ネット通販で買い物をするとき、クレジットカード情報を入力することに不安を感じたことはないでしょうか。
フィッシングメールに記載された偽サイトにアクセスしない、怪しいURLを開かないといった対策は、多くの人が日常的に意識していると思います。
しかし、注意しなければならないのは偽サイトだけではありません。
普段利用している正規のネットショップが第三者によって改ざんされ、クレジットカード番号やセキュリティコードを盗み取られる手口も存在します。
2026年11月には、大手家電量販店のエディオンが運営する公式通販サイトで不正アクセスが発生しました。当初の発表から事態が推移し、決済画面への不正プログラムの組み込み（Webスキミング）も判明しています。
このような被害は、1Passwordなどのパスワードマネージャーを利用しているだけでは防ぎきれません。
この記事では、正規のネットショップでもクレジットカード情報が盗まれる仕組みと、ネット通販の利便性を落とさずにカード情報を守る具体的な資産防衛術を解説します。
1. エディオンのECサイトで発生した情報漏洩と決済画面の改ざん
2026年11月、エディオンが運営する公式通販サイトにおいて、外部からの不正アクセスと情報漏洩の可能性が公表されました。
当初はサーバーに保存されていたログ情報の一部が漏洩した可能性があるという発表でしたが、その後の専門調査で、より深刻な事象が判明しています。
第1報ではクレジットカード番号の漏洩は否定されていた
2026年11月6日の第1報では、ECサイトのログファイルを保存していたサーバー領域の一部に、システムの脆弱性を突いた不正アクセスがあったと発表されました。
漏洩した可能性がある情報には、以下のようなものが含まれていました。
- 氏名
- メールアドレス
- 電話番号
- 生年月日
- 性別
- 住所
- お客様番号
- 注文番号や注文金額
この時点では、顧客データベース本体への侵入は確認されておらず、クレジットカード番号とログインパスワードは含まれていないと説明されていました。
第2報でクレジットカード情報と決済画面の改ざんが判明
しかし、11月9日の第2報では、新たな事実が公表されました。
まず、注文時にエラーが発生した際、入力されたクレジットカード情報がシステムログに一時記録されていたことが判明しました。
この対象は最大5件で、カード番号、有効期限、カード名義人、セキュリティコードが含まれていました。
さらに深刻なのが、ECサイトの決済関連処理に外部から不正なプログラムが組み込まれていたことです。
エディオンの発表によると、この不正プログラムは2026年11月4日19時過ぎから稼働していました。
対象となったのはPC環境で決済画面に新規入力されたクレジットカード情報で、最大556回分について第三者に漏洩した可能性を否定できないとしています。
一方、スマートフォンからの操作および決済入力は、この不正プログラムの対象外だったことが確認されています。
また、ログインIDとログインパスワードについても、最大1,141名分が漏洩した可能性が判明しました。
被害拡大を防止するため、エディオンは11月8日からECサイトなどのサービスを緊急停止し、メンテナンスを実施しています。
この事件で重要なのは、クレジットカード情報を自社サーバーに保存しない仕組み（トークン決済や非保持化）を導入していても、決済入力画面そのものが改ざんされれば情報が盗まれる可能性があるという点です。
近年多発している企業の情報漏洩や不正アクセスの全体像については、以下の記事でも詳しくまとめています。
2. 正規のネットショップでもクレジットカード情報が盗まれる仕組み
今回のエディオンの事件で問題になったのが、Webスキミング（デジタルスキミング）と呼ばれるサイバー攻撃の手口です。
Webスキミングとは、ECサイトなどのWebサーバーや決済スクリプトに不正なプログラムを仕込み、利用者がブラウザ上で入力したクレジットカード番号やセキュリティコードを、送信ボタンを押した瞬間に攻撃者のサーバーへ横取り送信する攻撃です。
実店舗のATMやカードリーダーに物理的な読み取り機を取り付ける従来のスキミングに対して、Web上で完結することからWebスキミングと呼ばれます。
