ECサイトのセキュリティ・脆弱性対策が重要な理由と対策方法を解説！

インターネットでの購買行動が主流となる中、ECサイトの脆弱性を狙った不正アクセスが増えています。ECサイトを運営する企業でも、個人情報やクレジットカード情報の流出に対する不安を抱いている方も多いでしょう。
個人情報・クレジットカード情報が流出してしまえば、企業の社会的信用も失墜し、制裁金の支払いなど大きな損失を抱えてしまいます。安定的なECサイト運営のためにも、セキュリティ対策は重要です。
今回はECサイトのセキュリティ・脆弱性対策の重要性と具体的な対策方法を解説します。セキュリティ・脆弱性対策を把握して情報流出などの被害を未然に防ぎましょう。

ECサイトでセキュリティ・脆弱性対策が必要な理由

インターネット上で商品やサービスを販売するECサイトは、顧客の個人情報や決済に関わる機密情報を取り扱います。そのため、一般の企業サイトやブログと比べて、より強固なセキュリティ対策と脆弱性への対応が求められます。
万が一、不正アクセスにより上記の情報が流出してしまえば顧客に多大な被害が及ぶだけでなく、企業の信頼も著しく失墜してしまいます。ECサイトを運営する企業は、セキュリティ対策と脆弱性への迅速な対応を欠かすことができないといえるでしょう。

対策が必要な理由① ECサイトのサーバーには個人情報が含まれている

ECサイトのサーバーには個人情報が含まれており、情報漏えいの危険があります。ECサイトでは商品購入時に顧客の住所・氏名・電話番号・メールアドレスなど個人情報の取得が必要です。さらに、クレジットカード情報やほかの決済情報もサーバー内に保存する場合もあります。
仮に情報漏えいが発生した場合は、迅速な初期対応と被害の最小化が求められます。

対策が必要な理由② 問題が起こると社会信用が低下してしまう

セキュリティ上の問題が発生し、顧客の個人情報や決済情報が流出してしまった場合、企業の社会的信用は大きく失墜してしまいます。顧客からの信頼を裏切ったと受け止められかねず、ブランドイメージの低下や売り上げの減少につながる可能性が高いです。
さらに、情報漏えいに対する補償や対策費用の支出、行政からの指導や制裁金の支払いなど企業経営に深刻な打撃を与えかねません。

実際にあったセキュリティ事故

実際にあったセキュリティ事故として、以下の3つを紹介します。

• 健康食品・化粧品ECサイトでの個人情報・クレジットカード情報流出
• 家具販売ECサイトでのクレジットカード情報流出
• アパレルECサイトでのクレジットカード情報流出

上記事例を参考に、自社ECサイトのセキュリティ強化を検討しましょう。

健康食品・化粧品ECサイトでの個人情報・クレジットカード情報流出

1つ目は、健康食品・化粧品を取り扱うECサイトでの個人情報・クレジットカード情報流出の事故です。ECサイトが不正アクセスを受けた影響で、同サイトを利用した顧客5,000名以上のクレジットカード情報・氏名や住所などの個人情報が流出しました。
同サイトでは、クレジットカードの決済機能を停止して調査を実施しました。調査の結果、クロスサイトスクリプティング（HTMLに悪質なスクリプトを埋め込んだ攻撃手法）の脆弱性を狙った不正アクセスが原因であると判明しました。

家具販売ECサイトでのクレジットカード情報流出

2つ目は、家具販売ECサイトでのクレジットカード情報流出です。セキュリティの脆弱性を狙われ攻撃を受け、顧客のクレジットカード情報が流出しました。
同サイトの保守管理を任されていた企業から情報流出の指摘を受け、第三者機関に調査を依頼しました。不正アクセスから決済フォームが改ざんされたことが原因で、情報流出につながっています。

アパレルECサイトでのクレジットカード流出

3つ目は、紳士服を取り扱うアパレルECサイトでのクレジットカード情報流出です。同サイトが不正アクセスを受けて、利用顧客200名以上のクレジットカード情報が流出しました。
原因は、調査の結果サイバー攻撃による決済機能の改ざんだったと判明しています。事件発覚後にサイトのリニューアルを行い、セキュリティ対策を強化しました。

