他社のカード情報漏えいのニュースを見たり、経営層から「うちのECサイトは大丈夫なのか」「2025年に変わったルールに対応できているのか」と問われたりして、自社のセキュリティを見直し始めた担当者は少なくありません。ECサイトは顧客の個人情報とクレジットカード情報を預かるため、攻撃者にとって狙いやすく、漏えいが起きれば信頼と売上の両方を失います。
とはいえ、まず知りたいのは「セキュリティは大切だ」という話ではなく、結局、自社のECで何をやればよいのかという具体的な対策の一覧のはずです。特に、カードを取り扱うEC加盟店には、やらないとカード会社や決済事業者から是正を求められる対策が定められています。義務と推奨が混ざったままでは、どこから手をつけるか決められません。
本記事では、EC加盟店に求められるセキュリティ対策を「義務」と「推奨」に分けて一覧で示し、EC加盟店に求められる4つの対策（うち3つは2025年の改訂で加わったもの）を整理します。そのうえで、各対策の具体的なやり方・限られた予算での着手順・費用の目安、そして対策の中心となる脆弱性診断の進め方とサービスの選び方まで解説します。
目次
一括ダウンロードする
ECサイトのセキュリティ対策一覧（義務と推奨）
ここからは、ECサイトで実施すべきセキュリティ対策を一覧で示します。対策は、カードを取り扱うEC加盟店に求められる「義務（法に基づく指針対策）」と、安全なサイト運営のために広く推奨される「推奨」に分けられます。まず義務の範囲を押さえ、次に推奨対策で全体を底上げするのが現実的な進め方です。
| 対策 | 区分 | 概要 |
|---|---|---|
| カード情報の非保持化、またはPCI DSS準拠 | 義務（指針対策） | 自社の機器・ネットワークでカード情報を保存・処理・通過させない。保持する場合はPCI DSSに準拠する |
| Webサイト・システムの脆弱性対策（脆弱性診断） | 義務（指針対策・2025年4月〜） | 管理画面のアクセス制限・設定不備対策・Webアプリの脆弱性対策（脆弱性診断等）・ウイルス対策・クレジットマスター対策の5項目をすべて講じる |
| EMV 3-Dセキュアの導入 | 義務（指針対策） | 決済時の本人認証。なりすまし取引を抑止する |
| 不正ログイン対策（多要素認証など） | 義務（指針対策） | 会員アカウントへの不正ログインを防ぐ。決済前の対策 |
| 通信の暗号化（SSL/TLS） | 推奨 | サイト全体を常時暗号化し、通信の盗聴・改ざんを防ぐ |
| WAF（Webアプリケーションファイアウォール）の導入 | 推奨 | Webアプリを狙う攻撃通信を検知・遮断する |
| ログ・バックアップの取得と保護 | 推奨 | 事故の検知・原因調査・復旧に備える |
| 管理画面のアクセス制限・ソフトウェアの最新化 | 義務（脆弱性対策の一部） | 脆弱性対策の5項目に含まれる。管理機能への侵入経路と既知脆弱性をふさぐ |
| セキュリティ教育・運用体制の整備 | 推奨 | 担当者の運用ルールと体制を整える |
義務にあたる4つの対策は、クレジットカード取引の安全を守るための「クレジットカード・セキュリティガイドライン」で、EC加盟店が講じるべき指針対策として定められています。推奨対策の多くは、IPA（独立行政法人情報処理推進機構）の「ECサイト構築・運用セキュリティガイドライン」が示す要件に対応します。それぞれの根拠は後の章で詳しく解説します。
EMV 3-Dセキュアなど一部の対策は、ほかの不正利用対策の内容に応じて運用に幅が認められています。
出典・参考資料（2件）
- 出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会（PDF）
- 参考資料：ECサイト構築・運用セキュリティガイドライン｜IPA（独立行政法人情報処理推進機構）
一括ダウンロードする
限られた予算での着手順
すべてを同時に進めるのが難しい場合は、義務にあたる対策から着手します。優先度の考え方は次のとおりです。
- カード情報の非保持化、またはPCI DSS準拠：決済まわりの情報の持ち方を見直す。多くのEC加盟店は、PCI DSS準拠済みの決済代行（PSP）を使った非保持化で対応します
- 脆弱性対策：管理画面のアクセス制限・ウイルス対策・Webアプリの脆弱性診断など5項目を講じる。2025年4月以降、EC加盟店の指針対策に加わりました
- EMV 3-Dセキュアの導入・不正ログイン対策：決済とログインでの本人確認を強化し、なりすましを抑止する
- SSL/TLS・WAF・バックアップ・教育：運用の底上げとして、通信の暗号化・攻撃遮断・事故への備えを整える
