「3Dセキュアが義務化された」と聞き、自社のECサイトが対応できているのか不安に感じていませんか。決済まわりを代行会社に任せていると、そもそも自社が対応済みなのか、何をすれば義務を満たせるのかが分かりにくいものです。
本記事では、この義務の輪郭を「いつまでに・誰が・何を・守らないとどうなるか」の4点で整理します。そのうえで、自社が対応済みかを確かめる自己診断、未対応だった場合にやるべき手順、義務化の根拠となる法律・ガイドラインまでを解説します。
読み終えるころには、自社が今どの状態にあり、次に何をすればよいかが判断できるようになります。対応の要否を見極める材料として活用してください。
目次
結論｜3Dセキュアの義務化とは？2025年3月末までにEC加盟店がやるべきこと
まず答えから示します。義務の中身は、次のひとことに集約されます。
この義務を「期日・対象・義務内容・不履行時の帰結」の4点で一覧にすると、次のとおりです。各項目の詳しい根拠は、後半の該当セクションで解説します。
| 項目 | 期日 | 対象 | 義務内容 | 不履行時の帰結 |
|---|---|---|---|---|
| 内容 | 2025年3月末までに、原則としてすべてのEC加盟店がEMV 3-Dセキュアを導入 | 国際ブランド付きクレジットカードで決済を受ける、原則すべてのEC加盟店（国際ブランドの付いていないカードは対象外） | EMV 3-Dセキュア（3Dセキュア2.0）の導入。あわせて適切な不正ログイン対策、システム・Webサイトの脆弱性対策も指針対策として追加（6.0版） | 未導入そのものへの罰金・罰則はない。ただし基準に適合しない加盟店は、カード会社（アクワイアラー）から加盟店契約の解除・新規契約の拒否を受けることがある |
| 出典 | ガイドライン4.0版（2023年3月） | ガイドライン6.0版§4-4 | 経済産業省リリース（2025年3月5日）／ガイドライン6.0版 | 割賦販売法第35条の17の8 |
「2025年3月末まで」という期日を最初に打ち出したのは、クレジットカード・セキュリティガイドラインの4.0版（2023年3月改訂）です。EC加盟店での非対面の不正利用被害が増えている現状を踏まえて、次のように定められました。
しかし、EC加盟店における非対面不正利用被害が増加している現状を踏まえ、2025年3月末までに、原則、全てのEC加盟店にEMV 3-Dセキュア＊の導入を求めることとする。
出典：クレジットカード・セキュリティガイドライン【4.0版】（2023年3月）｜クレジット取引セキュリティ対策協議会
ここで押さえておきたいのは、この期限を定めているのが法律の条文そのものではなく、業界の実務指針であるガイドラインだという点です。法律とガイドラインがどうつながっているかは、後半の「義務化の根拠」で詳しく整理します。
また、EMV 3-Dセキュアを導入しても、購入者に毎回パスワード入力が必要になるわけではありません。その仕組みは後半の実務上の注意点であわせて解説します。
出典・参考資料（2件）
- 出典：クレジットカード・セキュリティガイドライン【4.0版】｜クレジット取引セキュリティ対策協議会
- 出典：クレジットカード・セキュリティガイドライン【6.0版】｜クレジット取引セキュリティ対策協議会
【自己診断】自社のEMV 3-Dセキュアは対応済みか
ここからは、自社が義務を満たせているかを自分で確かめる方法を整理します。決済を代行会社に委託していると気づきにくいため、まずは自社の決済画面や実際の挙動から観察できる次の項目で、現状の見当をつけてみてください。
- 実際に商品を購入すると、カード情報の入力後にカード会社の本人認証（ワンタイムパスワードの入力など）の画面へ進む取引があるか
- テスト決済や普段の注文で、認証画面が一度も現れないままカード決済が完了していないか
ひとつでも「分からない」「対応していない」があれば、対応を確認する余地があります。ただし、EMV 3-Dセキュアはリスクの低い取引では認証画面が表示されないため、「認証画面が出ないから未対応」とは限りません。確実に判断するには、次の方法で決済代行会社に確認するのが早道です。
