ガイド【附属文書 14】」を活用し、2025 年 3 月末までに、原則、全ての EC 加盟店が EMV 3-D セキュアの導入を計画的に進められるようサポートを行うなど必要な対策を講じる。また、「不正顕在化加盟店」に対しては、早期に EMV 3-D セキュアを導入するよう働きかける。
・カード会社（アクワイアラー）及び PSP は、カード会社（イシュアー）におけるリスクベース認証の精度向上のため、「EMV 3-D セキュア導入ガイド【附属文書 14】」を参照し、EC 加盟店の取扱商材や不正発生状況等の実態を踏まえ、EC 加盟店がカード会員のデバイス情報等の情報をカード会社（イシュアー）により多く提供できるよう、提供する情報を適宜見直すなど、EC 加
盟店におけるデータ項目の設定をサポートする。
・カード会社（アクワイアラー）及び PSP は、EMV 3-D セキュアの安定稼働のための対応に継続的に取組む。
②

クレジットカードと連携する決済サービスを提供する決済事業者等との契約時におけるセキュ
リティ対策の確認について
・ カード会社（アクワイアラー）は、コード決済事業者等のクレジットカードと連携することにより他の決済手段を提供する事業者と包括加盟店契約等を締結する場合には、当該事業者は一般社
団法人キャッシュレス推進協議会が取りまとめた「コード決済における不正流出したクレジット
カード番号等の不正利用防止対策に関するガイドライン」や一般社団法人日本資金決済業協会が取りまとめた「銀行口座との連携における不正防止に関するガイドライン」等、関係するガイド
ラインに準拠するなど、十分な安全対策が講じられていることを確認する必要がある。

44

（４）その他関係事業者等①国際ブランド■我が国における非対面加盟店でのクレジットカード取引実態を踏まえ、各種課題の解決に向けて関係事業者と協働して取組む。
■「EMV 3-D セキュア」に係るステークホルダーへの影響（運用ルール等）及び「EMV 3-D セキュア」の導入について、情報の提供及び説明を行う。
■非対面加盟店における不正利用対策の取組を推進するため、海外のカード会社や EC 加盟店における取組事例について情報提供を行うとともに、我が国における国際水準のセキュリティ環境の整備の必要性について、事業者向けの情報発信に取組む。
②行政■割賦販売法に基づく監督等を通じ、非対面加盟店における非対面不正利用防止のための必要な措置の適確な実施について指導等を行う。また、本ガイドラインに掲げる非対面不正利用対策の実施について、事業者向けや消費者向けの情報発信に取組む。
③業界団体等■日本クレジット協会は、他の業界団体に協力を要請し、不正利用の実態を踏まえ、EC 加盟店において本ガイドラインに掲げるリスクに応じた非対面不正利用対策を導入する必要性及び各方策の有効性等について、事業者向けの周知活動に取組む。
■日本クレジット協会は、最新の不正利用発生状況を踏まえた「不正顕在化加盟店」の基準や「高リスク商材取扱加盟店」の特定商材の継続的な検討、不正利用被害が継続的に発生する EC
加盟店の不正利用の発生状況の分析・評価、加盟店が取り扱う商材に応じた各方策の有効性の検証や方策の組合せ効果の検証を継続して行う。
■日本クレジット協会は、不正利用による被害の実態や最新の犯罪手口、不正利用対策に対する取組の成功事例等について、他の情報セキュリティに係る関係機関との連携・情報共有を図り、クレジット取引に関係する事業者等に対して適時情報発信を行う。
■今後の不正利用防止対策に向けた協議会の活動について
・不正利用被害の減少、クレジットカード取引の信頼性の確保の観点からは、関係事業者が連携し、業界全体で取組むことが重要である。
・特に、2025 年 3 月末までに、原則、全ての EC 加盟店に EMV 3-D セキュアの導入を求めていくにあたっては、EMV 3-D セキュアの運用環境についての課題や、今後のトランザクション量の増加が及ぼす影響を踏まえ、EMV 3-D セキュア導入後のクレジットカード取引が安定的に稼働し、その効果が適切に発揮されるよう、カード会社（イシュアー及びアクワイアラー）、PSP、EC 加盟
店、国際ブランド等の関係事業者が協力して課題解決に向けて取組み、適切な環境整備を行う必要がある。
・そこで、次年度以降、本協議会では、クレジットカード取引の安定性・信頼性を確保しつつ、不正利用被害の極小化に資する EMV 3-D セキュアの実効的かつ現実的な運用方法の検討に各関係事業者の協調の下、取組むこととする。
・また、不正発生状況やリスクに応じた多面的・重層的な不正利用対策への取組として、EMV 3-D
セキュア以外の他の不正利用対策も併せた実効的かつ現実的な対策の検討に取組むこととする。