自社で何から着手すべきか判断に迷う場合は、まず脆弱性診断で現状の弱点を可視化すると、残りの対策の優先順位も立てやすくなります。
カード取扱EC加盟店に求められる4つの対策
ここからは、カードを取り扱うEC加盟店に指針対策として求められる4つの対策を解説します。これらは「カード情報を守る対策（①②）」と「不正利用を防ぐ対策（③④）」の2系統に整理できます。このうち、2025年3月公表の改訂（6.0版）で指針対策に加わったのは脆弱性対策（②）・EMV 3-Dセキュアの導入（③）・不正ログイン対策（④）の3つで、①は以前から求められています。
ガイドラインはこのほかに「オーソリゼーション処理の体制整備」や「加盟店契約上の善良なる管理者の注意義務の履行」も指針対策として挙げています。これらは運用・契約面の対応で、本記事では自サイトで実装する中心的な4つの対策を扱います。
本ガイドライン【6.0 版】からは、2 号事業者のうち EC 加盟店に対しては、カード情報保護対策として EC 加盟店のシステム及び Web サイトの「脆弱性対策」を講じることを指針対策としている。（中略）EC 加盟店の指針対策として、（中略）「適切な不正ログイン対策の実施」、カード決済時の対策である「EMV 3-D セキュアの導入」と「オーソリゼーション処理の体制整備」「加盟店契約上の善良なる管理者の注意義務の履行」を求めることとしている。
出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会
対策① カード情報の非保持化、またはPCI DSS準拠
1つ目は、クレジットカード情報の守り方です。ガイドラインは、カード情報の「非保持化」か、保持する場合は「PCI DSS準拠」を指針対策としています。非保持化とは、自社で保有する機器・ネットワークでカード情報を保存・処理・通過させないことを指します。
本ガイドラインで示す加盟店における「非保持化」とは、「自社で保有する機器・ネットワークにおいて『カード情報』を『保存』『処理』『通過』のいずれも行わないこと」を言い、カード情報に含まれる「機密認証データ」の保持も認められない。
出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会
決済代行（PSP）を使うEC加盟店の決済システムは、カード情報が自社の機器・ネットワークを通過する「通過型」と、通過しない「非通過型」に大別されます。EC加盟店は、PCI DSS準拠済みのPSPが提供する非通過型の決済システムを導入して非保持化を実現できます。
非通過型には、PSPの決済画面に遷移する「リダイレクト（リンク）型」と、自社の決済画面にPSP提供のJavaScriptを組み込む「JavaScript（トークン）型」があります。
カード情報を自社で保持する場合は、国際的なセキュリティ基準であるPCI DSSへの準拠が必要です。PCI DSSは安全なネットワークの構築やカード会員データの保護など12の要件で構成され、現行版はv4.0.1（2024年6月公開）です。
2025年3月31日以降は、それまで推奨（ベストプラクティス）扱いだった新しい要件が必須になり、ECの決済ページを狙う改ざん（Webスキミング）を検知・管理する要件などが含まれます。
出典・参考資料（2件）
- 出典：クレジットカード・セキュリティガイドライン【6.1版】 5-2-2｜クレジット取引セキュリティ対策協議会（PDF）
- 出典：PCI DSS v4.0.1 のEC向け要件（2025年3月31日発効）｜PCI Security Standards Council（PCI SSC 公式ブログ）
自社がPCI DSS準拠の対象になるのか、準拠には具体的に何をどの手順で進め、費用はどの程度かかるのか——ここをさらに掘り下げて確認したい場合は、以下の記事で12の要件や非保持化との違いとあわせて解説しています。
PCI DSS準拠とは？対象事業者・12要件・非保持化との違いと進め方をわかりやすく解説
クレジットカード決済を扱う事業者が、カード会社や決済代行会社から「PCI DSSに準拠してください」と求められる場面が増えています。 PCI DSS（Payment Card Industry Data Security Standard）…
対策② Webサイト・システムの脆弱性対策
2つ目は、Webサイト・システムの脆弱性対策です。カード情報漏えいの多くは、ECサイトのシステムの弱点（脆弱性）を突かれて起きています。このため、EC加盟店は2025年4月より、指針対策として脆弱性対策を講じることが求められています。これはカード情報を自社で保持しているかどうかにかかわらず対象となります。
