取引先やカード会社から「2025年4月から脆弱性診断が義務になる」という話を耳にして、自社のECサイトも対応しなければならないのか不安に感じていませんか。クレジットカード決済を扱うECサイトでは、カード情報を狙った攻撃が後を絶たず、国も事業者に対策を求める動きを強めています。
一方で「義務化」という言葉だけが先行し、何が法律上の義務で、脆弱性診断そのものはどこまで求められるのか、自社が対象になるのかが分かりにくいのも実情です。結論を誤って捉えると、過剰な対応で費用をかけすぎたり、逆に必要な対策を見送ってカード決済を止められたりしかねません。
本記事では、脆弱性診断が「義務化」されたといえるのかを、割賦販売法やクレジットカード・セキュリティガイドラインの条文・版・公表年までさかのぼって整理します。自社が対象かどうかの見極め方、対策を怠った場合に本当に起きること、いつ・何を・いくらで実施すべきか、そして診断に使えるサービスまで、ECサイトの運営やセキュリティ対応に携わる方が判断に使える形でまとめました。
目次
一括ダウンロードする
脆弱性診断は義務化された？ ECサイトに求められることの結論
先に結論をお伝えすると、脆弱性診断は「半分は義務、半分はそうではない」というのが正確な位置づけです。法律が直接義務づけているのは「クレジットカード番号などの適切な管理」であって、脆弱性診断そのものを名指しで課す条文はありません。ただし、その管理義務を実現する実務上の指針として、クレジットカード決済を扱うECサイトには脆弱性対策が求められ、その対策の中に脆弱性診断が位置づけられています。
法律上の義務は「カード情報の適切な管理・不正利用対策」
クレジットカード決済を扱う事業者に対して法律上の義務を定めているのは、割賦販売法（昭和36年法律第159号）第35条の16です。同条は、クレジットカード番号等取扱業者に対し、取り扱うクレジットカード番号等の適切な管理のために必要な措置を講じるよう求めています。条文が義務づけているのは「必要な措置」までで、具体的にどんな対策を行うかは経済産業省令やガイドラインに委ねられています。
クレジットカード番号等取扱業者（次の各号のいずれかに該当する者をいう。以下同じ。）は、経済産業省令で定める基準に従い、その取り扱うクレジットカード番号等（…）の漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない。
出典：割賦販売法 第三十五条の十六第一項｜e-Gov法令検索
脆弱性診断そのものはガイドライン上の対策に位置づけられる
では脆弱性診断はどこで求められるのでしょうか。割賦販売法の管理義務を実務でどう満たすかを示すのが、クレジット取引セキュリティ対策協議会（事務局：一般社団法人日本クレジット協会）が公表するクレジットカード・セキュリティガイドラインです。
同ガイドラインは【6.0版】（2025年3月公表）で、EC加盟店に対してシステムやWebサイトの「脆弱性対策」を指針対策に追加しました。現行の最新版は【6.1版】（2026年3月公表）で、この脆弱性対策の内容を引き継いでいます。
本ガイドライン【6.0版】からは、2号事業者のうちEC加盟店に対しては、カード情報保護対策としてEC加盟店のシステム及びWebサイトの「脆弱性対策」を講じることを指針対策に追加した。
この「脆弱性対策」は、割賦販売法で義務付けられているクレジットカード番号等の漏えい等の事故を防止するための措置の指針対策の一つである
出典：クレジットカード・セキュリティガイドライン【6.0版】｜クレジット取引セキュリティ対策協議会
この脆弱性対策は、システム管理画面のアクセス制限とID・パスワード管理、データ領域の設定不備への対策、Webアプリケーションの脆弱性対策、マルウェア対策、不正な有効性確認への対策という5つの対策で構成されます。このうちWebアプリケーションの脆弱性対策として、「脆弱性診断又はペネトレーションテストを定期的に実施し、必要な修正対応を行う」ことが挙げられています。
脆弱性診断は、法律が名指しする義務ではなく、ガイドラインが求める脆弱性対策を満たす手段として、実質的に必須の位置づけになっています。
法律上の義務から脆弱性診断までのつながりを整理すると、次のとおりです。
【早見表】何が法律上の義務で、何がガイドライン上の対策か
脆弱性診断をめぐる3つの根拠を、性質・EC加盟店に求めること・脆弱性診断の位置づけで並べると、次のように整理できます。
| 根拠 | 割賦販売法 第35条の16 | クレジットカード・セキュリティガイドライン | IPA・経済産業省 ECサイト構築・運用セキュリティガイドライン | PCI DSS（v4.0／4.0.1） |
|---|---|---|---|---|
