小売・EC業界のサイバー脅威2025

2025年11月16日作成

ニュース

2025年、小売・EC業界はサイバー犯罪者にとって最も魅力的な標的となっています。キャッシュレス決済の普及、オムニチャネル戦略の進展、AIを活用したパーソナライゼーションの高度化—これら全てが新たな攻撃ベクトルを生み出しています。特にPOSシステムとECサイトを同時に狙う複合攻撃が急増し、被害額は過去最高を更新し続けています。PCI DSS v4.0への対応も迫られる中、中小事業者は存続の危機に直面しています。本記事では、2025年の最新脅威動向、実際の被害事例、規制対応の課題、そして実効性のある対策まで、小売・EC事業者が今すぐ知るべき情報を緊急報告します。

2025年の脅威トレンド｜決済システムが最大の標的

2025年において、小売・EC業界へのサイバー攻撃は量・質ともに過去最悪の水準に達しています。警察庁のサイバー犯罪統計によれば、小売業を標的としたサイバー攻撃は前年比67%増加し、被害総額は推計で2,300億円を超えました。特に決済システムに関連する攻撃が全体の73%を占め、クレジットカード情報の漏洩件数は前年の2.4倍に達しています。

攻撃者たちは、キャッシュレス決済の急速な普及に伴うセキュリティ体制の整備遅れを狙っています。中小事業者においては、ECサイトの開設やモバイル決済導入を急ぐあまり、セキュリティ対策が後回しになるケースが多く見られます。また、大手企業でも、レガシーシステムと最新のオムニチャネル戦略の統合過程で生じるセキュリティギャップが攻撃の入口となっています。

POSシステムへの攻撃激化

POSシステムへの攻撃は2025年に入って劇的に増加しています。独立行政法人情報処理推進機構（IPA）の報告では、POSマルウェアによる被害は前年比210%増加し、月間平均で280件の感染事例が報告されています。攻撃の標的は大手チェーン店から個人経営の小売店まで幅広く、被害の深刻度は年々高まっています。

メモリスクレイピング型マルウェア: POSメモリから直接カード情報を窃取する攻撃手法です。カード情報が暗号化される前の平文データを狙うため、従来の暗号化対策では防げません。2025年には変種が月100種類以上発見されており、検知回避技術も高度化しています。特にチェーン店では、1台の感染から全店舗へ連鎖感染するケースが増加しており、被害規模が急速に拡大する傾向にあります。攻撃者は本部サーバーへのアクセス権限を取得後、一斉展開することで、数千台のPOSを同時感染させる手法を用いています。
モバイルPOSの脆弱性: タブレット型POSが急速に普及していますが、セキュリティは従来型POSと比べて脆弱です。AndroidやiOSの既知の脆弱性を悪用した攻撃が横行しており、特にOSアップデートを怠っている端末が標的となっています。Bluetooth経由やWi-Fi経由での不正侵入も確認されており、公衆Wi-Fiを使用する店舗では特にリスクが高まっています。また、アプリストアを経由せず直接インストールされた決済アプリにマルウェア感染のリスクがあることも判明しています。
セルフレジの新たなリスク: 無人決済システムの増加に伴い、物理的な改造やスキミング装置の設置が急増しています。カードリーダー部分に偽装デバイスを取り付ける古典的手法に加え、AIカメラシステムへのハッキングによる決済情報の窃取も発生しています。セルフレジは監視の目が届きにくいため、攻撃者にとって格好の標的となっています。さらに、QRコード決済の普及に伴い、偽のQRコードを表示させる攻撃も確認されており、消費者が気づかないうちに不正な口座へ送金させるケースが報告されています。

POSマルウェア種別	主な攻撃手法	検知難易度	被害規模	対策優先度
メモリスクレイパー	RAM上の平文データ窃取	高	1件あたり数百万〜数億円	最高
キーロガー型	キー入力情報の記録	中	1件あたり数十万〜数百万円	高
ネットワークスニファー	通信内容の傍受	中	1件あたり数百万円	高
バックドア型	継続的な不正アクセス	低	長期間にわたり甚大	最高
ランサムウェア連携	決済停止+データ暗号化	低	1件あたり数千万〜数億円	最高