EC 加盟店においては、2025 年 4 月より、指針対策として「脆弱性対策」を求めており、「セキュリティ対策導入ガイド【附属文書 20】」の第 2 部「1.脆弱性対策」に記載の対策を実施する必要性がある。
出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会
脆弱性対策は、次の5項目をすべて講じることが求められます。
- 管理画面のアクセス制限と管理者のID・パスワード管理
- データディレクトリの設定不備への対策
- Webアプリケーションの脆弱性対策（脆弱性診断の定期実施）
- ウイルス対策ソフトの導入・運用
- 悪質な有効性確認（クレジットマスター）への対策
このうちWebアプリケーションの脆弱性対策として、脆弱性診断またはペネトレーションテストを定期的に実施し、必要な修正を行うことが含まれます。診断の種類・進め方・費用は、記事後半の脆弱性診断の進め方で詳しく解説します。
対策③ EMV 3-Dセキュアの導入
3つ目は、決済時の本人認証であるEMV 3-Dセキュアの導入です。EMV 3-Dセキュアは、カード会社（イシュアー）がリスクベース認証でなりすましのリスクを判定し、追加認証が必要と判断した取引だけ、ワンタイムパスワードや生体認証などの追加認証を求める仕組みです。通常の取引では追加入力を求めないため、利用者の離脱を抑えながら不正利用を防げます。
EC 加盟店は、EMV 3-D セキュアを導入した上で、原則としては決済の都度、EMV 3-D セキュアによる認証を行うことが求められるが、加盟店が EMV 3-D セキュア以外に講じる不正利用対策の内容や抑止効果に応じて、（中略）運用も認められる。
出典：クレジットカード・セキュリティガイドライン【6.1版】｜クレジット取引セキュリティ対策協議会
クレジットカード業界では、かねてよりすべてのEC加盟店へのEMV 3-Dセキュア導入が目標として進められてきました。現在は、現行のクレジットカード・セキュリティガイドラインの指針対策として、決済時の本人認証を導入・運用することが求められています。
出典・参考資料（1件）
- 出典：クレジットカード・セキュリティガイドライン【6.1版】 5-2-2（EMV 3-Dセキュア）｜クレジット取引セキュリティ対策協議会（PDF）
未導入の場合は、まず利用中の決済代行事業者やカード会社に、EMV 3-Dセキュアの対応状況と有効化の方法を確認するのが最初の一歩です。
対策④ 不正ログイン対策
4つ目は、不正ログイン対策です。会員登録型のECサイトでは、利用者がIDとパスワードでログインして商品を購入します。他社から流出したIDとパスワードの使い回しを突く「リスト型攻撃」などで会員アカウントが乗っ取られると、登録済みのカード情報が不正利用される恐れがあります。ガイドラインは、カード決済に至る前の段階で不正ログインを防ぐ対策を求めています。
具体的な対策としては、ログイン時の多要素認証（二要素認証）の導入、不審なログインを検知する仕組み、一定回数の失敗でロックする仕組みなどがあります。IPAのガイドラインでも、利用者のログイン時の二要素認証の導入が要件として挙げられています。まずは利用中のECプラットフォームや会員システムで多要素認証が使えるかを確認し、管理者アカウントから有効化していくのが現実的です。
出典・参考資料（1件）
- 出典：ECサイト構築・運用セキュリティガイドライン（要件10 利用者のログイン時の二要素認証の導入）｜IPA（独立行政法人情報処理推進機構）
これらの義務の根拠（割賦販売法とガイドラインの関係）
4つの対策の法的な根拠は、割賦販売法にあります。EC加盟店（同法第35条の16第1項第2号の事業者）には、カード情報の適切な管理義務（第35条の16）と、不正利用を防止する措置の義務（第35条の17の15）が課されています。
クレジットカード番号等取扱業者（中略）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（中略）の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない。
出典：割賦販売法 第三十五条の十六｜e-Gov法令検索
クレジットカード・セキュリティガイドラインは、この法律の義務を満たすための「実務上の指針」として位置づけられています。ガイドラインに掲げる措置、またはそれと同等以上の措置を適切に講じている場合には、割賦販売法に規定する「必要かつ適切な措置」が講じられているとみなされます。