| 性質 | 法律上の義務 | 実務指針（法律ではない・罰則なし） | ガイドライン（罰則なし） | 業界標準（法令ではない） |
| EC加盟店に求めること | クレジットカード番号等の適切な管理のために必要な措置 | システム・Webサイトの脆弱性対策（5項目）の実施 | 公開前の脆弱性診断などを「必須」に分類 | 定期的な脆弱性スキャン・ペネトレーションテストなど |
| 脆弱性診断の位置づけ | 条文は診断を名指しせず「必要な措置」まで（具体はガイドラインに委任） | 脆弱性対策の一手段として「脆弱性診断又はペネトレーションテスト」を定期実施＝実質必須 | 公開前診断は必須、運用時も定期実施を必須に分類 | 基準の要件に含まれる（準拠はカード会社・アクワイアラーが契約を通じて求める） |
※2026年11月時点の各公式情報にもとづく整理です。詳細は本文中の各出典をご確認ください。
根拠となる法令・ガイドラインと時系列
ここからは、早見表で挙げた根拠を一つずつ、名称・版・公表年まで確認します。版や公表年まで押さえておくと、取引先やカード会社への説明にもそのまま使えます。
割賦販売法 第35条の16（クレジットカード番号等の適切な管理）
すべての出発点は、先に引用した割賦販売法第35条の16です。クレジットカード決済を扱うEC加盟店は、同条第1項第2号の事業者（いわゆる2号事業者）にあたり、カード情報の漏えい・滅失・毀損を防ぐために必要な措置を講じる義務を負います。脆弱性対策や脆弱性診断は、この「必要な措置」を具体化するための手段として、後続のガイドラインで示されていきました。
クレジットカード・セキュリティガイドライン（現行は6.1版・2026年3月）
割賦販売法の管理義務を実務でどう満たすかを示すのが、クレジット取引セキュリティ対策協議会のクレジットカード・セキュリティガイドラインです。EC加盟店の脆弱性対策は【6.0版】（2025年3月公表）で指針対策に追加され、2025年4月以降に適用されました。現行の最新版は【6.1版】（2026年3月公表）で、6.0版で追加された脆弱性対策の内容はそのまま引き継がれています。
「クレジットカード・セキュリティガイドラインに対応した」と説明する際は、この版と公表年まで示すと、情報の鮮度を正確に伝えられます。
IPA・経済産業省「ECサイト構築・運用セキュリティガイドライン」（2023年3月）
脆弱性診断を「必須」とより明確に位置づけているのが、独立行政法人情報処理推進機構（IPA）と経済産業省が2023年3月16日に公開した「ECサイト構築・運用セキュリティガイドライン」です。同ガイドラインは対策を必須・必要・推奨の3段階に分け、ECサイトの公開前に脆弱性診断を行って見つかった脆弱性を対策することを「必須」に分類しています。
あわせて、クレジットカード・セキュリティガイドラインの遵守そのものも「必須」に置いており、2つのガイドラインが接続していることが分かります。
PCI DSS（v4.0／4.0.1）との関係（業界標準で法令ではない）
カード情報を扱う事業者のセキュリティ基準としてよく挙がるPCI DSS（Payment Card Industry Data Security Standard）は、法律ではなく国際的な業界標準です。
カードブランド5社が設立したPCI SSC（PCI Security Standards Council）が策定・維持しており、定期的な脆弱性スキャンやペネトレーションテストなどを要件として定めています。PCI SSC自身は準拠状況を監視・強制せず、準拠を求めるかどうかはカードブランドやアクワイアラー（加盟店契約を結ぶカード会社）の判断に委ねられています。
日本のクレジットカード・セキュリティガイドラインも、脆弱性対策の具体的な基準としてPCI DSS v4.0.1を参照しています。
EC加盟店の指針対策としては、カード情報を自社で保持する場合はPCI DSSへの準拠が求められ、保持しない「非保持化」を実現している場合はPCI DSS準拠そのものは必須とされていません。ただし非保持化していても、Webサイトの脆弱性対策は別途求められる点は変わりません。
出典・参考資料（2件）
【年表】検討会から脆弱性対策の適用までの流れ
脆弱性対策がEC加盟店に求められるようになった流れを、公表された日付の順に並べると次のようになります。
- 2023年1月：経済産業省「クレジットカード決済システムのセキュリティ対策強化検討会報告書」が、EC加盟店のシステム・ECサイト自体の脆弱性対策を当面の対応として位置づけ、ガイドラインへの追記を求める
- 2023年3月：IPA・経済産業省「ECサイト構築・運用セキュリティガイドライン」公開（公開前の脆弱性診断を「必須」に分類）