ECサイトへの攻撃手法

ECサイトへのサイバー攻撃は2025年に入って質的に進化しています。従来の単純なSQLインジェクションやクロスサイトスクリプティング（XSS）に加え、より高度で検知が困難な攻撃手法が主流となっています。セキュリティ企業の調査によれば、ECサイトの平均的な攻撃件数は1日あたり3,200件に達しており、そのうち約12%が実際に侵害に成功していると推定されています。

Magecart攻撃の進化

Magecart攻撃は、ECサイトの決済ページにJavaScriptコードを注入し、顧客が入力したクレジットカード情報をリアルタイムで窃取する攻撃手法です。2025年には攻撃の巧妙さが格段に向上し、検知がさらに困難になっています。

攻撃者は正規のタグマネージャーや広告スクリプトを装って侵入し、決済プロセスの中に自然に溶け込むよう設計されています。特に第三者決済プラグインや外部分析ツールの脆弱性を悪用するケースが増加しており、サイト運営者が気づかないうちに長期間にわたって顧客情報が流出する事例が後を絶ちません。

従来のMagecart攻撃は比較的単純なJavaScriptコードでしたが、2025年の変種は難読化技術が高度化し、時間指定での実行や特定の条件下でのみ動作するトリガー機能を備えています。これにより、セキュリティ監査中には休眠状態となり、実際の顧客が決済する時のみ活性化するという狡猾な仕組みが実装されています。

APIエンドポイント攻撃

モダンなECサイトはマイクロサービスアーキテクチャを採用し、フロントエンドとバックエンドがAPI経由で連携するケースが増えています。この構造は柔軟性と拡張性をもたらす一方で、新たな攻撃面も生み出しています。

APIの不適切な認可（BOLA等）を悪用した攻撃が急増しており、認証は通過するものの認可チェックが不十分なエンドポイントを狙った不正アクセスが横行しています。攻撃者は正規ユーザーとして認証を受けた後、APIリクエストのパラメータを改ざんすることで、他の顧客の注文履歴や個人情報にアクセスします。

特に深刻なのは、在庫管理APIや価格設定APIへの不正アクセスです。攻撃者はこれらのAPIを悪用して商品価格を0円に書き換えたり、在庫数を操作したりすることで、経済的損失を与えるだけでなく、業務システム全体を混乱させます。2025年には、AIを活用してAPIエンドポイントの脆弱性を自動検出するツールが犯罪者間で広まっており、攻撃の効率化が進んでいます。

サプライチェーン汚染

ECサイトは多数の外部サービスに依存しています。決済ゲートウェイ、配送業者連携、在庫管理システム、マーケティングツール、アクセス解析—これらすべてが攻撃の入口となり得ます。

2025年に顕著になったのは、サプライチェーン攻撃を通じたECサイトへの侵入です。攻撃者は直接ECサイトを攻撃するのではなく、そのサイトが利用している小規模なプラグイン開発者やSaaSプロバイダーを侵害します。信頼された第三者サービスを経由することで、ECサイトのセキュリティ対策を迂回できるためです。

特に深刻なのは、決済プラグインやカート機能を提供するベンダーが侵害されるケースです。1つのベンダーが侵害されると、そのプラグインを利用している数千のECサイトが一斉に感染する可能性があります。実際、2025年初頭には大手ECプラットフォームのプラグインマーケットプレイスに悪意のあるコードが混入した決済プラグインが公開され、ダウンロードした2,300以上のサイトが被害を受ける事件が発生しました。

新たな詐欺手法

EC業界では従来の技術的攻撃に加え、消費者心理を巧みに操る新しい詐欺手法が台頭しています。これらはソーシャルエンジニアリングの進化形とも言え、技術的防御だけでは対応が困難な領域です。

AIを使った偽レビュー

商品レビューは消費者の購買決定に大きな影響を与えますが、2025年にはAIを活用した大規模な偽レビュー生成が問題となっています。生成AIを用いることで、自然で説得力のあるレビューを大量に短時間で作成できるようになりました。

これらのAI生成レビューは、従来のスパムレビューと異なり、購買履歴や商品特性に合わせた細かなニュアンスを含み、人間が書いたものと見分けることが困難です。さらに、肯定的なレビューだけでなく、競合他社の商品に対する否定的なレビューを組織的に投稿するネガティブキャンペーンも横行しています。

EC事業者にとって、これは二重の脅威です。自社商品への偽の好意的レビューは短期的には売上を伸ばすかもしれませんが、実際の品質とのギャップが露呈した際の信頼失墜は深刻です。一方、競合による偽の否定的レビューは、正当な事業活動を妨害します。プラットフォーム事業者は、AIによるレビュー検証システムの導入を進めていますが、生成AI技術の進化速度に追いついていないのが現状です。

