ECサイトのカード情報漏えいと加盟店の義務―割賦販売法３５条の１６，クレジットカード・セキュリティガイドライン６．１版及び開発委託先の責任（AI作成）

第１　本記事の対象と結論

１　対象

ECサイトを運営する事業者（EC加盟店）からクレジットカード情報が漏えいした場合に，加盟店がどのような法的義務を負い，サイトの開発・保守を委託した事業者との間で責任がどう分かれるかを扱う。
個人情報保護法の漏えい等報告にも触れるが，中心は割賦販売法とクレジットカード・セキュリティガイドラインである。

２　結論

① EC加盟店は，割賦販売法３５条の１６第１項２号の「クレジットカード番号等取扱業者」として，カード番号等の漏えい等の防止その他の適切な管理のために必要な措置を講じる義務を負う。
② クレジットカード・セキュリティガイドライン６．１版は，この義務の実務上の指針と位置付けられている。
同ガイドラインは，現在の主な漏えいを，カード情報を保持しない「非保持化」を実現したEC加盟店でWebサイトの脆弱性等を原因として窃取されるものとし，EC加盟店に「脆弱性対策」を求めている。
③ 「脆弱性対策」は，管理画面のアクセス制限と多要素認証，アップロードできるファイルの制限，脆弱性診断又はペネトレーションテストの定期実施等であり，「下記のすべての対策を講じる」ものとされている。
サイトの構築・運用を委託するときは，委託先にもこれを理解した構築・運用を求めることとされている。
④ 加盟店は経済産業大臣の改善命令の対象から除かれているが，加盟店契約を結ぶ事業者が加盟店の措置を調査し，基準に適合しないおそれがあれば，契約を結ばず，又は解除等の措置を講じる義務を負う。
⑤ ECサイトからのカード番号を含む個人データの漏えいは，個人情報保護法施行規則７条２号の報告対象事態の例としてガイドラインに挙げられており，人数にかかわらず報告対象となる。
⑥ 開発・保守の委託先が公的機関の周知していた基本的な対策を怠った場合，契約金額を上限とする責任制限条項が適用されないとした裁判例がある（東京地裁平成２６年１月２３日判決，前橋地裁令和５年２月１７日判決）。
他方で，加盟店側が危険を知りながら放置していた事情は過失相殺の理由となる。

３　基準日と資料

本記事は，令和８年１０月１０日時点で，e-Gov法令検索で取得した割賦販売法，割賦販売法施行規則，個人情報保護法及び同法施行規則の条文，クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン【6.1版】」（令和８年３月），個人情報保護委員会の資料並びに判決の全文に基づく。

第２　ECサイトのカード情報漏えいの現状

１　ガイドラインの認識

ガイドライン６．１版は，冒頭で次のように述べている（PDF９頁）。

> 「現在の主な情報漏えいは、非保持化を実現したEC加盟店においてWebサイトの脆弱性等を原因としてカード情報が窃取されているものである。」

カード情報を自社のサーバーに保存しない「非保持化」は，長く有効な対策とされてきた。
しかし，決済画面に入力される前のWebサイト自体が改ざんされると，保存していなくても入力された情報が窃取される。
そのため同ガイドラインは，６．０版から，EC加盟店に対し，カード情報を保持するかどうかにかかわらず，システムとWebサイトの「脆弱性対策」を講じることを指針対策としている。

２　個人情報保護委員会の指導事例

個人情報保護委員会の令和７年度年次報告（印字頁１０頁）は，不正アクセスによる漏えい等の原因として，「ＶＰＮ（Virtual Private Network）機器の脆弱性やＥＣサイトを構築するためのアプリケーション等の脆弱性が公開され対応方法がリリースされていたにもかかわらず、事業者が放置していたこと」，推測されやすいID・パスワード，データベースのアクセス制御の設定ミス等，安全管理措置に不備があったケースが多くみられたとしている。

３　AIを使った攻撃の報告

セキュリティ企業のGambit Securityは，令和８年９月２２日，攻撃者の作業用サーバーから回収したログを分析した中間報告を公表した。
同報告によれば，攻撃者は公開されているAIエージェントのツールを組み合わせ，令和８年９月１０日から１５日までの間に１０５件の攻撃を行い，少なくとも２７社に程度の差はあれ侵入し，２社から合わせて６０万件を超える有効なカード情報を取得していた。
攻撃者自身の集計では，完了した１０１件の調査にかかったAIの利用料は平均２５．４６ドルであった。
報告が示した侵入の例は，ログイン画面のメールアドレス欄のSQLインジェクションから，データベースに平文で保存されていたワンタイムパスワードを読み取って多要素認証を回避して管理画面に入り，拡張子を確かめないファイルアップロード機能を使ってサーバー上でプログラムを実行し，その後，クラウドに保管された認証情報を一括で取得してカード情報のデータベースに入り，暗号鍵を抜き出して暗号化されたカード番号の復号を確かめるものであった。