- 2025年3月：クレジットカード・セキュリティガイドライン【6.0版】公表（EC加盟店の脆弱性対策を指針対策に追加）
- 2025年4月：既契約を含む全EC加盟店に、ガイドラインの脆弱性対策の実施が適用
- 2026年3月：クレジットカード・セキュリティガイドライン【6.1版】公表（6.0版の脆弱性対策を継続）
自社は対象か（カード情報の保持・非保持、決済代行・ASPカート）
ここからは、自社のECサイトが対象になるのかを判断できるよう、立場ごとに整理します。「カード情報を自社で持っていないから関係ない」と考えがちですが、必ずしもそうとは限りません。先に結論をまとめると、次のとおりです。
- クレジットカード決済を使うEC加盟店は、規模・個人事業主を問わず原則として対象
- 決済代行やトークン決済でカード情報を保持しない場合も、Webサイト側の脆弱性対策の責任は残る
- ASPカート・クラウド型ECでも、独自のカスタマイズや外部連携を加えた部分は自社の責任範囲
対象はクレジットカード決済を扱うEC加盟店（規模・個人事業主を問わず）
対象になるのは、クレジットカード決済を導入しているEC加盟店です。割賦販売法の管理義務は事業規模で線引きされておらず、中小企業や個人事業主が運営するECサイトであっても、カード決済を扱っていれば対象になります。「小規模だから対象外」という例外は設けられていません。
カード情報を保持しない・決済代行やトークン決済でも残る責任
決済代行サービスを使い、カード情報を自社サーバーに保持しない「非保持化」を実現していても、Webサイト側の脆弱性対策の責任は残ります。クレジットカード・セキュリティガイドラインは、非保持化したEC加盟店でもWebサイトの脆弱性を突かれてカード情報が窃取される事故が起きているとして、保持・非保持にかかわらず対策を求めています。
最近の漏えい事故の傾向として、非保持化を実現したEC加盟店であってもWebサイトの脆弱性等を原因としたカード情報の窃取が発生している。このため、EC加盟店には、カード情報の保持又は非保持にかかわらず、EC加盟店の自社システム及びWebサイトの定期的な点検を行い、この点検結果に基づき、追加的な対策を導入するなどの適切な対策を講じることが求められる。
出典：クレジットカード・セキュリティガイドライン【6.0版】｜クレジット取引セキュリティ対策協議会
入力フォームから決済画面へ遷移させるリンク型や、カード番号をトークンに置き換えるトークン決済を使っている場合も、改ざんやWebスキミング（Webサイトに不正なコードを仕込んでカード情報を盗み出す手口）によってカード情報が抜き取られる経路は残ります。
非保持化は責任を軽くする有効な手段ですが、脆弱性対策そのものを不要にするものではないと理解しておくのが安全です。
ここで触れたWebスキミングや改ざんに対して、ECサイトが具体的に何をすべきかは、対策の一覧とPCI DSS v4.0の要件にそって以下の記事で整理しています。
ASPカート・クラウド型ECプラットフォーム利用時の責任範囲
ASPカートやクラウド型のECプラットフォームを利用している場合、プラットフォーム共通の基盤部分はサービス提供事業者が管理します。一方で、独自に追加したカスタマイズ部分や、外部システムとの連携箇所は加盟店側の責任範囲として残るのが一般的です。
そのため、カスタマイズをせず素のまま利用していて外部連携も無い場合は、自社で手配する診断の範囲は限定的です。一方、独自のカスタマイズや外部連携を加えている場合は、その部分の診断を自社で検討する必要があります。まずは自社がどこまでを管理しているのかを提供事業者と確認し、責任の境目をはっきりさせておくことが、過不足のない対策の出発点になります。
対策を怠った場合のリスク
「法律に直接の罰則がないなら、対応は後回しでよいのでは」と考えたくなるかもしれません。しかし実際のリスクは、罰則そのものよりも事業の継続に直結する形で現れます。
EC加盟店への直接の罰則はないが、規律はカード会社経由で働く
割賦販売法には経済産業大臣による改善命令の規定がありますが、条文上、EC加盟店にあたる2号事業者はこの改善命令の対象から除かれています。EC加盟店に対して国が直接、改善命令や罰則を下す仕組みにはなっていません。その代わりに規律は、加盟店契約を結ぶカード会社（アクワイアラー）を通じて働きます。
アクワイアラーは法律上、加盟店がカード情報を適切に管理できる体制かを調査する義務を負っており、基準に適合しないと判断されれば、加盟店契約にもとづいて是正を求められたり、カード決済を止められたりします。
出典・参考資料（1件）
本当のリスクはカード決済の停止と事故対応の負担