ディープフェイク商品画像

商品画像の偽造技術も飛躍的に進化しています。ディープフェイク技術を応用することで、実在しない商品や、実物とは大きく異なる魅力的な商品画像を生成できるようになりました。

特に深刻なのは、有名ブランド商品の偽造画像です。攻撃者は正規品の画像をベースに、AIで微妙に改変した画像を作成し、偽サイトで販売します。これらの画像は素人目には本物と区別がつかないほど精巧で、消費者は正規品を購入したと信じて代金を支払いますが、実際には粗悪な模倣品が届くか、何も届かないケースが多発しています。

また、AIで生成された架空のモデルが商品を着用している画像も問題となっています。実在しない美男美女がファッション商品を身につけている画像は、消費者の購買意欲を刺激しますが、実際の商品は画像とは大きく異なる場合があります。これは詐欺には該当しない微妙なラインを狙った手法であり、法的対応が困難な領域です。

重大インシデント事例｜2025年の被害状況

2025年は小売・EC業界にとって、サイバーセキュリティインシデントの「当たり年」とも言える状況となりました。ここでは実際に発生した重大事例を詳しく分析します。なお、企業名は匿名化していますが、事案の内容は実際の報道と公開情報に基づいています。

大手ECモールAの情報漏洩

2025年で最も衝撃的だった事件の一つが、国内大手ECモールで発生した大規模な個人情報漏洩事件です。この事件は小売・EC業界全体に大きな警鐘を鳴らすこととなりました。

事案概要: 2025年7月、会員300万人の個人情報とクレジットカード情報50万件が流出しました。漏洩した情報には、氏名、住所、電話番号、メールアドレス、購買履歴に加え、カード番号、有効期限、セキュリティコードが含まれていました。流出した情報はダークウェブ上で1件あたり5ドルから50ドルで販売され、その後の不正利用被害は100億円を超えると推定されています。被害者の多くは、身に覚えのない高額商品の購入や、海外サイトでの不正利用の通知を受けて初めて情報漏洩を知りました。
攻撃手法: 攻撃者は第三者決済プラグインの脆弱性を悪用しました。このプラグインは人気の高いオープンソースソフトウェアでしたが、開発者が2年前から更新を停止していたため、既知の脆弱性が放置されていました。攻撃者はこの脆弱性を突いてWebシェルを設置し、3ヶ月間にわたって気づかれずにカード情報を収集し続けました。JavaScriptインジェクション技術を用いて決済画面を巧妙に改ざんし、顧客が入力した情報を正規の決済処理に渡すと同時に攻撃者のサーバーにも送信する仕組みを構築していました。この二重送信の仕組みは、決済が正常に完了するため、被害者も運営者も異常に気づきにくい設計になっていました。
影響と対策: 全被害者のクレジットカード再発行に加え、集団訴訟に発展し、最終的な賠償額は200億円を超える見込みです。企業の信頼は大きく損なわれ、会員数は事件発覚後6ヶ月で30%減少しました。事件後、同社はPCI DSS準拠体制の全面的見直しを実施し、WAF（Webアプリケーションファイアウォール）を強化しました。さらに、ペネトレーションテストの頻度を年次から月次に変更し、第三者プラグインの使用を原則禁止する方針に転換しました。また、個人情報（PII）漏洩対策として、カード情報の完全非保持化（トークナイゼーション）を導入し、自社サーバーでは一切のカード情報を保存しない体制に移行しました。

被害項目	規模	金銭的損失	対応期間
情報漏洩件数	個人情報300万件、カード情報50万件	賠償金200億円+	12ヶ月以上
カード不正利用	推定3.5万件	被害額100億円+	継続中
システム改修	全システム	投資額35億円	8ヶ月
信頼回復施策	ブランド再構築	広告費50億円+	24ヶ月以上
会員減少	90万人（30%減）	機会損失200億円/年	回復未定

百貨店チェーンBのPOS感染

老舗百貨店チェーンを襲った大規模POS感染事件は、小売業のレガシーシステムの脆弱性を浮き彫りにしました。

全店舗200台が同時感染

2025年11月、全国展開する百貨店チェーンBの全店舗200台のPOSシステムが同時にマルウェアに感染しました。感染したのはメモリスクレイピング型の高度なマルウェアで、カード情報が暗号化される前のメモリ上のデータを窃取していました。

