Shopifyブログ
ECサイトやアプリでクレジットカード決済を行う場合、実物のカードを決済端末で読み取らず、カード情報を使って支払いが処理されます。こうした取引を、カード非提示取引（CNP取引）と呼びます。
CNP取引はオンラインショッピングに欠かせない決済方法ですが、カードそのものを確認できないため、不正利用への対策も求められます。この記事では、カード非提示取引の意味や具体例、仕組み、手数料、不正利用を防ぐための方法について解説します。
カード非提示取引（CNP取引）とは
カード非提示取引とは、クレジット端末機でカードを読み取らずに、カード番号や有効期限、セキュリティコードなどの情報を使って行われる決済のことを指します。略してCNP取引（Card Not Present Transaction）とも呼ばれます。CNP取引は、ECサイトでのオンライン決済や、電話注文、通信販売など、非対面取引で広く利用されています。
カード提示取引（CP取引）との違い
カード提示取引は、実物のカードを店舗などの決済端末で読み取って行う取引です。略してCP取引（Card Present Transaction）とも呼ばれます。ICチップをカードリーダーに差し込む、磁気ストライプを読み取る、タッチ決済を利用するといった対面決済は、いずれもCP取引に該当します。
CNP取引の例
- オンライン決済：ECサイトやアプリなどでカード情報を入力し、オンライン上で支払いを完了させます。
- 電話注文：電話でカード番号や有効期限などを伝え、販売店側で決済を処理します。
- 郵便注文：注文書などにカード情報を記入して郵送し、販売店側で決済する方法です。
- オンラインでの請求書払い：事業者から送られた請求書をもとに、オンライン決済システムを通して支払う方法です。
- 継続課金：サブスクリプションなどで、あらかじめ登録したカード情報を使って定期的に支払う方法です。
- 登録済みカードによる決済：ECサイトなどにあらかじめ登録したカード情報を使い、次回以降の購入時にカード情報を再入力せずに支払う方法です。
CNP取引の仕組み
CNP取引では、カードに記載された文字情報だけで、利用可否の確認や必要な本人認証が行われます。カード会社から承認されると決済が成立し、その結果がECサイトなどに通知されます。オンライン決済では通常、決済システムなどを通じて顧客の入力したデータが送信され、こうした一連の処理がリアルタイムで行われます。
認証に必要なカード情報
- カード番号
- 有効期限
- カード名義
- セキュリティコード
- 請求先住所などの顧客情報
手数料
CNP取引はカード提示取引よりも不正利用のリスクが高いため、決済代行会社に支払うクレジットカード決済手数料が高く設定される傾向にあります。また決済サービスによっては、手数料のほかに取引ごとの固定費や月額利用料などがかかります。たとえば、日本で利用できる決済サービスでは、対面決済とオンライン決済で以下のように手数料が設定されています。
- Square（スクエア）：対面決済2.5%〜、オンライン決済3.6%、カード情報を手入力する非対面決済は3.75%
- Stripe（ストライプ）：国内カードの対面決済は3.24%～、オンライン決済は3.6%～
- STORES（ストアーズ）：フリープランの場合、対面のクレジットカード決済は2.48%〜、オンライン決済は3.24%〜
Shopify（ショッピファイ）の決済方法として多くのサイトで導入されているShopifyペイメントでは、日本国内発行のVisa、Mastercard、JCBによるオンライン決済の手数料が2.9〜3.55%に設定されています。
CNP取引で起こりやすい不正利用
CNP取引では利用者が実物のカードを持っているか確認できないため、カード情報が不正に利用されることがあります。日本クレジット協会の報告によると、2025年のクレジットカード不正利用被害額は510.5億円で、このうちカード番号などの情報を使った番号盗用被害が475.4億円と、全体の93.1％を占めています。
不正利用が確認されると、決済が取り消され売上を返還するチャージバックが発生することがあります。すでに商品を発送している場合は取り戻すことは難しく、ネットショップの信頼性が傷つくなど、さらに大きな損害を受ける可能性があります。
CNP取引で起こる主な不正利用には、以下のようなものがあります。