脆弱性対策が不十分な状態で情報漏えい事故が起きると、カード会社の判断で決済を停止され、ECサイトでカード決済が使えなくなることがあります。売上の大半をカード決済に頼るECサイトにとって、これは営業停止に近い打撃です。加えて、原因調査（フォレンジック）費用、再発防止策の導入、問い合わせ対応、顧客への通知や補償など、事故後の対応コストが重くのしかかります。
脆弱性診断を含む事前の対策は、この停止と事故対応のリスクを下げるための投資として位置づけられます。
データで見るクレジットカード不正利用被害
クレジットカードの不正利用被害は高い水準で推移しています。一般社団法人日本クレジット協会の集計によると、不正利用被害額は2024年が555.0億円と過去最高を記録し、2025年も510.5億円と高い水準が続いています。いずれの年も、カード番号の盗用による被害が全体の9割超（2024年は92.5%、2025年は93.1%）を占めています。
番号盗用の多くは非対面取引で、ECサイトを経由した不正利用が中心とされ、カード情報を扱う事業者にとって対策は避けて通れない状況です。
出典・参考資料（1件）
いつ・何を実施すべきか（時期と頻度）
対象であることが分かったら、次に気になるのは「いつ、何を、どのくらいの頻度で」実施すべきかです。ここはガイドラインが具体的な目安を示しています。
2025年4月以降は既契約を含む全EC加盟店が対象
クレジットカード・セキュリティガイドライン【6.0版】により、2025年4月以降は、新規に加盟店契約を結ぶ事業者だけでなく、すでに契約済みのEC加盟店も含めて、脆弱性対策を実施することが求められるようになりました。「まだ新しいサイトではないから関係ない」とはいえず、運用中のECサイトも対象です。
公開前・改修時・定期の3つのタイミング
IPAのガイドラインは、脆弱性診断を実施するタイミングを具体的に示しています。ECサイトの公開前には脆弱性診断を行い、見つかった脆弱性を対策してから公開することが必須とされています。
運用を始めた後も、新機能の追加やシステム改修などのカスタマイズを行うたびに、Webアプリケーション診断を実施します。カスタマイズがない期間でも、OSやミドルウェアの脆弱性は継続的に見つかるため、四半期に1回の頻度でプラットフォーム診断を行うことが推奨されています。
危険度に応じた対応（高＝迅速／中＝3か月程度を目途）
診断で見つかった脆弱性は、攻撃の難易度と影響度から「高」「中」「低」の3段階で評価されるのが一般的です。IPAのガイドラインでは、危険度「高」の脆弱性は迅速に、危険度「中」の脆弱性は3か月程度を目途に対策を行うことが推奨されています。危険度「高」「中」については、対策を行ったうえでECサイトを公開することが求められます。
診断は実施して終わりではなく、結果にもとづいて優先順位をつけて修正するところまでが一連の対応です。
まず何から始めるか（現状把握→診断→修正→定期化）
何から着手すればよいか迷う場合は、段階を踏むと整理しやすくなります。まずは自社サイトの構成や、カード情報がどこを通るかといった現状の把握から始めるとよいでしょう。
次に脆弱性診断で弱点を洗い出し、危険度の高いものから順に修正を進めます。そのうえで改修時と定期の診断を運用フローに組み込めば、継続的に点検できる体制に近づきます。一度の診断で完了させず、定期化までを見据えて設計するのが要点です。
自社のECサイトで実際に診断を受けるときの、依頼先の選び方や診断を受ける流れ、診断後の運用までの実務の全体像は、ECサイトに特化した以下の記事にまとめています。このあと解説する診断の種類や費用とあわせて、受け方の全体像をつかむのに役立ちます。
ECサイトの脆弱性診断とは？費用相場・診断の種類とサービスの選び方を解説
自社のECサイトが不正アクセスやカード情報の窃取に耐えられる状態か、確かめないまま運用していないでしょうか。クレジットカードを扱うEC加盟店には、2025年4月以降、Webサイトやシステムの脆弱性対策を実施することが求められるようになりまし…
脆弱性診断の種類（診断対象と診断方法）
費用を具体的に見る前に、脆弱性診断の種類を押さえておきます。費用は「どの対象を」「どの方法で」診断するかで変わるため、種類の違いが分かると相場も読み解きやすくなります。
Webアプリケーション診断とプラットフォーム診断の違い
脆弱性診断は、診断する対象によって大きく2種類に分かれます。Webアプリケーション診断は、ショッピングカートや会員登録、決済連携など、ECサイト上で動くアプリケーションの作り込みに潜む脆弱性を調べます。これに対しプラットフォーム診断は、サイトを動かすサーバーのOSやミドルウェア、ネットワーク機器の設定不備や既知の脆弱性を調べます。