ガイドライン自体は罰則を伴う法律ではありませんが、その指針対策を満たすことが、法律上の義務を果たす現実的な方法になります。
出典・参考資料（2件）
一括ダウンロードする
各対策の具体的なやり方
ここからは、義務・推奨の各対策を実際にどう進めるかを、ECサイトの「構築時」と「運用時」に分けて解説します。IPAの「ECサイト構築・運用セキュリティガイドライン」も、この2つの局面でチェックリストを分けています。
構築時に必要な対策
ECサイトを新しく作る、または作り替えるときに決めておきたい対策です。
- カード情報の持ち方を決める：対策①で述べた非通過型の決済代行を使い、カード情報を非保持化するのが一般的です
- 通信の暗号化（SSL/TLS）：サイト全体を常時暗号化（常時SSL）し、ログインフォームや決済画面だけでなく全ページで通信を保護します
- 安全な実装：SQLインジェクションやクロスサイトスクリプティングなどの代表的な脆弱性を作り込まないよう、公開前に脆弱性診断で実装を検証します
- 管理画面のアクセス制限：管理画面や管理用ソフトへのアクセスをIPアドレスや多要素認証で制限します
運用時に必要な対策
サイトを公開したあと、継続して実施する対策です。攻撃の手口や脆弱性は日々生まれるため、構築時の対策だけでは不十分です。
- WAFの導入：Webアプリを狙う攻撃通信を検知・遮断します。既知の脆弱性をふさぐ時間を稼ぐ役割もあります
- 多要素認証・不正ログイン検知：会員や管理者のログインを多要素認証で守り、不審なログインを検知します
- ソフトウェアの最新化：OS・ミドルウェア・CMS・プラグインを最新に保ち、公表された脆弱性を速やかにふさぎます
- ログ・バックアップの取得と保護：事故の検知・原因調査・復旧に備え、ログとバックアップを保管し、改ざん・削除から守ります
- 定期的な脆弱性診断：運用中も定期的にサイトを検査し、新たに生じた弱点を見つけます（詳しくは次章）
運用体制とセキュリティ教育
対策を仕組みとして回すには、担当者と運用ルールの整備も欠かせません。アクセス権限を業務に必要な範囲に絞り、退職者のアカウントを速やかに削除するなど、運用ルールを明文化します。
あわせて、フィッシングメールや不審なログインに気づけるよう、担当者へのセキュリティ教育を継続します。専任のセキュリティ担当を置けない場合は、外部の診断サービスや運用支援を活用し、自社で抱え込まない体制にするのも現実的な選択です。
一括ダウンロードする
脆弱性診断の進め方（種類・実施タイミング・外部委託と自社ツール）
義務となった脆弱性対策のうち、Webアプリケーションの対策の中心が脆弱性診断です。ここでは、診断の種類・実施するタイミング・外部委託と自社ツールの使い分けを解説します。自社に合った進め方を選ぶことが、無理なく継続するコツです。
脆弱性診断の種類（ツール型・手動型・ハイブリッド）
脆弱性診断は、実施方法によって大きく3つに分けられます。
- ツール型（自動診断）：ソフトやクラウドサービスが自動でサイトを検査します。費用を抑えやすく、何度でも繰り返し実行できるのが利点です。一方、業務ロジックに踏み込んだ複雑な欠陥は見つけにくい面があります
- 手動型（専門家による診断）：セキュリティ専門家が攻撃者の視点で検査します。自動では見つけにくい欠陥まで深く調べられますが、費用は高めで、都度の依頼になります
- ハイブリッド型：自動診断で広く検査し、重要な部分を手動診断で深掘りする方式です。網羅性と深さのバランスを取れます
自動診断のツールには、ブラウザから対象URLを登録するだけで検査できるSaaS型が増えており、専門知識がなくても自社で診断を始められます。SQLインジェクションやクロスサイトスクリプティングなど、ECサイトで狙われやすい脆弱性を検出できます。
実施するタイミング（公開前と運用中の定期実施）
脆弱性診断は、ECサイトの公開前と運用中の両方で行うのが基本です。公開前は、作り込んだ脆弱性を世に出す前に見つける最後の関門です。運用中は、機能追加やソフトウェア更新で新たな弱点が生じるため、定期的に検査します。
ガイドラインが求める脆弱性対策も「定期的な点検」を前提としています。四半期ごとや、機能をリリースするたびなど、自社の開発ペースに合わせて継続できる頻度を決めておくと、対策が形骸化しません。CI/CD（開発の自動化の仕組み）に診断を組み込み、リリースのたびに自動で検査する運用も広がっています。
診断を提供する事業者からも、攻撃側の変化が定期的な診断の必要性を高めているという指摘があります。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
外部委託と自社ツールの使い分け