入口となったSQLインジェクションは，古くから知られた脆弱性である。
AIによって攻撃の費用と手間が下がり，これまで標的にならなかった中小のECサイトも，基本的な対策の欠落を突かれやすくなっていると考えられる。

第３　割賦販売法上の加盟店の義務

１　カード番号等の適切な管理（３５条の１６）

割賦販売法３５条の１６第１項は，「クレジットカード番号等取扱業者」は，経済産業省令で定める基準に従い，取り扱うクレジットカード番号等の「漏えい、滅失又は毀損の防止その他のクレジットカード番号等の適切な管理のために必要な措置を講じなければならない」と定めている。
同項２号は，クレジットカードによる販売・役務提供を行う販売業者・役務提供事業者，すなわち加盟店をこれに含めている。
同項は，カード会社（１号），決済代行業者等（３号・４号・７号），コード決済事業者等（５号・６号）も対象としている。

同条３項は，カード番号等の取扱いを委託した場合（二以上の段階にわたる委託を含む。）に，受託者に対する必要な指導その他の措置を講じることを求めている。

２　事故時の調査（施行規則１３２条）

割賦販売法施行規則１３２条は，３５条の１６第１項の基準として，漏えい等の事故の発生を防止するため必要かつ適切な措置を講じること（１号），事故が発生し又は発生したおそれがあるときは，直ちに状況を把握して拡大を防止し，状況に応じて速やかに，原因を究明するために必要な調査（事故に係るカード番号等の特定を含む。）を行うこと（２号），類似の事故の再発防止措置を講じること（４号）等を定めている。
委託先については，同規則１３３条が，事故時の連絡，調査及び結果の通知等を受託者に講じさせる措置を求めている。

３　ガイドラインの位置付け

ガイドライン６．１版の４－２は，経済産業省の「割賦販売法（後払分野）に基づく監督の基本方針」において，同ガイドラインに掲げる措置が，割賦販売法で義務付けられた漏えい等の事故及び不正利用を防止する措置の「実務上の指針」と位置付けられているとしている。
同ガイドラインに掲げる措置又はそれと同等以上の措置を講じていれば，割賦販売法の「必要かつ適切な措置」が講じられているとみなされる。
反対に，指針対策を講じていない加盟店は，必要な措置を講じていないと評価される危険を負う。

４　改善命令と加盟店契約による監督

割賦販売法３５条の１７は，経済産業大臣の改善命令の対象となるクレジットカード番号等取扱業者から，３５条の１６第１項２号の加盟店を除いている。
加盟店に対する監督は，加盟店契約を結ぶ事業者（クレジットカード番号等取扱契約締結事業者）を通じて行われる。

同法３５条の１７の８第１項は，契約締結事業者に，加盟店契約を結ぶ前の調査を義務付けている。
同条２項は，調査等で知った事項からみて，加盟店が講じようとする３５条の１６第１項若しくは３項又は３５条の１７の１５の措置が基準に適合せず又は適合しないおそれがあると認めるときは，「クレジットカード番号等取扱契約を締結してはならない」としている。
同条３項・４項は，契約後も定期的に又は必要に応じて調査し，同様のおそれがあるときは「契約の解除その他の経済産業省令で定める必要な措置」を講じることを求めている。

したがって，漏えいを起こしたEC加盟店にとっての実際の不利益は，カード決済の停止や加盟店契約の解除として現れることが多い。
ガイドラインも，カード情報が漏えいしたときは，速やかに契約するカード会社（アクワイアラー）又は決済代行業者（PSP）に連絡し，その要請に従って，漏えい元のネットワークからの切り離し，カード決済の一時停止，フォレンジック調査等を行い，決済の再開はカード会社の判断を求めるとしている（PDF３６頁）。

５　不正利用の防止（３５条の１７の１５）

加盟店は，漏えいの防止とは別に，割賦販売法３５条の１７の１５により，利用者によるカード番号等の不正な利用を防止するために必要な措置を講じる義務も負う。
ガイドライン６．１版は，EC加盟店の指針対策として，オーソリゼーション処理の体制整備，EMV3-Dセキュアの導入及び不正ログイン対策等を挙げている。