IPAのガイドラインも、公開前にこの2種類の診断を実施することを求めています。カスタマイズの多いECサイトではWebアプリケーション診断が、サーバーを自社管理している場合はプラットフォーム診断が、それぞれ重要になります。
ツール診断と手動診断（ハイブリッド）の違い
診断の方法にも、ツールによる自動診断と、専門家による手動診断の2通りがあります。ツール診断は、自動でサイトを巡回して既知の脆弱性を効率よく検出でき、費用を抑えて繰り返し実施しやすいのが利点です。手動診断は、専門家が業務ロジックの理解を前提に、自動では見つけにくい認可の欠陥などを深く検査します。
両者を組み合わせ、日常的な点検はツールで回し、重要な改修や高リスクの画面は手動で深く見るハイブリッドの運用もあります。自社の体制とリスクに合わせて、どちらをどの範囲で使うかを決めるのが現実的です。
脆弱性診断の費用相場（診断の種類別）
費用は主に診断の方法（自社で回すツール型か、専門家に委託する委託型か）で分かれ、診断の対象やサイトの規模によっても幅があります。ここでは公開されている料金情報をもとに、おおまかな目安を示します。実際の金額は対象範囲や診断ボリュームによって変わるため、見積もりで確認するのが前提です。
ツール型（自動診断SaaS）の費用目安
クラウド型の自動診断ツールは、月額のサブスクリプションで提供されるものが中心です。公開されている料金を見ると、月額2万円前後から10万円程度の範囲で、スキャン回数は無制限というサービスが多く、初期費用を0円とするものもあります。繰り返し診断しても費用が増えにくいため、改修のたびや定期的な診断を継続する用途に向いています。
委託型（専門家による診断）の費用目安
専門家に外部委託する診断は、対象と深さに応じて費用が決まります。公開されている料金では、ソースコード診断が15万円程度から、Webアプリケーションの動的診断が30万円程度から、より踏み込んで実際の攻撃を想定するペネトレーションテストが60万円程度からといった目安です。プラットフォーム診断を単発で依頼する場合は、対象のIP数に応じて15万円程度からとするサービスもあります。
1回あたりの費用はツール型より高くなりますが、自動では見つけにくい脆弱性まで深く検査できるのが特徴です。
出典・参考資料（4件）
自社に合う診断サービスの選び方
種類と費用の目安が分かったら、自社がどう診断を回すかを考えます。ここで大切なのは、「義務化」という言葉に押されて過剰な対応に走らず、自社のリスクと体制に見合った範囲を見極めることです。
自社で回すか、外部に委託するか
診断を自社で回す方法と、外部の専門機関に委託する方法があります。自社開発のチームがあり、改修のたびに繰り返し診断したいのであれば、CI/CDパイプラインに組み込めるツール型の自動診断が運用しやすく、継続的な点検に向いています。一方で、専門人材が社内におらず客観的な評価が必要な場合や、重要な改修で深い検査が求められる場合は、外部委託が適しています。
IPAのガイドラインも脆弱性診断は原則として第三者による実施を求めており、自社内での診断は補完的な位置づけとしています。自動ツールで日常の点検を回しつつ、節目では外部の手動診断を受ける、という組み合わせが現実的な落とし所になります。
診断サービスを選ぶときのチェックポイント
サービスを比べる際は、次の観点を自社の状況に当てはめて確認すると、見落としを防げます。
- 診断対象の範囲：WebアプリケーションだけかプラットフォームやAPIまで診断できるか。自社サイトがSPAやAPIを多用するなら、それらに対応しているかを確認します
- 診断方法：自動ツールか、専門家の手動か、両方を組み合わせられるか。継続して回したいか、節目で深く見たいかで選びます
- 費用と契約形態：月額のサブスクリプションか、1回ごとの委託か。診断の頻度を踏まえ、総額で比べます
- レポートとサポート：経営層向けの概要から技術者向けの詳細まで、修正に使えるレポートが得られるか。再診断や修正支援の有無も確認します
- ガイドライン・PCI DSSへの対応：クレジットカード・セキュリティガイドラインやPCI DSSが求める診断の範囲をカバーできるか
一括ダウンロードする
ECサイトの脆弱性診断に使える診断サービス
ここからは、ECサイトの脆弱性診断に使える具体的なサービスを紹介します。以下は、紹介するサービスの比較表です。診断方法や対象、料金体系の違いを一覧で確認できます。
| サービス名 | CoWorker 脆弱性診断サービス | Aikido Security | AeyeScan | VAddy | Securify |
|---|---|---|---|---|---|
| 診断方法 | 委託型 （AI解析＋専門家の確認） | 自動診断ツール （オールインワンSaaS） | 自動診断ツール （AIが自動巡回） | 自動診断ツール （CI/CD連携・継続診断） | 自動診断ツール （ASM＋脆弱性診断） |
