ネット通販でクレジットカード情報が漏れる事故が続き、Xでは「決済サービスの専用画面で払えば、ショップにカード番号が渡らないので安全」という投稿が広がっています。当記事では、この主張がどこまで正しいかを、経済産業省・IPA・日本クレジット協会などの公式資料で確かめ、買い物客ができる対策をまとめます（2026年10月29日時点）。
ネット通販でカード情報が漏れるのはなぜ？公的機関が説明する手口
ショップのサイトが改ざんされ、入力した情報を抜き取られる
IPA（情報処理推進機構。国のセキュリティの専門機関）は、カード情報が盗まれる手口として、サイトの管理側への不正アクセスや、偽サイトでのだまし取りと並べて、次の手口を挙げています。
正規のウェブサイトが改ざんされていて、入力された情報を窃取される
出典：IPA「情報セキュリティ10大脅威 2026 個人編ハンドブック［一般利用者向け］」
これは「ウェブスキミング」と呼ばれます。IPAの解説書（2025年版）では、ショップのサイトの弱点を突いて本物のサイトの決済画面を改ざんし、そこに入力したカード情報を盗む手口と説明されています。警察庁も、サイトに不正なプログラムを仕込んで、入力されたカード情報や個人情報を盗む手口が確認されているとしています。
>>ウェブスキミング対策（警察庁 サイバー警察局 公式・PDF）
セキュリティコードまで漏れるのはなぜ？
ショップがセキュリティコードを保存していなくても、改ざんされた画面では、打ち込んだ内容がそのまま抜き取られます。IPAの解説書でも、決済フォームの改ざんが原因で、セキュリティコードも漏えいした可能性があると公表された事例が紹介されています。
>>情報セキュリティ10大脅威 2025 個人編 解説書（IPA 公式・PDF）
ネット通販の日本のルール：ショップはカード情報を「持たない」、決済は「本人認証」へ
ショップに求められている「非保持化」とは？
割賦販売法（クレジット取引のルールを定めた法律）では、カードを扱うお店にカード番号などの適切な管理が義務づけられています。その実務の指針が、クレジット取引セキュリティ対策協議会（事務局：日本クレジット協会）の「クレジットカード・セキュリティガイドライン」です。
ガイドラインでは、ネット通販のショップは「カード情報を保持しない（非保持化）」か、国際基準のPCI DSSに準拠することが求められています。経済産業省の資料では、非保持化は自社の機器・ネットワークでカード情報を「処理しない・保存しない・通過させない」状態で、多くのショップが選んでいます。
>>クレジットカード・セキュリティガイドライン（日本クレジット協会 公式）
ネットの支払いには「EMV 3-Dセキュア」
EMV 3-Dセキュアは、カード会社が「本当に本人の買い物か」を確かめる本人認証のしくみです。ガイドライン6.0版（2025年3月）では、ネット通販のショップに、EMV 3-Dセキュアを導入し、原則として決済のたびに認証することが加わりました（カードを登録するときに認証する運用なども認められています）。
ガイドラインでは、カード会社が必要に応じて1度だけ使える「ワンタイムパスワード」の入力などを求めると説明されています。日本クレジット協会は、利用のたびに必ず入力が必要になるわけではないとしています。
>>クレジットカード・セキュリティガイドライン6.0版 改訂ポイント（日本クレジット協会 公式・PDF）
不正利用の被害額は2025年で510.5億円（日本クレジット協会）
日本クレジット協会の統計（2026年9月7日公表）による、クレジットカード不正利用の被害額です。
| 期間 | 不正利用の被害額 | うち番号盗用 |
|---|---|---|
| 2024年 | 555.0億円 | 513.5億円（92.5%） |
| 2025年 | 510.5億円 | 475.4億円（93.1%） |
| 2026年1月〜6月 | 221.3億円 | 206.1億円（93.1%） |
番号盗用は、盗まれたカード番号などが使われる被害です。2025年は過去最多だった2024年より減りましたが、被害の9割以上を番号盗用が占める状態が続いています。この統計に、ネット通販とお店の内訳はありません。
>>クレジットカード不正利用被害の発生状況（日本クレジット協会 公式・PDF）
「決済サービスの画面で払えば安全」はどこまで正しい？公式資料で検証
ショップにカード番号が渡らない、は基本的にそのとおり
PayPalのような決済サービスや、Apple Payなどのスマホ決済は、ショップにカード番号を渡さないしくみを公式に説明しています。
PayPalでは、お客さまの財務情報全体がマーチャントに開示されることはありません。
出典：PayPal「セキュリティと買い手保護」