決済代行会社への確認の仕方
画面の観察だけでは分からない技術的な設定は、決済を代行会社に問い合わせるのが確実です。自分では判断しにくい次の3点を具体的に確認すると、自社の状態がはっきりします。
- EMV 3-Dセキュア（3Dセキュア2.0）が有効になっているか
- 旧方式の3Dセキュア1.0のままになっていないか
- どの範囲の取引に本人認証がかかる設定になっているか
管理画面・テスト決済での確認箇所
決済代行会社の管理画面を使える場合は、セキュリティや不正対策の設定項目に「3Dセキュア」「本人認証」の有効・無効の設定があるかを確認しましょう。バージョンが2.0（EMV 3-Dセキュア）と明記されているかもあわせて見ておきたいところです。
テスト決済が使える環境なら、実際に決済を進めてカード会社の認証画面に遷移するかを試すと、動作を目で確かめられます。判断に迷う場合は、テスト結果を添えて決済代行会社に問い合わせると、より正確な回答を得やすくなります。
未対応だった場合にやること｜対応手順と費用・期間の目安
自己診断で未対応だと分かった場合の、具体的な進め方を整理します。ここでは、対応の手順と、費用・期間の見当を順に見ていきます。
対応の手順（決済代行への連絡から本番まで）
多くの場合、決済代行会社への連絡から始めるのが一般的です。自社の決済方式によって作業内容は変わりますが、大枠は次の流れになります。
- 契約している決済代行会社に、EMV 3-Dセキュアへの対応可否と申し込み方法を問い合わせる
- 自社の決済方式（請求URLを送るリンク型、システムに組み込むAPI型など）に応じて、必要な設定変更や改修を確認する
- テスト環境で、決済時に本人認証の画面へ遷移することを確認する
- 本番環境でEMV 3-Dセキュアを有効化する
対象となるのは国際ブランドの付いたクレジットカードです。国際ブランドの付いていないカードは義務の対象外のため、対応の要否を切り分けて考えると迷いが減ります。
費用・期間の目安
導入にかかる期間は、一般的に1〜3ヶ月程度が目安です。ただし、自社の決済方式（リンク型かAPI型か）や、契約している決済代行会社の運用によって前後します。
費用は自社の実装方式によって傾向が分かれます。多くの決済代行サービスはEMV 3-Dセキュアを追加費用のかからない標準機能として提供しており、その場合は管理画面の設定や決済代行会社側の対応で済むため、加盟店に大きな費用は発生しにくいといえます。
一方、自社でカートや決済システムを独自開発している場合は、システム改修費が別途かかることがあります。正確な費用はプランや実装方式によって変わるため、自社が契約する決済代行会社に見積もりを取って確認してください。
義務化の根拠と罰則｜誰が・どの文書で決めたか
ここでは、この義務がどの文書・どの法律に由来するのかを、条文やガイドラインの文言とともに整理します。出どころを押さえておくと、自社で内容を確かめたいときの手がかりになります。
法律とガイドラインの関係
期日や対象、具体的な対応内容を定めているのは、クレジット取引セキュリティ対策協議会（事務局は一般社団法人日本クレジット協会）が策定するクレジットカード・セキュリティガイドラインです。一方で、その土台には割賦販売法があります。
割賦販売法には「EMV 3-Dセキュアを導入せよ」という条文があるわけではありません。同法はカード番号等の不正な利用を防ぐために必要な措置を講じる義務（第35条の17の15）と、カード番号等を適切に管理する義務（第35条の16）を課しています。その具体的な手段を、ガイドラインが実務上の指針として定める関係になっています。
なお、同ガイドラインは、経済産業省が所管する「割賦販売法（後払い分野）に基づく監督の基本指針」において、同法に規定するセキュリティ対策義務の「実務上の指針」として位置づけられています。
出典：「クレジットカード・セキュリティガイドライン」が改訂されました（2025年3月5日）｜経済産業省