| 診断対象 | ソースコード Webアプリ・API ペネトレーションテスト | ソースコード・依存ライブラリ クラウド設定（CSPM） Webアプリ（DAST） | Webアプリ・SPA API（オプション） Androidアプリ | Webアプリ APIサーバー（REST API・JSON） | Webアプリ・SPA API（REST・GraphQL） ASM・CSPM・SBOM |
| 初期費用 | 要問い合わせ | 要問い合わせ | 要問い合わせ | 0円 | 要問い合わせ |
| 料金の目安 | ソースコードAI診断 150,000円〜 ソースコード＋動的診断 500,000円〜 | 年額3,780ドル〜のサブスク （月額5万円台〜） | 個別見積もり （One Shot／Business） | 月額19,800円〜99,800円 （税別） | 月額5万円〜 （STARTERプラン） |
| 無料トライアル | 記載なし | あり （無料プラン・トライアル環境） | あり（2サイト） | あり（1週間） | あり（最短即日） |
| 第三者認証 | 記載なし | ISO 27001・SOC 2 （開発元が取得） | ISO/IEC 27001・27017 | ISO/IEC 27001・27017 Pマーク | SSSマーク （情報セキュリティサービス基準適合） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
紹介するサービスは、大きく分けて、専門家が診断して報告書を納める委託型と、自社で日常的に回す自動診断ツール型があります。深い検査を節目で受けたいのか、改修のたびに継続して点検したいのかによって、適した選択肢が変わります。
社内に開発や情報システムの担当がおらず、サイトを診てレポートをもらえれば十分という場合は委託型が、開発チームがあり改修のたびに自分で診断を回したい場合は自動診断ツール型が、それぞれ合いやすい選択肢です。自社の体制とリスクに合わせて読み比べてください。
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
CoWorker株式会社の脆弱性診断サービスは、自社開発したAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた委託型のサービスです。診断メニューは、ソースコードを解析するソースコードAI診断、稼働中のWebアプリケーションやAPIを対象とする動的脆弱性診断、実際の攻撃を想定したペネトレーションテストの3つを用意しています。
料金は、ソースコードAI診断が150,000円から、ソースコードと動的診断をセットにしたプランが500,000円からで、再診断やAPIの検査件数に応じた上位プランも選べます。
出典・参考資料（1件）
診断開始から最短3営業日での報告書納品を掲げており、AIで検査を高速化することで、繰り返しの依頼にも応じやすい点を打ち出しています。専門家による深い診断を、スピードとコストを抑えて受けたいECサイトに向いています。
同サービスを提供するCoWorker株式会社は、脆弱性診断を繰り返し実施する必要性が高まっている背景を、次のように説明しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
2. Aikido Security（株式会社AndGo）
Aikido Securityは、ベルギーのAikido Security社が開発し、日本では株式会社AndGoが窓口となって提供するオールインワンの自動診断SaaSです。ソースコードの解析、依存ライブラリの検査、クラウド設定の点検（CSPM）、稼働中のWebアプリケーションの動的診断までを1つの管理画面で扱えるのが特徴で、開発から運用までのセキュリティ点検をまとめて回せます。
料金は月額固定のサブスクリプション型で、参考価格は年額3,780ドルからのプランが案内されており、請求は為替を考慮した日本円で行われます。無料で試せるプランも用意されています。
出典・参考資料（1件）
検出された脆弱性に対して修正案のプルリクエストを自動作成する機能もあり、自社でWebアプリケーションを内製開発するEC事業者が、開発パイプラインに診断を組み込みたい場合に適しています。
日本窓口を務める株式会社AndGoの原氏は、開発工程にセキュリティを組み込む考え方が広がってきた背景を、次のように話しています。