45

Ⅲ．消費者及び事業者等への周知・啓発についてクレジットカードセキュリティに関する消費者及び事業者への周知、啓発については、カード会社（イシュアー及びアクワイアラー）、PSP、加盟店、国際ブランド、業界団体等の各関係事業者は、それぞれの立場で様々な機会を捉えて積極的かつ継続的に行うことが必要である。
１．消費者への周知・啓発
消費者への周知、啓発活動では、クレジットカード取引のセキュリティ対策を強化することが、消費者の安全・安心な消費生活による快適な環境づくりに資するものとなることから、消費者におけるクレジットカード取引におけるセキュリティ対策への理解と協力が得られるよう取組むことが重要である。
今後は、これまで取組んできた消費者への周知・啓発事項に加え、新たな決済ルールや仕組みに応じた取引ルールの見直しと、それにともなう消費者への周知、啓発といった円滑な移行への取組も重要である。特に、2025 年 3 月末までに、原則、全ての EC 加盟店に EMV 3-D セキュアの導入を求めていくにあたっては、加盟店への周知と併せて消費者であるカード会員の理解・協力を得るための周知・啓発への取組が強く求められる。
また、昨今では、フィッシングメール等を起因とするカード利用者からのクレジットカード情報窃
取等によるクレジットカードの不正利用被害も増加しており、カード会社をはじめとする関係事業者
においては DMARC その他のフィッシング対策を講じている※ものの、事業者における対策だけでは限界もあることから、消費者であるカード会員自らがフィッシングの被害に遭わないための取組が強く求められるところである。
※ 「クレジットカード決済システムのセキュリティ対策強化検討会報告書」（2023 年 1 月 20 日）において、「フィッシングからの自衛」として、イシュアーに対して、クレジットカード会社をかたるフィッシングサイトの検知・テイクダウンやクレジットカード会社の送信メールのドメイン管理等による未然防止による多面的・重層的な自衛措置を講じることが求められている。
（１）カード会社（イシュアー）■IC 取引では、本人確認のため PIN 入力が必要になることから、引き続き PIN の認知度向上のための周知活動を行うとともに、PIN を認知していないカード会員に対しては、PIN の重要性や PINの確認方法等について、分かりやすく丁寧に説明する。
また、PIN 不知による利用阻害を生じさせないよう、カード会員に速やかに PIN を通知するよう務める。
■IC 取引において 2025 年 3 月までに移行を目指すこととされている「クレジットカード利用時の本人確認としての売上伝票へのサイン取得の任意化」、及び「PIN 入力スキップ機能（以下「PIN バ
イパス」）廃止」に向けたカード会員への周知、啓発活動に取組む。
■自社カード会員における EMV 3-D セキュアの登録及び静的（固定）パスワード以外の認証方法への登録・移行を促進するためのカード会員への周知啓発を行う。
■カード会員がフィッシングによる不正利用被害に遭わないために、フィッシングの手口や不審と思われるサイトにはカード情報等の入力は行わないなどの注意事項等について周知、啓発活動に取組
む。
■カード会員が利用覚えのない取引を発見し、カード会社（イシュアー）に連絡することで、不正利用を認知し、より早くカードの無効手配・処理を行うことにより不正利用被害を防止するために、利用明細を確認することの重要性について周知、啓発活動に取組む。
■EC 取引における不正利用対策の実効性確保のために、カードの不正利用対策の必要性やカード利用時に求められる場合のあるセキュリティコードやパスワードの利用、ID・パスワードの使い回しの危険性等について、カード会員に対する周知活動に取組む。