自社ツール（SaaS）と外部委託は、どちらか一方に絞る必要はありません。頻度・深さ・予算・社内の体制で使い分けるのが現実的です。
- 自社ツール（SaaS）が向くケース：継続的に・高頻度で検査したい、開発のたびに回したい、費用を抑えたい。月額制で回数無制限のサービスが多く、運用中の定期診断に適します
- 外部委託（手動診断）が向くケース：公開前に専門家の目で網羅的に検査したい、カード情報や個人情報を多く扱う重要なサイトを深く調べたい。専門性は高い一方、費用と期間がかかります
よくある組み合わせは、運用中の定期診断を自社ツールで回しつつ、大きなリニューアルや重要な機能追加の前に外部委託の手動診断を受ける形です。自社の開発体制や扱う情報の重要度に照らして、無理なく続けられる方法を選びましょう。
PCI DSS準拠・脆弱性診断にかかる費用の目安
対策のなかでも費用が気になりやすいのが、PCI DSS準拠と脆弱性診断です。いずれもサイトの規模や診断範囲で大きく変わるため一概には言えませんが、目安を押さえておくと予算の相談がしやすくなります。
PCI DSSへの準拠は、カード情報を自社で保持する場合に必要です。準拠には要件の整備・審査・毎年の維持が伴い、相応の費用と工数がかかります。多くのEC加盟店は、自社でPCI DSSに準拠するのではなく、PCI DSS準拠済みの決済代行を使って非保持化することで、負担を抑えています。
非保持化を選べば、PCI DSS準拠のための追加費用はかからず、コストは決済代行の手数料が中心になります。
EMV 3-Dセキュアや不正ログイン対策（多要素認証など）も、多くの場合は利用中の決済代行やECプラットフォームの標準機能・オプションで対応できます。追加費用は限定的なことが多いため、対応状況と費用を提供事業者に確認してください。
脆弱性診断の費用は、方式によって幅があります。自社で使うSaaS型の自動診断ツールは、月額2万円前後から始められるものがあり、回数無制限で継続しやすいのが特徴です。
一方、専門家による手動診断は、検査するリクエスト数やページ数に応じた個別見積りで、サイト1本あたり数十万円規模になることもあります。手動の脆弱性診断で40万円前後、ネットワーク（プラットフォーム）診断で15万円／回程度が一つの目安です。次章で、各サービスの具体的な料金を比較します。
ECの脆弱性診断・セキュリティ対策を外部に任せるには
ここからは、ECサイトの脆弱性診断に使える代表的なサービスを紹介します。自社ツール型（SaaS）で継続的に回すものから、専門家が手動で深く検査するもの、両方を組み合わせられるものまであります。まずは下の比較表で、診断方式・対象・料金の違いを確認してください。
| サービス名 | CoWorker 脆弱性診断サービス | AeyeScan | Securify | VAddy | GMOサイバーセキュリティ byイエラエ | SQAT |
|---|---|---|---|---|---|---|
| 診断方式 | ハイブリッド （AI自動解析＋専門家確認） | ツール型（自動診断） | ツール型（自動診断） | ツール型（自動診断） | 手動型 （専門家による手動診断） | ハイブリッド （手動＋自動診断） |
| 主な診断対象 | Webアプリ・API・ソースコード | Webアプリ・SPA・API（オプション） | Webアプリ・API | Webアプリ・APIサーバー | Webアプリ・スマホ・クラウド・ネットワーク等 | Web・ネットワーク・スマホ・IoT・クラウド等 |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 0円 | 要問い合わせ | 要問い合わせ |
| 月額・費用の目安 | 15万円〜 （診断メニュー別） | 要問い合わせ （回数無制限の定額制） | 月額5万円〜 （脆弱性診断STARTER） | 月額19,800円〜 （税別・Advanced 99,800円） | 要問い合わせ | 要問い合わせ |
| 無料トライアル | ●期間限定の無料診断あり | ●あり（2サイト） | ●あり（トライアル／PoC） | ●あり（1週間） | ×記載なし | ×記載なし |
| 詳細情報 | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※料金・無料トライアルは2026年11月時点の各社公式情報・掲載情報にもとづきます。最新の内容は各社の公式サイトでご確認ください。