Appleからもデバイスからも実際のカード番号が送信されることはありません。
出典：Apple サポート「Apple Payのセキュリティとプライバシーの概要」
Stripeも日本語のガイドで、ショップのサーバーを通さずに支払い情報を直接Stripeに送れると説明しています。ショップの中にカード番号が保存されなければ、ショップのデータが盗まれても、自分のカード番号は含まれないことになります。
ただし、ショップのページが改ざんされると偽の画面にすり替えられることも
一方で、経済産業省の検討会資料は、非保持化だけでは防げない漏えいがあると指摘しています。
クレジットカード番号等を保持していなくとも、ECサイト自体が改ざんされることで、不正ファイルの設置や偽の決済サイトへの誘導でクレジットカード番号等が流出。
出典：経済産業省「クレジットカード番号等の漏えい防止の強化」（2022年9月13日・検討会資料）
同じ資料では、ショップのページから決済代行会社の画面へ移る方式でも、ショップ側のリンク先が書き換えられ、偽の決済画面に誘導される例が図で示されています。Stripeのガイドも、外部のプログラムをページに読み込むと、その提供元が侵害されたときに攻撃者がページで任意のコードを動かせるおそれがあるとしています。
検証の結論：「守られやすくなる」が「絶対に安全」ではない
ガイドライン6.0版も、非保持化に一定の効果はあった一方で、サイトの改ざんなどによる漏えいが起きているとしています。つまり、決済サービスで払うのは有効な対策ですが、入力画面そのものが偽物にすり替えられた場合までは防げない、と考えておきましょう。
▶ 関連記事：セキュリティ注意喚起まとめ【最新順】国家サイバー統括室・IPA・JPCERTの発表
ネット通販で買い物客ができるクレジットカード漏洩対策6つ
IPAと日本クレジット協会の案内から6つにまとめました。
1. 決済サービスやスマホ決済を使い分ける
決済サービスやApple Payが使えるショップでは、カード番号を直接打ち込まずに払えます。万能ではありませんが、ショップにカード番号を残さない方法として役立ちます。
2. EMV 3-Dセキュアを登録する
日本クレジット協会によると、本人認証サービスはカード会社のサイトやアプリで事前の登録が必要です。登録していないカードは使えないネットサービスもあるため、早めに済ませておきましょう。
>>本人認証サービスについて知ろう（日本クレジット協会 公式）
3. 利用通知をオンにして、明細をこまめに見る
カード会社の利用通知サービスは、使うたびにメールやアプリで知らせてくれます。覚えのない利用を見つけたら、すぐカード会社に連絡するよう案内されています。
>>クレジットカード不正利用5つの対策（日本クレジット協会 公式）
4. 利用限度額を抑え、カード情報を登録しすぎない
IPAは、利用限度額を抑える、あまり使わないサービスにはカード情報を保存しない、使っていないカードは解約を検討する、を挙げています。ネット用のカードを1枚に決めて限度額を低めにすると、被害を小さくしやすくなります。
5. いつもと違う画面では入力しない
IPAは、ふだん出ない画面やポップアップでは入力しないよう呼びかけています。カード情報は公式サイト・公式アプリから入力しましょう。
6. カード会社を名乗る連絡は公式の窓口で確かめる
日本クレジット協会は、カード会社の確認連絡を装ったフィッシング詐欺に注意するよう呼びかけ、カード会社が確認のためにカード番号などの入力を求めることはないとしています。同協会は、届いたメールやSMSのリンクからはアクセスせず、公式アプリや、ブックマークした公式サイトを使うよう案内しています。カードに書かれた問い合わせ先など、自分で調べた窓口で確かめましょう。
>>利用明細確認に加えてできること（日本クレジット協会 公式）
▶ 関連記事：エックスサーバーを装うフィッシングメールに注意！ドメイン期限切れの偽メールの見分け方
【まとめ】ネット通販では決済サービスが有効、それでも明細チェックは欠かせない
決済サービスで払うとショップにカード番号が渡らないのは基本的にそのとおりですが、ショップのページが改ざんされると偽の画面にすり替えられる手口もあります。EMV 3-Dセキュアの登録と利用通知の設定を、この機会にチェックしておきましょう。
※2026年10月29日時点・経済産業省、IPA、警察庁、日本クレジット協会（クレジット取引セキュリティ対策協議会）、PayPal、Stripe、Appleの公式資料より。本記事は特定の決済サービスやカードをすすめるものではありません。
AIの技術・サービス・ルールは変化が速く、本記事の予測や見通しは将来を保証するものではありません。各サービスの仕様・料金は公式サイトで最新の情報をご確認ください。本記事の情報は2026年10月29日時点のものです。
