対策意識の向上とEMV3-Dセキュアの導入は進むが被害は増加

国内導入実績No.1※1の不正注文検知サービスを提供し、安全なネット通販のインフラづくりに貢献するかっこ株式会社（本社:東京都港区、代表取締役社長 : 岩井 裕之、証券コード：4166、以下 Cacco）は、EC事業者の不正被害や対策に関する実態調査を実施しましたので、その結果を公表いたします。

今回で4度目の実態調査になり、業界としての動向の変化を把握する一助になれば幸いです。
※1：株式会社東京商工リサーチ「日本国内のECサイトにおける有償の不正検知サービス導入サイト件数調査」2024年3月末日時点

■調査背景

　一般社団法人日本クレジット協会の発表※2によると、クレジットカード番号等の情報を盗まれ不正に使われる「番号盗用被害」が2023年度は過去最多の504億円にもなり、2022年から毎年約100億円ずつ被害が増加しており、今後も更なる被害増加が予測されます。このような状況を受け、2025年3月末までに全てのEC事業者に対しクレカ不正利用対策の1つである本人確認「EMV3-Dセキュア」の導入必須化やクレカ不正利用につながる不正アクセス対策等が求められるなど対策強化の動きもより活発化していくと思われます。
　こうした状況を踏まえ、Caccoは、EC事業者における不正注文や不正アクセスなどのセキュリティ意識や不正対策の実態について、独自に調査を実施いたしました。

※2：一般社団法人日本クレジット協会：「クレジットカード不正利用被害額の発生状況（2024年9月）」

■調査概要

• 調査時点：2024年11月
• 調査対象：EC事業者で不正注文対策に関わる担当者
• 有効回答数：550件
• 調査方法：ネット方式によるアンケート調査

※3：年商規模10億円未満：277件（50.4%）、10億円以上：273件（49.5%）

■調査結果

1. 87.6％が「2025年3月末までにEMV3-Dセキュアの導入が必須化されていること」を認知

認知度が前年比10％増加。

2. 不正利用対策の「線の考え方」認知率65.6％

クレジットカード・セキュリティガイドラインで提唱されている不正利用対策の「線の考え方」を知っている人は65.6％で、なかでも年商10億円以上の事業者は、71.4％が内容までよく理解している。

【被害の実態】

3. 不正ログイン被害、2社に1社が経験

なかでも直近1年被害に遭った割合は24.4％にのぼり、被害としては、不正決済が最も多く、続いて情報漏洩や不正送金などがある。

4. クレカ不正、悪質転売などの不正注文被害に遭ったことがある割合が41.8％に増加

2023年より7.4％増加しており、最も多いのはクレカ不正利用被害で52.6％。

5. 不正注文被害額は、年間25－50万円の被害が最も多い

不正注文被害額は年商10億円以上の事業者は、100万円以上の被害が全体の35.5％を占めており、年商10億円未満の事業者の約3倍だった。

【対策の現状】

6. 不正ログイン対策をしていない事業者はわずか3.8％

IPアドレス制限や本人確認などを実施している事業者が5割を超える。

7. 不正注文対策をしている事業者は77.8％

年商10億円以上の事業者は昨年同様8割を超える。

8. 不正注文対策としては、本人認証のEMV3-Dセキュアが最も多く62.1％

EMV3-Dセキュアの割合は、前年より15.8％から約4倍に急増した。

9. 不正注文対策としてEMV3-Dセキュアと属性行動分析の併用が37.6％に

前年比約9％増加。

■Caccoによる考察

1. EC事業者の意識の向上と課題
本調査では、EC事業者の不正注文対策への意識が着実に向上していることが明らかになりました。特に、2025年3月末までに導入が必須化されるEMV3-Dセキュアについて、認知率が87.6％と前年比10％の増加を記録しました。
また、不正利用対策の「線の考え方」の認知率が全体で65.6％、年商10億円以上の事業者では71.4％に達している点も注目されます。これにより、セキュリティ意識の向上が業界全体で進行している一方で、年商10億円未満の事業者においては、必須化された施策の浸透が充分ではない可能性が示唆されます。　

2. 不正被害の実態と増加傾向
調査結果から、不正被害が深刻な課題として浮かび上がっています。不正ログインによる被害を経験した事業者は全体の半数に及び、直近1年間に被害を受けた割合も24％と高水準です。また、不正注文被害を経験した事業者が41.8％に増加しており、2023年から7.4％の上昇が見られます。この傾向は、特にクレジットカード不正利用に起因するものが多くなっています。
さらに、年商10億円以上の事業者では、不正注文による被害額が100万円以上に達する割合が35.5％と、年商10億円未満の事業者の約3倍にのぼっていました。

3. 対策の現状と普及率
対策実施率が全体的に高いことは、業界全体の意識向上を示しています。不正ログイン対策を行っていない事業者はわずか3.8％で、IPアドレス制限や本人確認を実施している事業者が5割を超える点が注目されます。
また、不正注文対策の実施率も77.8％に達しており、特に年商10億円以上の事業者では昨年同様8割を超えています。さらに、不正注文対策としてEMV3-Dセキュアを導入している事業者の割合が前年の15.8％から4倍の62.1％に急増しており、今後のさらなる普及が期待されます。

■今後の展望と提言

調査結果をふまえると、不正被害の増加に対してさらなる対策強化が急務であることが明らかになりました。特に、年商10億円未満の事業者においては、EMV3-Dセキュアの導入必須化の浸透が引き続き重要な課題であることがわかりました。EC事業者が今後、意識していくべきこととしては、提唱されている不正利用対策の「線の考え方」にあるように、EMV3-Dセキュアの導入をもって対策が完了したと考えるのではなく、不正の標的にならないよう、複数の対策を組み合わせた重層的なセキュリティ強化を継続して実施することが不可欠だと考えられます。実際に、EMV3-Dセキュアと属性行動分析である不正検知システムの併用は2023年が28.0％だったのに対し、2024年は37.6％と増加傾向にあり、重層的な対策がより浸透していくことが期待されます。

本調査結果を引用いただく際は、「Cacco『EC事業者実態調査2024』調べ」と引用元としてご記載ください。