この関係を条文で対応させると、EMV 3-Dセキュアの導入（不正利用対策）は第35条の17の15に対応します。6.0版で追加された脆弱性対策（情報保護）は第35条の16に対応する形で、指針として具体化されています。ガイドラインに掲げる措置を講じていれば、割賦販売法が求める「必要かつ適切な措置」を講じているとみなされる仕組みです。
出典・参考資料（2件）
- 出典：「クレジットカード・セキュリティガイドライン」が改訂されました｜経済産業省
- 出典：割賦販売法（第35条の17の15・第35条の16）｜e-Gov法令検索
罰則はあるのか
結論として、EMV 3-Dセキュアを導入していないこと自体に対する罰金などの罰則規定はありません。割賦販売法の罰則の章に、これらのセキュリティ対策義務の違反を直接罰する条文は置かれていないためです。
ただし、行政による監督の仕組みはあります。経済産業大臣には、加盟店に対する報告徴収（第40条）や立入検査（第41条第3項）の権限が定められています。「罰則がないから何もしなくてよい」とはならない点に注意が必要です。
実務上の帰結として大きいのは、加盟店契約への影響です。割賦販売法は、カード会社（アクワイアラー）に対し、必要な措置の基準に適合しない加盟店とは契約を締結してはならず、既存の契約も解除その他の必要な措置を講じなければならないと定めています（第35条の17の8）。未対応のままだと、加盟店契約の解除や新規契約の拒否という形で影響が及ぶことになります。
もっとも、基準に適合しないと分かった時点で即座に契約が解除されるとは限りません。同条はアクワイアラーに「解除その他の必要な措置」を求めており、実務上はまず対応の要請があり、改善が見られない場合に契約解除や新規契約の拒否へ進むのが一般的です。
あわせて押さえておきたいのが、3Dセキュアで認証した取引の不正利用について、チャージバックの負担がカード会社側へ移る「ライアビリティシフト」という仕組みです。これは法律やガイドラインではなく国際ブランドの加盟店規約上のルールに由来するもので、法・ガイドラインが定める帰結とは出どころが異なる点は区別しておきましょう。
出典・参考資料（1件）
- 出典：割賦販売法（第35条の17の8・第40条・第41条）｜e-Gov法令検索
先ほど触れたライアビリティシフトについて、どの取引で不正利用の負担がカード会社側へ移るのか、逆に免責されない例外はどんな場合かといった条件を詳しく知りたい方は、以下の記事で解説しています。
義務化の背景（クレジットカード不正利用被害の増加）
義務化の背景にあるのは、非対面のクレジットカード不正利用被害の深刻さです。日本クレジット協会の統計によると、被害額は2024年に555.0億円と過去最高を記録し、直近の2025年も510.5億円と高止まりしています。
被害の内訳を見ると、2025年はそのうち93.1%（475.4億円）が、盗まれたカード番号を使う「番号盗用」によるものでした。番号盗用の多くはECサイトなど非対面の取引で発生するため、EC加盟店での本人認証の強化が対策の柱に据えられています。
出典・参考資料（1件）
- 出典：クレジットカード不正利用被害の発生状況｜一般社団法人日本クレジット協会
3Dセキュアを入れれば終わりではない｜脆弱性対策・不正ログイン対策まで
EMV 3-Dセキュアを導入すれば対策は完了、と考えてしまいがちですが、現在のガイドラインが求める対応はそれだけではありません。ここでは、EC加盟店に求められる対策の全体像を整理します。
2025年3月に取りまとめられた6.0版では、EC加盟店に求められる対策が広がりました。決済時のEMV 3-Dセキュア導入に加え、決済前の「適切な不正ログイン対策」と、システム・Webサイトの「脆弱性対策」が指針対策として加えられています。決済の一点だけでなく、ログインから決済までを線でつないで守る考え方です。
ガイドライン【6.0版】では、EC加盟店におけるカード情報保護対策として、『EC加盟店のシステム及びWebサイトの「脆弱性対策」の実施』、不正利用対策として、「EMV 3-Dセキュアの導入」と「適切な不正ログイン対策の実施」をそれぞれ指針対策に追加いたしました。
出典：「クレジットカード・セキュリティガイドライン【6.0版】」を取りまとめました（別紙・主な改訂ポイント、2025年3月5日）｜クレジット取引セキュリティ対策協議会