一般的なフィッシング詐欺とは、攻撃の仕組みが根本から異なります。
フィッシング詐欺とWebスキミングの違い
フィッシング詐欺では、攻撃者が本物に似せた偽サイトを作成し、メールやSMSから利用者を偽サイトへ誘導します。
一方、Webスキミングでは、利用者がアクセスしているのは間違いなく本物の公式ネットショップです。本物のサイトに組み込まれた不正スクリプトによって、ブラウザ上で情報が盗み取られます。
それぞれの違いを整理すると、次のようになります。
| 比較項目 | フィッシング詐欺 | Webスキミング |
|---|---|---|
| 利用するサイト | 偽サイト（精巧なコピー） | 正規サイト（本物のショップ） |
| URL | 偽のドメインや不審な文字列 | 本物の公式URL |
| 攻撃の起点 | 偽のログイン・決済画面へ誘導 | 本物の決済入力フォームに不正コードを挿入 |
| 見た目での判別 | ドメイン等の確認で見分けられる場合がある | 画面の見た目や動作では判別が極めて困難 |
| パスワード管理ツール | 偽ドメインを検知して自動入力を防止 | 正規ドメインのため検知できず入力される |
つまり、どれだけ注意深い人であっても、ブラウザの画面表示やURLを見るだけでWebスキミングを見抜くことはほぼ不可能です。
HTTPS対応の鍵マークがあっても安全とは限らない
ネットショップを利用する際、ブラウザのアドレスバーに鍵マーク（HTTPS）が付いているか確認している人は多いでしょう。
HTTPSは、利用者のパソコンとWebサーバー間の通信を暗号化し、経路途中での盗聴や改ざんを防ぐためのプロトコルです。
しかし、HTTPSは通信経路の安全性を担保するものであり、Webサーバー上にあるプログラム自体の安全性を保証するものではありません。
正規のWebサイトが改ざんされた場合、HTTPSで保護された正規の暗号化通信の中で、不正プログラムがブラウザ上に読み込まれて動作します。
そのため、HTTPS対応だから安全であるという判断は通用しません。
3. 1Passwordなどのパスワードマネージャーでも防げない理由
パスワードマネージャーを利用している人にとっても、今回の手口は注意が必要です。
1PasswordやBitwardenなどのパスワードマネージャーは、フィッシング詐欺への対抗手段として極めて有効です。
正規サイトのURLをあらかじめ登録しておけば、偽サイトにアクセスした際にドメインが一致しないため、ログイン情報やカード情報が自動入力されません。
しかし、正規サイトそのものが改ざんされている場合は事情が異なります。
正規サイトの改ざんはURL照合では検知できない
パスワードマネージャーは、ブラウザが開いているURL（FQDN）と、保管庫に登録されたURLが完全に一致しているかを照合して自動入力を実行します。
例えば、以下のようにドメインが異なる偽サイトであれば、照合に失敗して自動入力がブロックされます。
- 正規サイト：example.com
- 偽サイト：example-security-login.com
しかし、今回の事案のように正規サイトの決済画面に不正コードが仕込まれている場合、アクセスしているURLは完全に本物の正規ドメインです。
そのため、パスワードマネージャーは正規サイトと判定し、ユーザーが許可すればカード番号やセキュリティコードを通常通りフォームへ自動入力します。
入力された情報は、フォーム送信時または入力中に不正スクリプトによって即座に攻撃者サーバーへ送信されてしまいます。
パスワードマネージャーは偽サイトへの誤入力を防ぐための必須ツールですが、改ざんされた正規サイトの内部で動く不正プログラムまで検知・排除する仕組みではないことを理解しておく必要があります。
4. ネット通販でクレジットカード情報を守る5つの防衛策
では、正規サイトの改ざんからクレジットカード情報を守るにはどうすればよいのでしょうか。
クレジットカードを使わずに代金引換や銀行振込を利用する方法もありますが、手数料がかかるうえにポイント還元や手軽さが失われるため、現実的な運用とはいえません。
