3-Dセキュア導入義務化後も不正被害は横ばい。「決済手数料値上げ」要請を受けた事業者が急増【不正被害・対策の実態調査2025】

不正検知やデータサイエンスサービスなどを提供するかっこは2025年12月24日、EC事業者の不正被害や対策状況をまとめた「EC事業者実態調査2025」の結果を公表した。

調査によると、2025年から本人認証「EMV3-Dセキュア」の導入が義務化されたものの、不正被害は減少せず横ばい傾向が続いている。さらに、クレジットカード会社から「決済手数料値上げ」の交渉を受けた事業者が前年比で約2倍に増加するなど、EC事業者にとって新たな負担の発生が浮き彫りになった。

EC事業者が最も懸念する不正リスク

EC事業者が最も懸念する不正リスクは「クレジットカード不正利用」で28.2％と最多。「アカウント乗っ取り」が25.3％、「生成AIを悪用した偽サイト等の詐欺」が14.8％と続いた。

背景には、クレジットカード番号盗用被害の拡大がある。日本クレジット協会によると、ネット通販などでカード番号を盗用される「番号盗用被害」は2024年度に513億5000万円と過去最多を更新。2025年に改訂された「クレジットカード・セキュリティガイドライン（6.0版）」では、「EMV3-Dセキュア」の導入義務化に加え、不正ログイン対策や脆弱（ぜいじゃく）性対策の強化が求められているが、不正利用被害額は増加傾向にある。

不正ログイン被害の経験率

不正ログイン被害の経験率は、2024年の54.8％から2025年は56.2％へと上昇した。年商10億円以上の事業者に限ると64.2％が被害を経験しており、企業規模が大きいほど狙われやすい傾向がある。

不正ログインの発覚経路として最も多かったのは「通常と異なる挙動」から気付くケースで52.1％、次いで「顧客からの問い合わせ」が46.0％。事業者側のモニタリングと顧客からの申告の両方で不正の兆候を捉えている実態が明らかになった。

不正注文被害の経験率

クレジットカード不正利用や悪質転売などを含む「不正注文被害」の経験率は38.0％。2024年の41.8％からは低下したものの、依然として高水準。年商10億円以上の事業者では45.1％、10億円未満では30.8％と、大手ほど被害を受けやすい傾向が続いている。被害種別では「クレジットカード不正利用」が63.8％と突出して多く、2024年の52.6％から大きく上昇している。

不正ログイン対策

不正ログイン対策は、「行っていない」と回答した事業者はわずか3.3％で、ほぼすべての事業者が何らかの対策を講じている。年商10億円以上の事業者では、未実施は0.1％とほぼゼロに近い。

不正注文対策

不正注文対策を実施している事業者は全体の69.6％。年商10億円以上では78.3％が対策をしている一方、10億円未満では60.9％にとどまる。企業規模によって対策の厚みに差がある実態も浮かびあがった。

不正注文対策の内容を見ると、最も多く採用されているのは本人認証「EMV3-Dセキュア」で2025年も65.2％と最多を維持。一方で、システム開発コストや運用負荷を理由に「今後も『EMV3-Dセキュア』は採用しない」とする事業者も一定数存在し、対策方針の二極化が進んでいる。

かっこは「不正ログイン対策は97％超、不正注文対策も約7割の事業者が実施しているにもかかわらず、被害経験率は横ばいで推移している」と指摘。単一の対策だけでは防ぎきれない巧妙な手口が増えていると分析している。

決済手数料値上げについて

今回の調査で、EC担当者にとって特にインパクトが大きいのが「決済手数料値上げ」の動きだ。

クレジットカードの不正利用被害が多いことを理由に、カード会社から決済手数料の料率交渉（値上げ要請）を受けた事業者は、2024年の27.6％から2025年は49.5％へと急増。前年比21.9ポイント増となり、EC事業者の約半数が値上げ交渉を経験したことになる。

かっこは、「EMV3-Dセキュア導入によってEC事業者の金銭的負担がゼロになるわけではなく、不正被害の多発を理由とした決済手数料の値上げ交渉が増加するという新たな課題が顕在化している」と指摘している。

かっこは最後に、「画一的なツールの導入で安心するのではなく、自社の規模やリスク状況に応じて、抜け穴を塞ぐ多面的かつ継続的な対策を講じることが、安全なEC運営の必須条件だ」とまとめている。

調査概要

• 調査時期：2025年11月
• 調査対象：EC事業者で不正注文対策に関わる担当者（年商規模10億円未満：276件（49.9%）、10億円以上：277件（50.1%））
• 有効回答数：553件　
• 調査方法：ネット方式によるアンケート調査