EMV 3-Dセキュアは本人認証の仕組みですが、これだけで不正利用を100%防げるわけではありません。盗まれた正規のカード情報で認証を通されるケースや、認証をかけない範囲の取引もあるため、取引データから不審な注文を見抜く不正検知を併用する考え方が、対策の全体像として示されています。
ガイドラインの最新版は6.1版（2026年3月）ですが、EC加盟店向けの指針対策（EMV 3-Dセキュア・不正ログイン対策・脆弱性対策）は6.0版から変更されていません。本記事の内容は最新版でもそのまま当てはまります。
出典・参考資料（2件）
- 出典：「クレジットカード・セキュリティガイドライン【6.0版】」を取りまとめました（別紙）｜クレジット取引セキュリティ対策協議会
- 出典：クレジットカード・セキュリティガイドライン【6.1版】改訂ポイント｜クレジット取引セキュリティ対策協議会
3Dセキュア導入の実務上の注意点｜カゴ落ち・サブスク継続課金
導入を進めるうえで、事前に知っておきたい実務上の注意点があります。ここでは、購入者の離脱（カゴ落ち）と、サブスク・継続課金での扱いを取り上げます。
カゴ落ちとフリクションレス認証
本人認証を導入すると、決済時のひと手間が増えて購入者が離脱するのでは、と心配になるかもしれません。旧方式の3Dセキュア1.0は、すべての取引で一律にパスワード入力を求める方式で、離脱を招きやすい面がありました。
現行のEMV 3-Dセキュアは、取引ごとのリスクを判定するリスクベース認証を採用しています。リスクが低いと判断された取引は追加入力なしで認証が完了し（フリクションレス認証）、追加のパスワード入力を求めるのはリスクが高い取引に絞られます。認証は取引ごとに通りますが、購入者に毎回入力を求めるわけではないため、利便性への影響を抑えられる設計です。
EMV 3-Dセキュアの仕組みや旧方式（3Dセキュア1.0）との違い、導入後にカゴ落ちを抑える運用のコツをもう一歩深く知りたい方は、以下の記事で詳しく解説しています。
サブスク・継続課金での3Dセキュアの扱い
月額課金や定期購入のように、2回目以降が自動で決済される継続課金では、本人認証をどう扱うかが気になるところです。一般には初回の申し込み時に本人認証を行い、2回目以降の自動課金は初回の認証を前提に処理されます。
義務の観点でいえば、2回目以降の自動課金は購入者がその都度操作しない「加盟店が起点となる取引」にあたり、本人認証の対象にならないのが一般的です。そのため初回の申し込み時に本人認証を行っていれば、継続課金分について追加の対応が求められるわけではありません。
ただし、2回目以降の具体的な扱いは国際ブランドの運用や決済代行会社の実装によって異なり、公開されている情報も限られます。自社の継続課金でどのように認証が働くかは、契約する決済代行会社に個別に確認するのが確実です。
3Dセキュア対応の決済代行・オンライン決済サービスの活用
自社が未対応だと分かった場合、EMV 3-Dセキュアに対応した決済代行・オンライン決済サービスへの切り替えが選択肢になります。以下の比較表はEMV 3-Dセキュアに対応した決済代行2社をまとめたものです。加えて、3Dセキュア導入後の「次の一歩」として、認証だけでは防ぎきれない不正に備える不正検知サービス（O-PLUX）も個別に紹介します。
| サービス名 | Paysys（ペイシス） | サブスクペイ |
|---|---|---|
| EMV 3-Dセキュア対応 | ●標準対応・追加費用0円 | ●標準対応・追加費用0円 |
| 対応決済手段 | クレジットカード5ブランド PayPay／コンビニ ペイジー／バーチャル口座 | クレジットカード 口座振替／コンビニ 銀行振込／掛け払い 等 |
| 継続課金（サブスク） | ●クレカ・WEB口座振替で対応 | ◎サブスク特化・自動リトライ対応 |
| 導入方式 | URL型／フォーム型／API連携型 （システム開発は不要） | メールリンク／API連携 （3エディション構成） |
| 初期費用 | 0円〜 （BtoB限定プラン。BtoCは要問い合わせ） | 要問い合わせ |