正直なところ、昔は「セキュリティは運用側が最後に何とかするもの」という前提が強かったと思います。ですが今は攻撃の手口も複雑ですし、作ったあとに1回チェックして終わり、では追いつきません。だから開発の初期からセキュリティを組み込むDevSecOps（開発（Dev）、セキュリティ（Sec）、運用（Ops））が現実解になってきていて、Aikido Securityはその“回し方”を作るためのツールだと考えています。
3. AeyeScan（株式会社エーアイセキュリティラボ）
株式会社エーアイセキュリティラボが開発・提供するAeyeScanは、ブラウザから使えるクラウド型のWebアプリケーション脆弱性診断ツールです。AIが利用者の操作に近い形でサイト内を自動で巡回し、診断シナリオを自動生成する仕組みで、専門知識がなくても診断を内製化しやすい点を訴求しています。診断対象はWebアプリケーションやSPAのほか、オプションでAPIやAndroidアプリにも対応します。
料金は用途やサイト数に応じた個別見積もりで、15日間・1サイトのOne Shotと、1年間・サイト数無制限のBusinessのプランが用意され、2サイトまでの無料トライアルも使えます。ISO/IEC 27001とISO/IEC 27017を取得しており、公式サイトでは有償契約500社以上の導入実績を掲げています（2026年10月時点）。診断を社内で定期的に回していきたい企業に向いた選択肢です。
出典・参考資料（1件）
4. VAddy（株式会社ビットフォレスト）
株式会社ビットフォレストが提供するVAddyは、開発パイプラインへの組み込みを前提に設計されたクラウド型のWebアプリケーション脆弱性診断ツールです。WebAPIやコマンドラインツール、cronと連携して、リリース前や夜間に繰り返し自動診断を回せます。REST APIやJSON形式のリクエストを扱うAPIサーバーの検査にも対応しています。
初期費用は0円で、月額19,800円のプランから始められ、診断項目数に応じて59,800円、99,800円のプランが用意されています（いずれも税別）。スキャン回数は無制限のため、改修のたびに繰り返し診断しても費用は増えません。
出典・参考資料（1件）
1週間の無料トライアルもあり、開発現場で継続的に脆弱性を点検したい中小規模のECサイトから導入しやすいサービスです。
5. Securify（株式会社スリーシェイク）
Securifyは、株式会社スリーシェイクが提供するクラウド型のサービスで、外部公開資産を把握するASM（攻撃対象領域管理）と脆弱性診断を同じサービス内で扱えるのが特徴です。Webアプリケーションの診断では、画面遷移の巡回から疑似攻撃の送信、応答の検証までを自動で実行し、診断の日時や頻度を指定したスケジュール実行にも対応します。REST APIやGraphQLのAPI診断にも対応しています。
脆弱性診断は月額5万円のSTARTERプランから利用でき、診断回数に制限はありません。無料トライアルも用意されています。
出典・参考資料（1件）
API経由で診断を実行できるため、CI/CDパイプラインに組み込んだ継続診断にも使えます。外部に公開している資産の把握と、Webアプリケーションの診断をまとめて管理したい企業に向いています。
ここで紹介したのは、ECサイトの脆弱性診断に使えるサービスの一部です。無料ツールも含めて脆弱性診断サービスを、診断方法・費用相場・選び方から広く比較して導入を検討したい場合は、以下の記事もあわせてご覧ください。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
まとめ
脆弱性診断は、法律が診断そのものを直接義務づけているわけではありませんが、割賦販売法の管理義務を実現する対策として、クレジットカード決済を扱うEC加盟店には実質的に求められる段階に入っています。2025年4月以降は既契約を含む全EC加盟店が対象で、カード情報を保持しない場合でもWebサイトの脆弱性対策の責任は残ります。
直接の罰則はなくとも、不十分なままでは事故時にカード決済を止められるリスクがあり、事前の診断と修正がその備えになります。
まずは自社のサイト構成とカード情報の流れを把握し、公開前・改修時・定期の診断を運用に組み込むところから始めるのが現実的です。自社で回す自動診断ツールと、専門家による外部委託を、リスクと体制に合わせて使い分ければ、過不足のない対策につながります。各サービスの詳しい比較や選び方は、以下の資料もあわせてご確認ください。
一括ダウンロードする
よくある質問（FAQ）
Q. ECサイトの脆弱性診断の義務化とは何ですか？
A. ECサイトの脆弱性診断の義務化とは、法律が診断そのものを名指しで義務づけたのではなく、割賦販売法が求めるカード情報の適切な管理を実現する対策として、クレジットカード決済を扱うEC加盟店に脆弱性対策（その手段としての脆弱性診断）が求められている状態を指します。