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker 脆弱性診断サービスは、自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた診断サービスです。診断メニューは、ソースコードAI診断、稼働中のWeb・APIを対象とする動的脆弱性診断、攻撃を想定した実践攻撃シミュレーション診断（ペネトレーションテスト）の3つで、段階的に選べます。
ソースコードAI診断は本番環境に影響を与えずに実施できます。同社の2026年4月のプレスリリースでは、診断開始から最短3営業日で報告書を納品するとしています。
料金は、ソースコードAI診断が15万円、ソースコードと動的診断を組み合わせたLiteプランが50万円など、診断範囲に応じたプランが用意されています（2026年11月時点。最新の料金は提供元に確認してください）。公開前の実装検証から運用中の診断まで、専門家のレビュー付きで任せたい場合に向いています。
AIによる自動解析の精度について、同社は次のように説明しています。
精度については、ハルシネーションが心配だというお声もいただきますが、ハルシネーションを完全に防ぐとAIの強みが損なわれてしまいますので、そこは防ぎきることはしていません。その代わり、ハルシネーションが起きた可能性がある箇所については明確に示すようにしていて、最終的に人の目で見て正しいかどうかを承認するフローを取っています。
2. AeyeScan（株式会社エーアイセキュリティラボ）
AeyeScanは、クラウド型（SaaS）のWebアプリケーション脆弱性診断ツールです。サーバー構築やソフトのインストールは不要で、対象URLを登録するだけで診断を始められます。AIが利用者の操作に近い形でサイト内を自動巡回し、診断のシナリオ生成や画面遷移図の作成まで自動化するため、専門知識がなくても自社で診断を内製化できます。
診断対象はWebサイト・Webアプリケーションのほか、オプションでAPIスキャンにも対応します。料金は用途やサイト数に応じた個別見積りで、回数無制限の定額制です。無料トライアル（2サイト）で機能を試せます。
調査会社ITRの調査では、2024年度のSaaS型Webアプリケーション脆弱性診断・管理市場で売上金額シェア1位と報告されています。頻度高く自社で診断を回したいEC事業者に適しています。
出典・参考資料（1件）
- 参考資料：ITR「ITR Market View：サイバー・セキュリティ対策市場2026」（SaaS型Webアプリケーション脆弱性診断・管理市場 2024年度 売上金額シェア）｜ScanNetSecurity
3. Securify（株式会社スリーシェイク）
Securifyは、ASM（外部公開資産の把握）と脆弱性診断を同じサービス内で扱えるクラウド型（SaaS）です。Webアプリケーション診断は、画面の巡回・疑似攻撃・応答の検証を自動で実行し、ログイン後の画面やSPA、APIにも対応します。実施する日時や頻度を指定でき、API経由でCI/CDパイプラインに診断を組み込むこともできます。
料金は、脆弱性診断のSTARTERプランが月額5万円から（12か月の年間契約、診断回数は無制限）で、トライアル（PoC）も用意されています。WordPressの診断にも対応している点も、CMSで構築したECサイトには便利です。外部に公開しているIT資産の把握から診断までをまとめて継続したいEC事業者であれば、第一候補になります。
4. VAddy（株式会社ビットフォレスト）
開発パイプラインへの組み込みを前提に作られたクラウド型のWebアプリケーション脆弱性診断ツールが、VAddyです。WebAPIやコマンドラインツール、cronによる夜間の自動実行に対応し、リリースのたびに繰り返し診断を回せます。スキャン回数は無制限で、初期費用は0円、1ヶ月単位で契約できます。
料金は月額19,800円（税別）からで、1週間の無料トライアルがあります。ログイン必須のアプリやAPIサーバーの検査にも対応します。さらに、EC・個人情報を扱うサイト向けに、OWASP ASVSをベースとした専門家による手動脆弱性診断（40万円）をオプションで追加でき、自動と手動を組み合わせられます。開発のたびに継続して診断を回したいEC事業者と相性がよいといえます。
5. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
GMOサイバーセキュリティ byイエラエは、GMOインターネットグループの専門ベンダーです。専門家による手動のWebアプリケーション診断を中心に、スマホアプリ・クラウド・ネットワーク・ペネトレーションテストまで、広い診断メニューを持ちます。国際的な基準であるOWASP TOP 10やASVSに対応し、累計診断数は16,000件を超えると公表しています。