利便性とポイント還元を維持しながら、クレジットカード番号の漏洩リスクを最小化する具体的な対策を5つ紹介します。
対策1：Apple PayやAmazon PayなどのID決済を活用する
最も確実で効果的な防衛策は、ネットショップの決済画面にクレジットカード番号を直接手入力しないことです。
代表的な決済手段として、Apple PayやAmazon Payがあります。
Apple Payの仕組みと安全性
Apple Payは、iPhoneやMacなどに登録したクレジットカードを使って決済を行うサービスです。
オンライン決済において、Apple Payは加盟店側に実際のクレジットカード番号を一切渡さない仕組みを採用しています。
カード番号そのものではなく、デバイスごとに発行される固有のデバイストークンと、決済ごとに生成される1回限りの動的セキュリティコードを使用して処理されます。
そのため、仮にECサイトの決済画面が改ざんされていても、攻撃者に本物のクレジットカード番号やセキュリティコードが盗まれることはありません。
利用手順は以下のとおりです。
- iPhoneのウォレットアプリを開く。
- 普段使っているクレジットカードを登録する。
- Apple Pay対応のネットショップで購入画面へ進む。
- 支払い方法でApple Payを選択する。
- Face IDやTouch IDで生体認証を行って決済を完了する。
Amazon Payの仕組みと安全性
Amazon Payは、Amazonアカウントに登録されている支払い情報や配送先住所を利用して、他のECサイトで買い物ができる決済サービスです。
Amazon Payを利用する場合、購入先のネットショップにはカード番号は伝わらず、Amazonの堅牢な決済インフラ内で処理が行われます。
購入先の入力フォームにカード番号を打ち込む必要がないため、Webスキミングの攻撃対象になりません。
利用手順は以下のとおりです。
- Amazon Pay対応のネットショップでカートに進む。
- 決済方法でAmazon Payを選択する。
- Amazonアカウントでログインする。
- 登録済みのカードと配送先を指定して注文を確定する。
対策2：Revolutなどの使い捨てバーチャルカードを利用する
ID決済に対応していないショップで買い物をする場合は、バーチャルカードの活用が効果的です。
バーチャルカードとは、プラスチックカードを発行せず、アプリ上でカード番号・有効期限・セキュリティコードを発行するデジタルカードです。
中でもRevolut（レボリュート）が提供している使い捨てバーチャルカードは、オンラインショッピングの防衛に非常に優れています。
使い捨てバーチャルカードのメリット
Revolutの使い捨てバーチャルカードは、1回の決済が完了するたびにカード番号が自動的に破棄され、即座に新しい別の番号が発行されます。
万が一、利用したECサイトの決済画面が改ざんされてカード番号が盗まれたとしても、その番号は決済完了と同時に無効化されているため、第三者が後から不正利用することは不可能です。
利用手順は以下のとおりです。
- Revolutアプリを開く。
- カード画面から使い捨てバーチャルカードを選択する。
- アプリに表示されたカード番号、有効期限、セキュリティコードを確認する。
- ネットショップの決済画面に入力して決済を行う。
- 決済完了後、アプリ上で古いカード番号が破棄され、新しい番号が自動生成される。
なお、使い捨てバーチャルカードには注意点もあります。
毎月引き落とされるサブスクリプション料金や、ホテルのデポジットなど、後から継続的な請求や返金処理が発生する用途には利用できません。
初めて利用するネットショップや、セキュリティに少しでも不安があるサイトでのスポット購入に限定して使うのが賢い方法です。
対策3：クレジットカードの即時利用通知を設定する
どれだけ自衛していても、不正利用のリスクを完全にゼロにすることはできません。
そこで重要になるのが、不正利用が発生した際に数分以内で気づける監視体制です。
多くのカード会社では、カード決済が行われた瞬間にメールやスマートフォンのプッシュ通知で知らせてくれるサービスを提供しています。