割賦販売法第35条の16がカード情報の漏えい防止などの「必要な措置」を義務づけ、その実務指針であるクレジットカード・セキュリティガイドライン【6.0版】（2025年3月公表）が、EC加盟店のシステム・Webサイトの脆弱性対策を2025年4月以降の指針対策に追加しました。
「半分は義務、半分はそうではない」という位置づけで、診断そのものは法律の条文ではなくガイドライン上の対策として実質的に必須になっています。
Q. ECサイトの脆弱性診断をやらないと、罰則はありますか？
A. EC加盟店に対して国が直接下す罰則はありません。 割賦販売法には経済産業大臣による改善命令の規定がありますが、EC加盟店にあたる2号事業者はこの改善命令の対象から除かれているためです。
ただし規律は、加盟店契約を結ぶカード会社（アクワイアラー）を通じて働きます。アクワイアラーは加盟店がカード情報を適切に管理できる体制かを調査する義務を負っており、基準に適合しないと判断されれば、加盟店契約にもとづいて是正を求められたり、カード決済を止められたりします。
Q. 脆弱性対策をしないままECサイトを運営すると、どうなりますか？
A. 脆弱性対策が不十分な状態で情報漏えい事故が起きると、カード会社の判断で決済を停止され、ECサイトでカード決済が使えなくなることがあります。売上の大半をカード決済に頼るECサイトにとって、これは営業停止に近い打撃です。
加えて、原因調査（フォレンジック）費用、再発防止策の導入、問い合わせ対応、顧客への通知や補償など、事故後の対応コストが重くのしかかります。脆弱性診断を含む事前の対策は、こうした決済停止と事故対応のリスクを下げるための投資として位置づけられます。
Q. 小規模なECサイトや個人事業主も脆弱性診断の対象ですか？
A. クレジットカード決済を扱っていれば、中小企業や個人事業主が運営するECサイトも対象です。 割賦販売法の管理義務は事業規模で線引きされておらず、「小規模だから対象外」という例外は設けられていません。
2025年4月以降は、新規に加盟店契約を結ぶ事業者だけでなく、すでに契約済みで運用中のEC加盟店も含めて脆弱性対策の実施が求められます。「まだ新しいサイトではないから関係ない」とはいえません。
Q. 決済代行やASPカートを使っていてもECサイトの脆弱性診断は必要ですか？
A. カード情報を自社で保持しない非保持化をしていても、Webサイト側の脆弱性対策の責任は残るため、診断は必要です。 クレジットカード・セキュリティガイドラインは、非保持化したEC加盟店でもWebサイトの脆弱性を突かれてカード情報が窃取される事故が起きているとして、保持・非保持にかかわらず対策を求めています。
リンク型やトークン決済でも、改ざんやWebスキミングでカード情報が抜き取られる経路は残ります。ASPカートやクラウド型ECプラットフォームを使う場合も、共通基盤は提供事業者が管理しますが、独自に追加したカスタマイズ部分や外部連携箇所は加盟店側の責任範囲として残るのが一般的です。提供事業者と責任の境目を確認しておきましょう。
Q. ECサイトの脆弱性診断は自社内で実施してもよいですか？
A. 自社内で実施すること自体は可能ですが、IPAのガイドラインは脆弱性診断を原則として第三者による実施と位置づけており、自社内診断は補完的な扱いです。
自社開発のチームがあり改修のたびに繰り返し点検したい場合は、CI/CDパイプラインに組み込める自動診断ツールを自社で回し、重要な改修や客観的な評価が必要な節目では外部の専門機関による手動診断を受ける、という組み合わせが現実的な落とし所になります。
Q. ECサイトの脆弱性診断は、どのくらいの期間と費用がかかりますか？
A. 費用は診断の方式で大きく分かれ、自動診断ツール（SaaS）は月額2万円前後から10万円程度、専門家への委託はWebアプリケーションの動的診断で30万円程度から、ペネトレーションテストで60万円程度からが公開料金にもとづく目安です。
期間は対象範囲や診断方法、サイトの規模によって変わるため、見積もりで確認するのが前提です。診断は実施して終わりではなく、見つかった脆弱性を危険度の高いものから修正するまでが一連の対応で、IPAのガイドラインでは危険度「高」は迅速に、「中」は3か月程度を目途に対策することが推奨されています。
脆弱性診断サービスの料金・資料を一括チェック
MCB FinTechカタログでは、ECサイトの脆弱性診断に使えるサービスの最新資料を無料で一括請求できます。診断対象や料金、ガイドライン・PCI DSSへの対応を比べて、自社に合う診断方法を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