- カード番号の盗用による不正利用：フィッシングや情報漏洩などで取得したカード番号、有効期限などを使い、本人になりすましてオンライン決済を行う
- カードテスティング：盗んだカード情報が利用できるかを確認するため、少額決済などを繰り返す
- アカウントの乗っ取り：ECサイトのアカウントに不正ログインし、登録済みのカード情報を使って商品を購入する
-
Webスキミングによるカード情報の窃取：ECサイトなどに不正なコードを仕込み、購入者が決済画面などに入力したカード情報を盗み取る
こうした不正利用を防ぐには、本人認証だけでなく、不正ログイン対策、不正取引検知、ECサイトの脆弱性対策などを組み合わせることが重要です。
CNP取引の不正利用対策
不正利用のリスクを抑えるには、安全性の高い決済サービスを利用するとともに、ECサイト側でも不正ログインや脆弱性、不審な注文へのセキュリティ対策を行うことが重要です。決済セキュリティを高めるため、決済サービスとECサイト運営の両面から対策を行いましょう。
決済サービス上のセキュリティ対策
EMV 3-Dセキュア（3Dセキュア2.0）
EMV 3-Dセキュア（3Dセキュア2.0）は、オンラインでのカード決済時に取引情報などから不正利用のリスクを判定し、必要に応じてワンタイムパスワードや生体認証などによる追加の本人認証を行う仕組みです。
日本では、2025年3月末より原則すべてのEC加盟店に対してEMV 3-Dセキュアの導入が義務付けられています。EMV 3-Dセキュアで正常に認証された取引では、不正利用によるチャージバックの責任がカード発行会社側に移る場合があります。
PCI DSS
PCI DSSは、クレジットカード情報を安全に取り扱うための国際的なセキュリティ基準です。2026年9月現在はPCI DSS v4.0.1が有効とされています。安全なシステムの利用や暗号化によるアカウントデータ保護などの要件が定められており、カード情報を扱う事業者に対しては必ず順守するよう、クレジットカードブランドから要求されます。
ただし、PCI DSSに準拠した決済サービスなどを利用し、自社のサーバやシステムを経由せずにカード会社へ直接データを送信する場合は「カード情報を保持していない」ため、自社ですべての要件に対応する必要はありません。
セキュリティコードの確認
決済時にカードに記載されたセキュリティコード（CVV、CVCなど）を確認する仕組みを利用することで、カード番号や有効期限だけを不正に取得した第三者による不正利用のリスクを抑えられます。
ECサイト運営上のセキュリティ対策
不正ログイン対策
顧客アカウントの乗っ取りを防ぐため、不審なログインの検知やログイン試行回数の制限、必要に応じた追加認証などを行います。特に登録済みのカード情報を利用できるECサイトでは、アカウントの乗っ取りが不正注文につながる可能性があります。
ECサイトの脆弱性対策
ECサイトや管理画面への不正アクセス、Webスキミングなどを防ぐため、ECサイトの保守の一環として、システムやアプリを最新の状態に保ち、管理画面へのアクセス制限や定期的なセキュリティ点検を行います。カード情報を自社で保持していない場合でも、Webサイトの脆弱性を悪用してカード情報が盗まれる可能性があるため、継続的な対策が重要です。
不正取引検知
注文や決済に関する情報をもとに、不正利用の可能性がある取引を検知します。機械学習を活用し、過去の取引データや購入パターンなどからリスクを判定するサービスもあります。
たとえば、Shopifyの不正対策では、機械学習を活用して注文のリスクを判定できます。また、業務ワークフローを自動化できるShopify Flow（ショッピファイフロー）を使えば、不正解析の結果をもとに不正注文の可能性が高い注文を保留したり、条件に応じてキャンセルしたりする処理を手間なく行うこともできます。
まとめ
CNP取引は、実物のクレジットカードやデビットカードを決済端末で読み取らず、カード情報を使って行う決済です。ECサイトでのオンライン決済をはじめ、電話注文や継続課金などで幅広く利用されています。
一方で、CNP取引はカードそのものを確認できないため、不正利用への対策が欠かせません。EMV 3-Dセキュアに対応し、PCI DSSに準拠した決済サービスを利用するとともに、不正ログイン対策やECサイトの脆弱性対策、不正検知などを組み合わせて、安全な決済環境を整えましょう。