経済産業省の情報セキュリティサービス基準に適合しており、第三者の目で品質を担保したい場合の選択肢になります。料金は診断範囲に応じた個別見積り（要問い合わせ）です。公開前や大きなリニューアルの前に、専門家の手動診断で深く検査したい場合に強みがあります。
6. SQAT（株式会社ブロードバンドセキュリティ）
2000年創業のセキュリティ専業企業、株式会社ブロードバンドセキュリティ（BBSec）が提供する脆弱性診断サービスがSQAT（エスキュート）です。手動診断と独自開発の自動診断を組み合わせたハイブリッド方式で、Web・ネットワーク・スマホアプリ・クラウド・ソースコードまで幅広く診断します。延べ10,300組織・64,280システムを超える診断実績があります（2025年6月現在）。
同社はPCI SSCからQSA（PCI DSSの審査機関）や3Dセキュアのアセッサーなどの認定を受けており、カード加盟店のセキュリティに直結した知見を持ちます。報告書の提出まで最短7営業日の短納期メニュー（Swift Delivery）もあります。料金は診断範囲に応じた個別見積り（要問い合わせ）です。カード取扱サイトを専門家の目でしっかり検査したいEC事業者に適しています。
ここで取り上げた6サービスのほかにも、脆弱性診断サービスは数多くあります。診断方法や費用相場、選び方の観点から幅広く比較して自社に合う依頼先を探したい場合は、以下の記事もあわせてご覧ください。
ECサイトのセキュリティ事故で起きること
対策を先延ばしにすると、事故が起きたときの損失は想像以上に大きくなります。日本クレジット協会の調査によると、2025年のクレジットカード不正利用被害額は約510.5億円にのぼり、そのうち約9割をEC加盟店における「なりすまし」による不正利用が占めています。
日本クレジット協会の調査によると、2025 年のクレジットカード不正利用被害額は約 510.5 億円にのぼり、そのうちの約 9 割を EC 加盟店においてなりすまし不正利用による被害が占めている。
出典：クレジットカード・セキュリティガイドライン【6.1版】 1-2-2｜クレジット取引セキュリティ対策協議会
カード情報が漏えいすると、不正利用の被害だけでなく、原因調査（フォレンジック）費用、利用者への対応、決済停止による売上の逸失、信頼の失墜といった影響が重なります。被害が確認されると、カード会社からカード決済の停止を求められ、原因が解消するまで販売できなくなることもあります。
出典・参考資料（2件）
ECサイトを狙う主な攻撃と事故の種類
ECサイトで起きる代表的な事故には、次のようなものがあります。どれも、これまで解説した対策で予防・軽減できます。
- Webサイトの改ざん・Webスキミング：決済ページに不正なスクリプトを埋め込み、入力されたカード情報を盗み取ります。非保持化していても狙われるため、脆弱性対策（管理画面のアクセス制限やWebアプリの脆弱性対策など）とあわせて防ぎます
- 不正アクセスによる情報漏えい：システムの脆弱性を突いて侵入し、顧客情報やカード情報を盗みます。脆弱性診断とソフトウェアの最新化で弱点をふさぎます
- 不正ログイン（なりすまし）：流出したID・パスワードで会員になりすまし、登録済みのカードを不正利用します。多要素認証・不正ログイン対策で防ぎます
- クレジットカードの不正利用：盗んだカード情報で決済を試みます。EMV 3-Dセキュアで決済時のなりすましを抑止します
まとめ
ECサイトのセキュリティ対策は、「なぜ必要か」を考える前に、まずやるべきことを一覧で押さえるのが近道です。カードを取り扱うEC加盟店には、カード情報の非保持化またはPCI DSS準拠・脆弱性対策・EMV 3-Dセキュアの導入・不正ログイン対策という4つの対策が、割賦販売法に基づく指針対策として求められています。これらを義務として押さえ、SSL/TLSやWAFなどの推奨対策で全体を底上げしましょう。
まずは自社のECが義務化された要件を満たせているかを棚卸しし、足りない部分を見える化することから始めてください。特に脆弱性対策は、自社ツールでの定期診断と外部委託の手動診断を使い分けるのが現実的です。複数の診断サービスの資料を取り寄せ、診断方式・対象・費用を比べて、自社に合うものを選んでください。
一括ダウンロードする
よくある質問（FAQ）
Q. PCI DSSとは何ですか？
A. PCI DSSとは、クレジットカード情報を安全に取り扱うために定められた国際的なセキュリティ基準です。安全なネットワークの構築やカード会員データの保護など12の要件で構成され、現行版はv4.0.1です。ECサイトでカード情報を自社で保持する場合は、このPCI DSSへの準拠が求められます。