| 月額費用 | 要問い合わせ | 要問い合わせ |
| こんな事業者向け | 開発なしで請求URLを送り 早く始めたいEC・BtoB事業者 | サブスク・定期購入など 継続課金を運用する事業者 |
| 詳細情報 | 公式資料を見る | 公式資料を見る |
※上記は一般的な傾向をまとめたものです。料金・対応決済・仕様は改定される場合があるため、最新の内容は各サービスの公式資料でご確認ください。※O-PLUXは決済代行ではなく不正検知サービスのため、比較表には含めていません。
Paysys（株式会社ペイメントフォー）
株式会社ペイメントフォーが提供するPaysys（ペイシス）は、システム開発を必要とせずに導入できるオンライン決済サービスです。管理画面から請求用のURLを発行し、メール・SMS・SNSなどで案内するだけでクレジットカード決済を完結でき、EMV 3-Dセキュアを追加費用なしの標準機能として提供しています。
Visa・Mastercard・JCB・American Express・Dinersの5ブランドに対応し、メールリンク型・フォーム型・API連携型の3方式から、事業の成長段階に合わせて選べます。カード業界のセキュリティ基準であるPCI DSS（SAQ Type-D。加盟店が回答する自己問診の区分の一つ）にも準拠しており、未対応から乗り換えを検討する事業者が候補にしやすいサービスです。
規模を問わず専任担当者が導入から運用までサポートする体制を備え、BtoB向けには手数料〜1.99%の料金プランも用意されています（2026年7月時点、料金は個別見積り）。
サブスクペイ（株式会社ROBOT PAYMENT）
サブスクリプションや継続課金ビジネスを運用する事業者に向くのが、オンライン決済プラットフォームのサブスクペイです。EMV 3-Dセキュア（3Dセキュア2.0）にリスクベース認証で標準対応し、追加料金0円で提供している点が特徴で、なりすまし利用のリスク低減を明示しています。
継続課金の自動リトライや、カード有効期限切れ前の更新URL自動送付など、定期課金の失効を抑える機能を備えています。前述のとおり継続課金での本人認証の扱いは個別確認が必要ですが、サブスク運用を前提に設計されたサービスは、その相談先としても有力です。
運営は東京証券取引所グロース市場の上場企業で、累計導入は14,000社以上。クレジットカードに加えて口座振替・コンビニ決済にも対応し、PCI DSSへの準拠やISMS認証（情報セキュリティマネジメントの国際規格ISO/IEC 27001の認証）の取得など、セキュリティ体制も整えています（2026年7月時点、料金は個別見積り）。
O-PLUX（かっこ株式会社）
O-PLUXは、EC・通販事業者向けのクラウド型不正注文検知サービスです。3Dセキュアを導入した「次の一歩」として、認証だけでは防ぎきれないなりすまし注文やカードの不正利用を、取引データからリアルタイムに審査・検知する役割を担います。
累計120,000サイト以上が決済時のネガティブデータ（不正注文の住所・電話番号・メールアドレスなど）を共有する大規模なデータベースを照合に使い、不審な注文を見抜きます。東京商工リサーチの調査では、有償の不正検知サービスの導入サイト件数で6年連続の国内1位となっています（2025年3月末時点）。
出典・参考資料（1件）
API・CSV・タグの3方式で導入でき、専任コンサルタントが検知ロジックのチューニングを継続的に支援します。3Dセキュアによる本人認証と不正検知を組み合わせることで、ガイドライン6.0版が示す「線」で守る考え方に近づけられます。
未対応だった場合の切り替え先を含め、オンライン決済システム・決済代行を幅広く比較して選びたい方は、以下の記事もあわせてご覧ください。実店舗・EC・サブスクといった利用シーン別の選び方も整理しています。
まとめ
ここまで見てきたように、EC加盟店が2025年3月末までに求められるのはEMV 3-Dセキュアの導入です。その根拠は法律の条文そのものではなく、割賦販売法の実務指針であるクレジットカード・セキュリティガイドラインで、6.0版では不正ログイン対策や脆弱性対策も対象に加わりました。