第４　EC加盟店に求められる「脆弱性対策」

１　５つの対策

ガイドライン６．１版は，EC加盟店が導入する「脆弱性対策」について，「下記のすべての対策を講じる」とし，次の５つを挙げている（PDF３５頁）。

同ガイドラインは，あわせて，最新の攻撃手口等の情報を踏まえ「不断に」システム及びWebサイトのセキュリティ対策の改善・強化を図ることを求めている。

２　委託先の管理

ガイドライン６．１版は，カード情報を取り扱う業務を外部委託する場合には，必要なセキュリティ対策を講じている事業者を選び，契約後も実施状況を確認することを求めている。
特に，「ECシステムやWebサイトの構築・運用を外部委託する場合は、当該委託先に対して、EC加盟店が行う「脆弱性対策」を理解した上で構築・運用を行うことを求める」としている（PDF３５頁）。

ECサイトの運営事業者の多くは，サイトの構築と保守を外部の事業者に任せている。
ガイドラインの「脆弱性対策」を加盟店の努力だけで満たすことは難しく，委託契約の仕様にそのまま書き込むことが現実的である（第６の３）。

３　SQLインジェクションの根本的な対策

情報処理推進機構（IPA）の「安全なウェブサイトの作り方」改訂第７版は，SQLインジェクションの根本的解決として，「SQL 文の組み立ては全てプレースホルダで実装する」ことを第一に挙げている（PDF１０頁）。
第６で扱う判決は，こうした公的機関の文書を，契約当時の技術水準を示す証拠として用いている。

第５　個人情報保護法の漏えい等報告

カード番号は，氏名等と結び付いて個人データとして管理されているのが通常である。
個人情報保護委員会の通則編ガイドライン３－５－３－１は，施行規則７条２号（不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等）の報告を要する事例として，「ECサイトからクレジットカード番号を含む個人データが漏えいした場合」を挙げている。
２号の事態には人数の要件がないから，１件でも報告対象となる。
不正アクセスによる場合は，同条３号（不正の目的によるおそれがある行為による漏えい等）にも当たる。

速報は知った時点から概ね３～５日以内が目安であり，確報は３号の事態では知った日から６０日以内である（施行規則８条，ガイドライン３－５－３－３・３－５－３－４）。
本人への通知も必要である（法２６条２項，施行規則１０条）。
決済画面の改ざんで入力中のカード情報が攻撃者に送られた場合は，ガイドラインが漏えいの事例として挙げる「ウェブサイトの入力ページが第三者に改ざんされ、ユーザーが当該ページに入力した個人情報が、当該第三者に送信された場合」（３－５－１－２事例６）に当たり得る。

第６　開発・保守委託先との責任分担

１　東京地裁平成２６年１月２３日判決

東京地裁平成２６年１月２３日判決（平成２３年（ワ）第３２０６０号）は，インテリア商材の通信販売会社が，ウェブサイトの受注システムの設計・保守等を委託した事業者に損害賠償を求めた事件である。
受託者が作ったアプリケーションにSQLインジェクションの脆弱性があり，顧客のクレジットカード情報が流出した。

(1)　受託者の債務

同判決は，契約の当時の技術水準に沿ったセキュリティ対策を施したプログラムを提供することが，当事者間で黙示的に合意されていたと認めた。
そのうえで，経済産業省が平成１８年２月にSQLインジェクション攻撃による大量の個人データの流出を受けて注意喚起をしていたこと，IPAが平成１９年４月にバインド機構の使用又はエスケープ処理等の対策が必要であることを明示していたことを挙げ，受託者は契約時点（平成２１年２月）で，バインド機構の使用又はエスケープ処理を施したプログラムを提供すべき債務を負っていたとして，債務不履行を認めた。

(2)　責任制限条項と重過失

基本契約には，受託者の損害賠償額を個別契約の契約金額の範囲内とする条項があった。
同判決は，この条項に一定の合理性があるとしつつ，受託者が「故意を有する場合や重過失がある場合（その結果についての予見が可能かつ容易であり，その結果の回避も可能かつ容易であるといった故意に準ずる場合）」にまで責任が制限されることは「著しく衡平を害するもの」であって当事者の通常の意思に合致しないとし，故意又は重過失がある場合には適用されないとした。
そして，SQLインジェクション対策がなければ流出が生じ得ることの予見は容易であり，対策に多大な労力や費用がかかることをうかがわせる証拠もなく結果の回避も容易であったとして，重過失を認めた。

(3)　過失相殺３割

他方で同判決は，発注者のシステム担当者が，顧客のクレジットカード情報がデータベースにあり，セキュリティ上は保持しない方がよいことを認識し，受託者から改修の提案を受けながら放置していたとして，３割の過失相殺をした。
認められた損害は，顧客への謝罪・問合せ対応等の費用と，カード決済ができなかった約４か月の売上損失（民事訴訟法２４８条により４００万円）等の合計３２３１万円余であり，その７割の２２６２万３６９７円の支払が命じられた。