代表的なサービスは以下のとおりです。
- 三井住友カード：ご利用通知サービス（Vpassアプリのプッシュ通知）
- JCBカード：カードご利用通知（MyJCBアプリのプッシュ通知）
- エポスカード：エポスアプリの利用通知
- 楽天カード：カード利用お知らせメール（速報版）
身に覚えのない決済通知が届いた瞬間にカード会社へ連絡すれば、被害の拡大を最小限に食い止めることができます。
対策4：カード会社のネット決済利用制限を活用する
普段使っているメインカードの安全性を高めるもう一つの方法が、ネットショッピングの利用制限設定です。
一部のカード会社では、スマートフォンのアプリからカードの利用範囲を細かく制限できるセキュリティ機能を提供しています。
- 三井住友カード：あんしん利用制限サービス（ネットショッピングの一時制限、海外利用制限）
- JCBカード：My安心設定（ネットショッピングの利用制限）
普段はネットショッピングの利用設定をオフにしておき、自分がネット通販で買い物をする直前だけアプリでオンにし、買い物が終わったら再びオフに戻すという運用が可能です。
この設定をしておけば、仮に過去の利用からカード番号が流出していたとしても、攻撃者がネット上でカードを不正利用しようとした時点で決済が自動ブロックされます。
少し手間に感じるかもしれませんが、高額な利用限度額を設定しているメインカードを守る手段として極めて有効です。
対策5：パスワードの使い回しを防ぎ二段階認証を有効化する
Webスキミングの攻撃では、カード番号だけでなく、ECサイトのログインIDやパスワードも同時に盗み取られるケースが多くあります。
実際、今回のエディオンの事案でも、最大1,141名分のログインIDとパスワードが漏洩した可能性が公表されています。
もし同じメールアドレスとパスワードの組み合わせを他の金融機関や通販サイトでも使い回していた場合、芋づる式に他のサービスへ不正ログインされる二次被害につながります。
- パスワードマネージャーを利用して、サイトごとに複雑でランダムなパスワードを自動生成する。
- ログイン画面には可能な限りパスキー（FIDO2）や二段階認証（認証アプリやSMS）を設定する。
- パスワードマネージャー自体のマスターパスワードは強固なものを設定する。
パスワードマネージャーはWebスキミングそのものは防げませんが、不正アクセスによる二次被害の連鎖を断ち切るために不可欠な防波堤です。
個人情報流出時のアカウント防衛手順については、以下の記事で詳しく解説しています。
5. クレジットカードが不正利用された場合の対処手順
もしクレジットカードが不正利用されてしまった場合、慌てずに以下の初動対応を行いましょう。
不正利用発覚時の初動対応
- カード会社の紛失・盗難受付窓口、または不正利用デスクへ電話連絡する。
- 身に覚えのない取引を特定し、カードの利用停止と再発行手続きを依頼する。
- 不正アクセスを受けた可能性のあるネットショップのアカウントを確認し、パスワードを変更する。
- 同じパスワードを使い回していた他の主要サービス（Google、Amazon、Apple、銀行等）のパスワードも変更する。
不正利用の補償制度と期限の注意点
日本の主要なクレジットカード会社には、第三者による不正利用が認められた場合に損害を補償する制度が用意されています。
しかし、補償制度があるからといって無条件に全額が返金されるわけではありません。各カード会社の会員規約には、以下のような条件や免責事項が定められています。
- 補償の申請期限：多くのカード会社では、被害の届け出日から遡って60日以内の不正利用が補償対象となります。明細の確認を怠り、60日を過ぎてから発覚した被害は自己負担になるおそれがあります。
- 暗証番号を用いた取引：ICチップの暗証番号（PIN）が入力された取引は、原則として本人の重大な過失とみなされ、補償の対象外となるケースがあります。
- 家族や知人による利用：カードの管理不十分による同居家族等の利用は補償されません。
- 調査への非協力や遅延：カード会社や警察への被害届提出を怠った場合、補償が拒否されることがあります。