未導入そのものに罰則はないものの、基準に適合しないと加盟店契約の解除や新規契約の拒否につながるおそれがあります。まずは自己診断で自社の対応状況を確かめ、未対応なら決済代行会社に相談して対応を進めてください。あわせて各社の資料を取り寄せ、自社に合った決済環境を比較してみてください。
よくある質問（FAQ）
Q. 3Dセキュアの義務化とは何ですか？
A. クレジットカード決済時の本人認証であるEMV 3-Dセキュアを、原則すべてのEC加盟店が導入するよう求める動きを指します。期日は2025年3月末で、これを定めているのは法律の条文ではなく、割賦販売法の実務指針であるクレジットカード・セキュリティガイドライン（クレジット取引セキュリティ対策協議会）です。
Q. 3Dセキュアの義務化はいつから始まっていますか？
A. 3Dセキュアの義務化の期限は2025年3月末で、すでに到来しています。この期日はクレジットカード・セキュリティガイドライン4.0版（2023年3月）で定められたもので、現在は原則としてすべてのEC加盟店がEMV 3-Dセキュアへの対応を求められている状態です。
Q. 3Dセキュアを導入しないと罰則はありますか？
A. EMV 3-Dセキュアを導入していないこと自体に対する罰金などの罰則規定はありません。ただし、経済産業大臣による報告徴収（割賦販売法第40条）や立入検査（第41条第3項）の対象になり得るほか、基準に適合しない加盟店はカード会社（アクワイアラー）から加盟店契約の解除や新規契約の拒否を受けることがあります。「罰則がないから対応しなくてよい」とはならない点に注意が必要です。
Q. 3Dセキュアの義務化に対象外となるケースはありますか？
A. 3Dセキュアの義務化の対象は、国際ブランド（Visa・Mastercardなど）の付いたクレジットカードで決済を受けるEC加盟店で、国際ブランドの付いていないカードは義務の対象外です。国際ブランドを介さない自社ハウスカードなどの決済は、EMV 3-Dセキュアの対象に含まれません。
Q. すでに3Dセキュア1.0を導入していれば対応済みですか？
A. 旧方式の3Dセキュア1.0を導入しているだけでは、義務化の対象である現行のEMV 3-Dセキュア（3Dセキュア2.0）に対応済みとはいえません。義務化が求めているのはEMV 3-Dセキュアで、1.0のままの場合は2.0への切り替えが必要です。自社の設定が1.0か2.0かは、決済代行会社に確認してください。
Q. 3Dセキュアに対応していないカードで決済しようとするとどうなりますか？
A. 本人認証に対応していないカードでは、認証のフローに進めず、決済が失敗することがあります。購入者が決済前に対応カードを確認できるよう、購入画面やヘルプページで案内しておくと、離脱や問い合わせを減らせます。
Q. サブスク・継続課金でも3Dセキュアの本人認証は必要ですか？
A. サブスクや継続課金でも、一般には初回の申し込み時に本人認証を行い、2回目以降の自動課金は初回の認証を前提に処理されます。ただし2回目以降の具体的な扱いは国際ブランドの運用や決済代行会社の実装によって異なるため、自社の継続課金でどのように認証が働くかは決済代行会社に確認するのが確実です。
Q. 3Dセキュアの導入にかかる費用と期間はどのくらいですか？
A. EMV 3-Dセキュアの導入は、一般的に1〜3ヶ月程度が目安で、費用は決済代行会社やプランによって異なります。追加費用なしの標準機能として提供するサービスもあります。自社の決済方式（リンク型・API型など）によっても前後するため、正確な費用と期間は契約する決済代行会社に見積もりを取って確認してください。
オンライン決済システム・代行サービスの料金・手数料を一括チェック
MCB FinTechカタログでは、EMV 3-Dセキュアに対応したオンライン決済・決済代行サービスの最新資料をまとめて取り寄せられます。手数料や対応決済手段、セキュリティ機能を比較して、自社に合った決済環境を選ぶ判断材料にご活用ください。
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修者は記事の内容について監修しています。