２　前橋地裁令和５年２月１７日判決

前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）は，市の情報教育ネットワークのデータセンターの移管設計・構築を受託した事業者が，外部と内部のファイアウォールを全ての通信を許可する設定のまま引き渡し，不正アクセスによって多数の個人情報が流出した可能性が生じた事件である。
同判決は，ファイアウォールを適切に設定して通信制限を行う債務の不履行を認めた。
契約金額を限度とする責任限定の条項については，東京地裁平成２６年１月２３日判決を参照して，故意又は重過失がある場合には適用されないとし，提案依頼書から基本設計書まで外部からのアクセス制限を繰り返し確認していたのに不適切な設定のまま引き渡したことは「単純かつ明白なミス」であるとして，少なくとも重過失があると認めた。
認容額は，デジタルフォレンジックの委託料等を含む１億４２９８万円余であり，契約金額（１億０４８０万０５００円）を上回っている。
バックドアが仕掛けられた経緯について発注者の過失を認める証拠はないとして，過失相殺はしなかった。

３　契約実務への示唆

２つの判決からは，次のことがいえる。

① 公的機関が周知している基本的な対策（SQLインジェクション対策，アクセス制限の設定等）を怠った場合，責任制限条項に頼ることは難しい。
② どの対策が「当時の技術水準」に当たるかは争いになりやすい。
ガイドライン６．１版の「脆弱性対策」の各項目を，委託契約の仕様書に明記しておけば，この争いを事前に減らせる。
③ 発注者側も，カード情報を保持しない，改修の提案に応じる，といった判断を怠ると，過失相殺で負担がはね返る。
④ 脆弱性診断・ペネトレーションテストの実施時期，結果の報告，修正の期限及び費用負担を契約で決めておく。

第７　相談を受けたときの確認事項

漏えいが疑われるEC事業者から相談を受けたときは，次の順で確かめる。

① カード会社（アクワイアラー）又は決済代行業者への連絡を済ませたか。決済の停止の要否を相談したか。
② 漏えいの経路（サイトの改ざん，データベースからの窃取，管理画面への不正ログイン等）と期間が特定できているか。
③ 個人情報保護委員会への速報の期限（概ね３～５日）を過ぎていないか。
④ 本人への通知の方法と，問合せ窓口の体制。
⑤ 開発・保守の委託契約の仕様，責任制限条項，保守の範囲及び過去の改修提案の記録。
⑥ 脆弱性診断の実施記録と，ガイドラインの「脆弱性対策」の実施状況。

第８　関連記事

AIを使った開発での認可の設計ミスと委託契約は，AIで作った社内ツールの情報漏えい――Moltbook事件から見る認可設計，個人情報保護法の安全管理措置及び委託契約で扱っている。
委託先で漏えいが起きた場合の委託元の対応は，外部委託先で個人情報が漏えいした場合の委託元の対応―報告，本人通知及び委託先監督を参照されたい。
脆弱性診断を外部に委託するときの契約は，AIシステムの脆弱性診断・レッドチーミングを外部委託する契約――権限範囲，試験環境，停止条件，秘密保持及び脆弱性開示で扱っている。
本人に対する慰謝料の水準は，個人情報漏えいの慰謝料はいくらか―ベネッセ事件最高裁判決と裁判例の認容額を参照されたい。
個人情報保護委員会が示した不正アクセスの類型は，個人情報保護委員会が示した不正アクセス９類型―API，クラウド，グループ会社，個人領域及びログ管理で扱っている。
利用しているクラウド事業者が攻撃を受けた場合の報告義務は，クラウド事業者がランサムウェア被害を受けたとき，利用者に漏えい等報告義務はあるか―施行規則７条３号，滅失・毀損とバックアップで扱っている。

第９　出典

１　法令

e-Gov法令検索で令和８年１０月１０日に確認した。
割賦販売法３５条の１６，３５条の１７，３５条の１７の８，３５条の１７の１５
割賦販売法施行規則１３２条，１３３条
個人情報の保護に関する法律２６条
個人情報の保護に関する法律施行規則７条，８条，１０条
民事訴訟法２４８条

２　ガイドライン等

クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】」（令和８年３月）
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」３－５－１－２，３－５－３－１，３－５－３－３，３－５－３－４
個人情報保護委員会「令和７年度個人情報保護委員会年次報告」
情報処理推進機構「安全なウェブサイトの作り方」改訂第７版

３　報告

Gambit Security「AI Agents Are Hacking Online Retailers for $25 a Company」（令和８年９月２２日）

４　裁判例（裁判所HP掲載）

前橋地裁令和５年２月１７日判決（令和２年（ワ）第１４５号）

５　裁判例（判例秘書で確認）

東京地裁平成２６年１月２３日判決（平成２３年（ワ）第３２０６０号，判例秘書の判例番号　Ｌ０６９３０１８７）