具体的なセキュリティ対策

ECサイトのセキュリティ対策は、顧客の個人情報や金銭情報を適切に保護するだけでなく、企業の社会的信用を守るうえでも極めて重要です。具体的にどのような対策を講じていけば良いのか、いくつかの有効な手段を紹介します。

パスワードポリシーの見直し

まずは自社のパスワードポリシーを見直しましょう。ユーザーアカウントへのアクセスを守るためには、パスワードの強化が不可欠です。
最低8文字以上・英数字と記号を組み合わせるなど適切なパスワードポリシーを設定すれば、サイバー攻撃への耐性が高まります。過去に使用したパスワードの再利用を禁止したりするといった運用面での対策も重要です。

PCI DSSの対応

ECサイトがPCI DSSへ対応しているか、チェックしましょう。PCI DSSとは、「Payment Card Industry Data Security Standard（クレジットカード業界におけるデータセキュリティ基準）」の略語です。PCI DSSは、クレジットカード会社が定めたクレジットカード情報を安全に取り扱うためのセキュリティ要件です。
ECサイトではクレジットカード決済を取り扱うため、上記基準を満たせば必要なセキュリティ対策を自然と実施できます。具体的には、ファイアウォールの設置・アンチウイルスソフトの導入・データの暗号化・物理的なアクセス制限など、さまざまな対策を講じる必要があります。

脆弱性診断の実施

ECサイトの脆弱性診断を実施しましょう。ウェブアプリにはさまざまな脆弱性が内在している可能性があります。攻撃者にとっては、脆弱性の穴が不正アクセスの標的です。
よって、第三者の専門機関に依頼して定期的に脆弱性診断を実施するのが重要です。診断では、SQLインジェクション・クロスサイトスクリプティングなどの脆弱性が網羅的に検査されます。発見された欠陥に対しては適切な対策が必要です。

古いバージョンのままにしない

ECサイトのプラグイン・アプリは、古いバージョンのままにしないようにしましょう。ECサイトを構築するためのCMSやプラグイン、アプリなどのソフトウェアには定期的にセキュリティアップデートが提供されています。
追加のプラグインやアプリのバージョンを更新しないまま運用を続けていると、古いバージョンの脆弱性が放置されて不正アクセスを受けやすくなり注意が必要です。セキュリティを確保するためには、関連するすべてのソフトウェアを最新の状態に保つ必要があります。

不正アクセスや不審な挙動の監視

外部からの不正アクセスや設計にない挙動を検知するため、専門の監視サービス導入がおすすめです。具体的には、ウェブアプリケーションファイアウォール（WAF）・脆弱性スキャンツール・SIEMなどのセキュリティを活用し、24時間365日の監視体制を構築します。
異常が検知された場合は即座にアラートが通知されるため、速やかな初動対応が可能になります。

優れたユーザー体験と強固なセキュリティ・脆弱性対策を両立する

ECサイトにおけるセキュリティと脆弱性対策の重要性、具体的な対策手段について解説してきました。個人情報や決済情報を適切に保護するためには、徹底した対策が必須です。しかし、セキュリティ対策を過剰に重視し過ぎると購入プロセスが複雑化し、ユーザーの利便性を阻害してしまう恐れがあります。
たとえば、パスワードの強化やマルチファクター認証を導入することは、セキュリティ向上に対して有効な手段です。しかし、複雑な操作を求めることにより、ユーザーのストレスが高まり、結果として購入を諦める可能性があります。
また、決済プロセスを安全にするための対策が行き過ぎると、購入の手順が複雑になり過ぎてしまいます。
ECサイトを運営する上では、セキュリティと利便性のバランスが必要です。最新のセキュリティ対策を取り入れつつ購入者の認証操作を最小限に抑え、スムーズな購入体験を提供することが重要になります。具体的な対策としてはワンタイムパスワードの利用・生体認証の導入など、シンプルかつ強固なセキュリティ対策が求められます。
デジタラトリエは、ECサイト運用を支援する総合ツールです。セキュリティとユーザー体験のバランスを重視したECサイト運用を支援しています。具体的には、以下のセキュリティ体制を敷いている点が特徴です。

最新のセキュリティ技術により、安全性と利便性を両立したECサイト運用を支援しています。ECサイトのセキュリティ対策について気になる方は、デジタラトリエのお問い合わせページにてお気軽にご相談ください。

• Omni-Base for DIGITAL'ATELIERの
  お問い合わせはこちら