多くのEC加盟店は、自社で準拠する代わりに、PCI DSS準拠済みの決済代行（PSP）を使ってカード情報を保持しない（非保持化する）ことで対応しています。
Q. ECサイトにおけるカード情報の非保持化とは何ですか？
A. カード情報の非保持化とは、自社で保有する機器・ネットワークでクレジットカード情報の「保存」「処理」「通過」のいずれも行わないことです。ECサイトでは、PCI DSS準拠済みの決済代行（PSP）の決済画面に遷移するリダイレクト型や、PSPが提供するJavaScriptを組み込むトークン型を使って非保持化を実現します。
カード情報を自社に残さないため、漏えい時の影響を抑えられます。ただし、非保持化していてもWebサイトの改ざんなどでカード情報が盗まれる事案が起きているため、脆弱性対策とあわせて講じることが必要です。
Q. 小規模なECサイトや個人のネットショップでもセキュリティ対策の義務はありますか？
A. クレジットカード決済を取り扱うEC加盟店であれば、サイトの規模にかかわらず対策の対象になります。カード情報の適切な管理義務は割賦販売法で定められており、事業規模による除外はありません。小規模なサイトや個人のネットショップであっても、カード情報の非保持化（またはPCI DSS準拠）・脆弱性対策・不正ログイン対策・EMV 3-Dセキュアの導入が求められます。
専任のセキュリティ担当を置けない場合は、PCI DSS準拠済みの決済代行や外部の脆弱性診断サービスを活用し、自社で抱え込まない体制にするのが現実的です。
Q. ASP・クラウドECを使っていればECサイトのセキュリティ対策は不要ですか？
A. ASP・クラウドECを使っていても、EC加盟店自身が講じるべきセキュリティ対策は残ります。PCI DSS準拠済みのサービスを使えばカード情報の非保持化は実現しやすくなりますが、脆弱性対策・不正ログイン対策・EMV 3-Dセキュアの運用などは、引き続きEC加盟店の責任範囲です。利用しているサービスがどこまで対応していて、どこからが自社で対応すべき範囲なのかを、提供事業者に確認しておきましょう。
Q. ECサイトの脆弱性診断の費用はどれくらいですか？
A. ECサイトの脆弱性診断の費用は、自社で使うSaaS型の自動診断ツールで月額2万円前後から、専門家による手動診断でサイト1本あたり数十万円規模からが目安です。自動診断ツールは回数無制限の定額制が多く、運用中の定期診断を継続しやすいのが特徴です。
手動診断は検査するページ数やリクエスト数に応じた個別見積りで、公開前や、カード情報を多く扱う重要なサイトの精密な検査に向きます。実際の料金はサイトの規模や診断範囲で変わるため、複数サービスの資料を取り寄せて比較するのが確実です。
Q. ECサイトでEMV 3-Dセキュアの導入は必須ですか？
A. EMV 3-Dセキュアの導入は、カードを取り扱うEC加盟店の指針対策として求められています。クレジットカード業界では、すべてのEC加盟店への導入が目標として進められてきました。現在は現行のクレジットカード・セキュリティガイドラインの指針対策として、決済時の本人認証を導入・運用することが求められています。
EMV 3-Dセキュアはリスクベース認証で、不正の疑いがある取引にのみ追加認証を求める仕組みのため、通常の購入者の離脱を抑えながらなりすまし取引を防げます。未導入の場合は、決済代行事業者やカード会社に導入可否を確認しましょう。
Q. ECサイトのセキュリティ対策を怠るとどうなりますか？（罰則はありますか？）
A. 直接の罰則よりも、カード会社から決済を停止され、原因が解消するまで販売できなくなることが現実的なリスクです。クレジットカード・セキュリティガイドライン自体は罰則を伴う法律ではありませんが、その指針対策は割賦販売法上のカード情報の適切な管理義務を果たすための実務指針として位置づけられています。
カード情報の漏えいが起きれば、原因調査（フォレンジック）費用・利用者への対応・売上の逸失・信頼の失墜が重なります。2025年のクレジットカード不正利用被害額は約510.5億円にのぼり、その約9割をEC加盟店における「なりすまし」による不正利用が占めています。
ECサイトの脆弱性診断・セキュリティ対策の資料をまとめてチェック
MCB FinTechカタログでは、ECサイトの脆弱性診断・セキュリティ対策サービスの最新資料を無料で一括請求できます。診断方式・対象・費用を比べて、自社に合うサービスを選べます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