46

（２）加盟店（対面取引）■対面取引の加盟店においてはⅡ.2.（3）のとおり、「サイン取得の任意化」、「PIN バイパスの廃止」について、円滑な移行に向けたカード利用者への案内に協力する■PIN 不知のカード利用者に対しては、PIN 確認のためにカード会社（イシュアー）への案内に協力する。
（非対面取引）■非対面取引においては、カード利用時に求められる場合のあるセキュリティコードやパスワードの利用、ID・パスワードの使い回しの危険性等について、注意喚起を行う。
■消費者がフィッシング詐欺に遭わないように、フィッシングの手口や自社の名を騙る詐欺サイト等に対する注意喚起を行う。
（３）その他関係事業者等①国際ブランド■グローバルな観点から、海外におけるカード情報保護に関する、最新の情報提供に努める。
②行政■消費者に対し EMV 3-D セキュア利用の必要性、静的（固定）パスワード以外の認証方法による安全性の確保等についての周知啓発に取り組む。また、フィッシング対策として、カード会
社等がクレジットカード情報等の入力を求めるメールや SMS を送ることはないこと、不審なメールや SMS のリンク先にクレジットカード情報を送信しないこと、不正利用被害の自衛として利用履歴や利用明細を確認することなどについて周知啓発を行う。
③業界団体等■日本クレジット協会は、カード会社（イシュアー）と連携し、2025 年 3 月までに移行を目指すこととされている対面取引における「サイン取得の任意化」、「PIN バイパスの廃止」に向けた周知、啓発活動に取組む。
■日本クレジット協会は、引き続き IC 取引では本人確認のため PIN 入力が必要になることの周
知、啓発活動に取組む。
■日本クレジット協会は、カード会社（イシュアー）や行政等と連携し、消費者であるカード会員に対し EMV 3-D セキュアの登録及び静的（固定）パスワード以外の認証方法への登録・移行を促進するための周知啓発に取組む。
■日本クレジット協会は、カード会社（イシュアー）や行政、フィッシング対策協議会等の関係団体等と連携し、消費者であるカード会員がフィッシングによる不正利用被害に遭わないために、フィッシングの手口や不審と思われるサイトにはカード情報等の入力は行わないなどの注
意事項等について周知、啓発活動に取組む。
■日本クレジット協会は、消費者であるカード会員が利用覚えのない取引を発見し、カード会社（イシュアー）に連絡することで、不正利用を認知し、より早くカードの無効手配・処理を行うことにより不正利用被害を防止するために、利用明細を確認することの重要性について周知、啓発活動に取組む。
■日本クレジット協会は、引き続きカード会社（イシュアー）と連携し、ID・パスワードの使
い回しの危険性等について周知、啓発活動に取組む。
２．事業者等への周知・啓発
クレジットカード取引における不正を企図する攻撃者の手口は日々巧妙化していくため、クレジ
ットカード取引関係事業者は最新の手口やセキュリティ技術等に関する情報を常に収集することが求められる。
クレジットカード取引関係事業者については、行政及び日本クレジット協会において、本ガイド
ラインの内容を広く周知し、セキュリティ対策について必要な助言や情報提供を行うなどにより、事業者の取組を支援することが必要である。
47

（１）カード会社（アクワイアラー）・PSP■IC 取引において 2025 年 3 月までに移行を目指すこととされている「サイン取得の任意化」、
及び「PIN バイパスの廃止」を実現させることを目的に、加盟店に対し本件を周知する。
■サイン取得の任意化及び PIN バイパスの廃止について、加盟店の売り場へ周知するとともに、加盟店の個別事情を考慮したうえで、モバイル端末の導入の検討や売り場オペレーション変更の検討等の必要な対応を依頼する。また、加盟店と調整の上、必要に応じて加盟店契約内容の改定やカード利用者の PIN 認知度向上のための周知・啓発への協力を依頼する。
■EC 加盟店になろうとする事業者は新規加盟店契約の締結前に、セキュリティ・チェックリストに記載されているセキュリティ対策を実施する必要性があることから、これら事業者に対する周知を行う（試行）。
■2025 年 3 月末までに、原則、全ての EC 加盟店において EMV 3-D セキュアの導入が求められる旨、加盟店に対して周知する。
（２）その他関係事業者①国際ブランド■グローバルな観点から、海外におけるカード情報保護に関する、最新の情報提供に努め、我が国における国際水準のセキュリティ環境の整備について、関係事業者に対し積極的に働きかける。
②業界団体等■加盟店におけるセキュリティ対策については、多額の投資や業務の変更等を要することもあり、適切な情報の収集と分析等が必要となるが、個社の取組のみでは限界もある。
こうした事情を踏まえ、行政及び日本クレジット協会は、本ガイドラインの内容を広く周知するとともに、セキュリティ対策について必要な助言や情報提供を行い、その取組を支援していくものとする。

48

【履歴】
2020 年 3 月 19 日
2021 年 3 月 10 日
2022 年 3 月 8 日
2023 年 3 月 14 日

新規制定
改訂
改訂
改訂

1.0 版
2.0 版
3.0 版
4.0 版

49