EC不正注文対策｜3Dセキュア・発送前確認・チャージバック対策

ECの不正注文対策で重要なのは、怪しい注文をすべてキャンセルすることではありません。 本人認証、不正ログイン対策、決済サービスのリスク判定、注文内容、配送先変更などを組み合わせ、発送前に確認が必要な注文だけを絞り込むことです。

不正注文を見逃すと、商品を発送した後に売上が取り消されるチャージバックなどによって、売上と商品を同時に失う可能性があります。 一方で、不正対策を厳しくしすぎると正常な購入者まで止めてしまいます。

EC不正注文とは？正常な注文に見えることがある

ECの不正注文とは、盗用されたカード情報や乗っ取られたアカウントなどを利用し、商品・サービス・金銭を不正に取得しようとする注文です。

代表的には、次のようなケースがあります。

• 盗用カード情報を使った注文
• 顧客アカウントを乗っ取った注文
• 短時間に多数のカードを試すカードテスティング
• 換金性の高い商品を大量に購入する注文
• 注文後に配送先を変更する不審な注文
• 返品・返金制度を悪用する注文
• 本人による購入でも後から未承認を主張するケース

厄介なのは、不正注文が決済時には正常な購入と同じように見える場合があることです。 そのため「決済が通った＝安全」とは判断せず、決済時と発送前の両方で対策します。

2026年のECで最初に整えるカードセキュリティ対策

日本では、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン6.1版」で、EC加盟店の不正利用対策としてEMV 3-Dセキュアの導入や適切な不正ログイン対策が示されています。

さらに、カード情報を自社システムやWebサイトで扱う場合には、カード情報保護やWebサイトの脆弱性対策も重要です。

EMV 3-Dセキュアとは？本人認証と不正検知を組み合わせる

EMV 3-Dセキュアは、オンラインカード決済で本人認証を行う仕組みです。 端末や取引情報などを使ったリスク判定が行われ、必要な場合にはワンタイムパスワードや生体認証などの追加認証が求められます。

3Dセキュアを導入することで不正利用リスクを下げられますが、すべての不正注文やチャージバックを防げるわけではありません。

そのため、実務では次の組み合わせで考えます。

EC不正注文で発送前に確認したい8つのサイン

1つのサインだけで不正と決めつけるのではなく、複数の情報が重なっているかを確認します。

注文を低・中・高リスクの3段階に分ける

不正注文対策を実務で回すには、「不正・正常」の2択にしない方が扱いやすくなります。

固定金額を他店からコピーしない

「5万円以上なら危険」「10点以上なら不正」といった共通の正解はありません。

数千円の商品を販売するショップと、高額家電や宝飾品を販売するショップでは通常注文が異なります。

自社の注文データから、次を確認してください。

• 通常の注文金額
• 通常の商品点数
• 高額注文の割合
• 新規・既存顧客の割合
• 決済失敗の発生状況
• チャージバック・不正注文の履歴

そこから「通常注文からどれだけ外れているか」を基準にします。

発送前の不正注文確認は5ステップにする

確認対象の注文を見つけたら、担当者ごとに判断が変わらないよう手順を固定します。

決済後の配送先変更は履歴を残す

正常な購入者でも配送先変更はあります。 そのため、変更依頼だけで不正注文とは判断しません。

ただし、次の条件が重なる場合は確認優先度を上げます。

• 初回購入
• 通常より高額
• 換金性の高い商品
• 決済直後の住所変更
• 決済サービスから警告が出ている

住所を変更した場合は、少なくとも次を注文履歴へ残します。

• 変更前住所
• 変更後住所
• 変更依頼日時
• 依頼方法
• 対応担当者

問い合わせメールだけを見て発送先を変更すると、後から注文時の情報との関係を追えなくなるため注意してください。

チャージバックとは？発送後でも売上を失う場合がある

チャージバックや不審請求の申し立てでは、カード保有者が取引を承認していない、商品が届いていないなどの理由で取引について異議が申し立てられる場合があります。

商品がすでに発送済みでも、ショップ側が必ず売上を保持できるわけではありません。

また、3Dセキュアで認証された取引では、不正利用に関する責任がカード発行会社側へ移る場合がありますが、すべてのチャージバックから保護されるわけではありません。 カードブランド、取引、認証結果などによって扱いが異なります。

チャージバック発生時の基本手順

1. 通知内容と提出期限を確認する
2. 対象注文を特定する
3. 理由コード・申し立て内容を確認する
4. 決済・本人認証記録を確認する
5. 発送・配達情報を確認する
6. 購入者とのやり取りを確認する
7. 必要資料を決済事業者へ提出する

証拠を提出しても、必ず加盟店側の主張が認められるとは限りません。 そのため、チャージバック対応と再発防止を分けずに行います。

チャージバックに備えて残しておきたい証拠

問題が起きてから資料を探すのではなく、通常注文の段階から必要な情報を残しておきます。

不審請求への反証では、認証記録だけでなく、配送追跡、配達証明、購入者とのやり取り、返品・返金記録などが必要になる場合があります。

ただし、必要以上に個人情報を長期間保管するのは避けます。 保存期間、アクセス権限、削除方法も社内ルールとして決めてください。

不正検知ツールは「リスク点数」だけで選ばない

決済サービスやECプラットフォームによっては、不正取引を自動判定する機能が提供されています。

比較するときは次を確認します。

• 取引ごとのリスク判定
• 判定理由
• 短時間の連続注文を検知できるか
• 3Dセキュアとの連携
• 独自ルールを設定できるか
• 手動レビューへ回せるか
• 取引を自動ブロックできるか
• 判断履歴を確認できるか

EC不正注文対策で見るKPI

不正注文が0件になったかだけでは、対策の良し悪しを判断できません。 正常な注文まで止めていないかも確認します。

不正利用だけを減らそうとしてルールを厳しくしすぎると、正規の購入者を拒否する「誤検知」が増える可能性があります。

不正損失と正常注文の拒否を両方見ることが重要です。

EC不正注文対策を整える7つの手順

EC不正注文の社内チェック表

担当者が発送前に確認できるよう、次のような表を用意しておくと判断差を減らせます。

「要確認」が1つあるだけで自動キャンセルするのではなく、複数の条件と決済サービスの判定を組み合わせて発送可否を決めます。

EC不正注文対策のFAQ

まとめ｜EC不正注文対策は決済時と発送前の両方で行う

EC不正注文対策は、怪しい注文をすべて拒否することではありません。 本人認証と不正検知でリスクを減らし、注意条件が重なった注文だけを発送前に確認する仕組みを作ることが重要です。

まず利用中のECカート・決済サービスを開き、3Dセキュアと不正利用対策の設定状況を確認してください。 そのうえで、発送前確認が必要な注文条件を自社の通常注文データから決めていきます。

参考にした公式情報

• 日本クレジット協会「クレジットカード・セキュリティガイドライン6.1版」
• 日本クレジット協会「加盟店に求められるセキュリティ対策」
• Stripe「不正注文とは？日本のECサイト事業者がすべき対策」
• Stripe「不正使用防止のベストプラクティス」

本人認証、不正判定、ライアビリティシフト、チャージバックの証拠・期限などは、カードブランドや決済事業者、取引条件によって異なる場合があります。 実際の運用では利用中の決済事業者と最新の公式ガイドラインを確認してください。