ECサイトでカード情報漏えい発生──PFI調査を進めるうえでの5つのステップとは

ECサイトを運営していると、クレジットカード情報の漏えい事故は対岸の火事ではありません。2024年のクレジットカード不正利用被害額は555億円に達し、番号盗用による被害は拡大の一途をたどっています。漏えいが発覚した場合、速やかにPFI（PCI Forensic Investigator）によるフォレンジック調査を実施しなければ、カード決済の再開ができません。

FRONTEOは20年以上にわたりフォレンジック調査のパイオニアとして11,000件以上の調査実績を持ち、日本国内で5社のみのPFI認定を受けた、数少ない調査機関となっています。ECサイト運営者が直面する緊急事態に迅速に対応してきました。この記事では、カード情報漏えいが発覚してから決済再開までの具体的な手順を5つのステップで解説します。

ECカード情報漏えい時のPFI調査を進める5つのステップ

1. クレジットカード決済の停止と証拠保全：被害拡大を防ぐため、決済を即時停止しシステムの状態を維持する
2. PFI認定フォレンジック調査機関への依頼：国際基準を満たすPFI認定機関に調査を依頼する
3. 漏えい原因と被害範囲の特定調査：不正アクセスの経路、漏えい期間、影響を受けた件数を特定する
4. 調査報告書の作成と関係各所への提出：カード会社、決済代行会社、個人情報保護委員会へ報告書を提出する
5. 再発防止策の実施と決済再開：セキュリティ対策を講じ、カード会社の承認を得て決済を再開する

1. クレジットカード決済の停止と証拠保全

カード情報漏えいの疑いが発生したら、最初にすべきことは被害の拡大防止です。決済代行会社からの連絡、自社での発見、顧客からの通報など、発覚の経緯にかかわらず、即座にクレジットカード決済を停止してください。証拠保全は調査の成否を左右する重要なステップです。対象のサーバーやシステムに対して、以下の操作は絶対に避けてください。

• root権限による各種操作
• サーバーのシャットダウンや再起動
• ログやデータの削除
• アンチウイルスソフトのインストールや実行

これらの操作を行ってしまうと、フォレンジック調査で漏えいの範囲を正確に特定できなくなる可能性があります。その結果、考えられる最大件数を漏えい範囲として扱わざるを得なくなり、補償額が膨らむリスクがあります。

2. PFI認定フォレンジック調査機関への依頼

クレジットカード情報漏えい事案では、調査を担当できる機関が限られています。PCI SSC（Payment Card Industry Security Standards Council）が認定したPFI（PCI Forensic Investigator）認定機関に依頼する必要があります。日本国内でPFI認定を受けている調査機関は、FRONTEOを含め、2025年4月時点で5社のみです。FRONTEOは2025年にPFI認定を取得し、24時間以内の着手が可能な体制を整えています。

調査機関選定のポイントは以下の3点です。

• PFI認定の有無（必須条件）
• 調査着手までのスピード
• 報告書作成から再開支援までのワンストップ対応力

3. 漏えい原因と被害範囲の特定調査

PFI認定機関による調査では、以下の項目を明らかにします。

• 不正アクセスの侵入経路
• システムの脆弱性と攻撃手法
• 漏えいが発生していた期間
• 影響を受けたカード情報の件数
• 漏えいしたデータの種類（カード番号、有効期限、セキュリティコードなど）

FRONTEOでは自社開発AI「KIBIT」を活用し、大量のデータから関連性の高い証拠を効率的に発見します。削除されたデータの復元や、暗号化されたファイルの解析も可能です。調査期間は、対象となるサーバー数やデータ量によって異なりますが、一般的にデータ保全に数時間から数日、詳細な解析と報告書作成に2週間から1カ月程度かかります。