特に重要なのは60日の期限ルールです。毎月必ずカードのWEB明細を確認する習慣を身につけておきましょう。
毎月のカード明細チェックと支出の見直しについては、以下の記事でも詳しく取り上げています。
6. 使っていないネットショップの会員登録は定期的に整理する
今回の事件を機に見直したいのが、過去に一度だけ利用したまま放置しているECサイトのアカウントです。
ネット通販を利用していると、限定品を購入するためだけに新規会員登録を行い、その後何年間も利用していないサイトが増えていきがちです。
利用していないアカウントであっても、サイト側のサーバーには氏名、住所、電話番号、過去の注文履歴、保存されたカード情報などが残り続けます。
サーバーが脆弱性を突かれて攻撃を受けた場合、何年もアクセスしていないサービスから自分の個人情報が流出することになります。
- 過去1年以上利用していないネットショップは退会（アカウント削除）を検討する。
- 登録カード情報の保存機能を解除し、不要なカード情報は削除しておく。
- 届くメールマガジンを配信停止にし、使っていないサービスを洗い出す。
アカウントの削除を行っても、過去のバックアップや税法上の保存義務により一定期間データが残るケースもありますが、将来にわたる攻撃リスクを減らす有効な整理術です。
まとめ：クレジットカードの利便性を活かしつつ番号の露出を最小化する
今回のエディオンの事件は、大手の正規ネットショップであっても、Webサイトの改ざんによってクレジットカード情報が盗まれるリスクがあることを示しました。
フィッシング詐欺対策としてパスワードマネージャーを使っていても、正規サイト上のスクリプト改ざんまで検知することはできません。
だからといって、ネット通販の利便性やポイント還元を諦めて現金払いや銀行振込に戻る必要はありません。
今回紹介した対策を整理すると以下のようになります。
| 対策 | 主な役割 | 実践のしやすさ |
|---|---|---|
| Apple Pay・Amazon Pay | 加盟店にカード番号そのものを渡さない | 容易（対応店舗で選択するだけ） |
| 使い捨てバーチャルカード | 決済ごとに番号が無効化され悪用を防ぐ | 中程度（Revolutアプリの導入が必要） |
| 即時利用通知 | 不正利用を数分以内に察知する | 容易（カード会社アプリで通知オン） |
| ネット決済の利用制限 | 普段はネット決済を遮断し不正利用を阻止 | 中程度（買い物時のみ解除する運用） |
| パスワード管理と二段階認証 | アカウント情報の漏洩による二次被害を防ぐ | 必須（1Password等で個別設定） |
| 不要なアカウントの退会 | サーバー侵害時の個人情報露出を減らす | 定期的な見直しで実施 |
個人的には、普段のネット通販ではApple PayやAmazon Payが利用できるショップを優先し、対応していない初めてのショップではRevolutの使い捨てバーチャルカードを利用する形を取り入れています。
さらに、メインカードの即時利用通知を設定しておけば、万が一の際にも60日の補償期限に遅れることなく即座に対処できます。
クレジットカードを使わないことだけが安全策ではありません。
カード番号をどこに渡し、どのようにコントロールするのかを意識して設計することが、これからのキャッシュレス社会で資産を守る確実な防衛策になります。
次に読むおすすめ記事
参考情報
- 株式会社エディオン：当社サーバーへの不正アクセスに関するお詫びとお知らせ（第1報）
- 株式会社エディオン：当社サーバーへの不正アクセスに関するお詫びとお知らせ（第2報）
- Apple Japan：Apple Pay 公式仕様とセキュリティ
- Amazon Japan：Amazon Pay 公式ガイド
- Revolut Technologies Japan：バーチャルカードの特徴と使い方
- Revolut Technologies Japan：使い捨てバーチャルカードの利用上の制限事項
- 三井住友カード：カードご利用通知サービス・あんしん利用制限サービス
- JCBカード：My安心設定（ご利用通知・利用制限機能）