4. 調査報告書の作成と関係各所への提出

調査完了後は、フォレンジックレポートを作成し、関係各所へ提出します。報告先と報告内容は以下のとおりです。

■決済代行会社・カード会社への報告

調査結果をもとに漏えい期間について合意を形成します。合意後、該当期間内にカード決済を行った顧客のリストが決済代行会社から提供されます。

■個人情報保護委員会への報告

2022年4月施行の改正個人情報保護法により、カード情報を含む個人データの漏えいは報告義務の対象です。発覚後3〜5日以内に速報を、調査完了後に確報を提出する必要があります。

■警察への届出

不正アクセスによる被害の場合、サイバー犯罪対策課への相談・届出を行います。被害状況が確定する前の段階では、被害届ではなく相談受理となる場合があります。

■被害者への通知と公表

漏えいの対象となった顧客に対して、個別に通知を行います。通知内容はカード会社の承認を得る必要があるため、文面の調整に時間がかかることがあります。問い合わせ窓口の設置も求められるため、体制構築も並行して進めてください。

5. 再発防止策の実施と決済再開

カード決済を再開するためには、再発防止策を策定し、カード会社の承認を得る必要があります。一般的な再発防止策には以下が含まれます。

• 脆弱性のあったシステムの改修または更新
• WAF（Webアプリケーションファイアウォール）の導入
• 定期的な脆弱性診断の実施
• アクセスログの長期保存体制の構築
• セキュリティ教育の強化

ECサイトの停止期間は、個人情報保護委員会の調査によると半年以上1年未満が最も多いとされています。停止に伴う機会損失は1,000万円以上に達するケースが4割以上を占め、数億円規模の損失が発生した事業者も存在します。

PFI認定フォレンジック調査機関とは何ですか

PFI（PCI Forensic Investigator）は、国際カードブランド5社（Visa、Mastercard、JCB、American Express、Discover）によって設立されたPCI Security Standards Councilが認定する制度です。カード情報漏えい事故の調査を担う機関として、技術力、実績、信頼性が国際基準で認められた事業者のみがこの認定を受けることができます。

PFI認定機関による調査は、カード決済再開の必須条件となっています。認定を受けていない調査会社による調査結果は、カード会社に受理されない場合があります。例外的に、漏えい件数が少ない場合や特定の条件下では、QSA（Qualified Security Assessors）資格を持つ調査会社に依頼できるケースもあります。ただし、この場合でも国際カードブランドから追加調査を求められる可能性があるため、当初からPFI認定機関に依頼することをお勧めします。

カード情報漏えい調査にかかる費用と期間の目安

フォレンジック調査の費用は、調査対象のサーバー台数やデータ量によって変動します。個人情報保護委員会の実態調査によると、100万円から500万円の範囲が多く、特に200万円から250万円程度が一般的な相場とされています。

費用の内訳は以下のとおりです。

• フォレンジック調査費用：数百万円
• コールセンター設置費用（外部委託の場合）：規模により変動
• カード再発行費用（1件あたり1,000〜2,000円）
• 不正利用被害の補償額

被害総額は、ECサイトの売上規模や漏えい期間によって大きく異なります。1,000万円程度から数千万円規模の被害が想定されるため、サイバー保険への加入も検討すべき選択肢です。

FRONTEOがカード情報漏えい調査をサポートする方法

FRONTEOは2025年にPFI認定を取得し、ECサイトのカード情報漏えい調査から決済再開までをワンストップでサポートしています。20年以上、11,000件以上の不正調査実績から得たノウハウを活かし、迅速かつ高品質な調査を実施します。

FRONTEOのカード情報漏えい調査サービスの特徴は以下のとおりです。

• お問い合わせから24時間以内に着手可能
• 自社開発AI「KIBIT」による効率的な証拠発見
• 国際訴訟にも対応可能な「国際水準の報告書」作成
• 提携法律事務所との連携による法務支援
• 再発防止策の提案から決済再開までの伴走サポート

緊急時の初動対応にお困りの際は、まずはお気軽にお問い合わせください。