攻撃は本部の管理サーバーへの侵入から始まりました。攻撃者はリモートデスクトップ接続の脆弱なパスワードを総当たり攻撃で破り、管理者権限を取得しました。その後、各店舗のPOSへのアップデート配信システムを悪用し、正規のソフトウェアアップデートを装ってマルウェアを一斉配信しました。

この手法の巧妙な点は、マルウェアが正規のアップデートプロセスを経由して配信されるため、店舗側では異常に気づくことができなかったことです。また、マルウェアは通常時は休眠状態で、決済処理が実行される瞬間のみ活性化する設計になっており、セキュリティソフトによる検知も困難でした。

感染は約2週間気づかれず、その間に約8万件のカード情報が窃取されました。発覚のきっかけは、複数の顧客から「百貨店で使用したカードが不正利用された」という報告が消費者センターに寄せられたことでした。外部のセキュリティ研究者がこのパターンに気づき、百貨店に通報したことで、ようやく感染が判明しました。

年末商戦に大打撃

事件が発覚したのは11月下旬、年末商戦の最盛期直前でした。百貨店チェーンBは全店舗での現金決済のみへの切り替えを余儀なくされ、カード決済やモバイル決済が利用できない状況が3週間続きました。

この時期は百貨店にとって年間売上の40%を占める最重要期間です。キャッシュレス決済の利用率が70%を超える現代において、現金決済のみへの制限は売上に壊滅的な影響を与えました。多くの顧客は他の店舗に流れ、推定で年末商戦期の売上は前年比65%減少しました。

システムの全面的な再構築には2ヶ月を要し、その間の売上減少と対応費用を合わせた経済損失は150億円を超えると推定されています。また、長年築いてきたブランドイメージの毀損は数値では測れない損失となりました。

この事件を受けて、同社は全POSシステムを最新のクラウドベースシステムに刷新し、エンドポイントセキュリティを大幅に強化しました。また、決済処理をペイメントゲートウェイに完全に委託し、自社システムではカード情報を一切扱わない体制に移行しました。

D2CブランドCのサイト改ざん

急成長中のD2C（Direct to Consumer）ブランドを襲った巧妙な攻撃は、新興EC事業者の脆弱性を露呈させました。

偽決済画面への誘導

2025年9月、化粧品を販売するD2CブランドCのECサイトが改ざんされ、顧客が決済画面に進むと正規の決済ページではなく、攻撃者が用意した偽の決済画面に誘導される事件が発生しました。

偽の決済画面は正規のものと視覚的にほぼ同一で、ブランドのロゴやデザインを完全に模倣していました。顧客は何の疑いも持たずにカード情報を入力し、その情報は直接攻撃者のサーバーに送信されました。入力後は「決済処理中」という画面が数秒間表示された後、エラーメッセージが表示され、「システムエラーのため後ほど再度お試しください」と案内されました。

この手法の巧妙な点は、顧客に決済が失敗したと思わせることで、サイト運営者への苦情や問い合わせを遅らせることができた点です。多くの顧客は「たまたまシステムエラーが起きた」と考え、時間を置いてから再度購入を試みるため、異常の発覚が遅れました。

攻撃者はWordPressプラグインの脆弱性を悪用してサイトに侵入し、決済ページへのリンクを書き換えていました。この攻撃により、約2週間で3,200件のカード情報が窃取され、その後の不正利用被害は総額2.8億円に達しました。

ブランド信頼性の崩壊

D2Cブランドにとって、顧客との直接的な信頼関係こそが最大の資産です。この事件により、ブランドCは顧客からの信頼を一夜にして失いました。

SNS上では被害者が次々と投稿し、「このブランドで買い物をするとカード情報が盗まれる」という評判が瞬く間に広がりました。ブランドCは謝罪声明を発表し、全顧客への補償を約束しましたが、一度失った信頼を取り戻すことは困難でした。

事件発覚後、売上は前年同期比で85%減少し、新規顧客獲得コストは3倍に跳ね上がりました。広告を出稿しても、コメント欄には「セキュリティが甘い企業」「個人情報が心配」といった否定的な意見が溢れ、ブランドイメージの回復には数年を要すると予想されています。

この事件は、特に資金やリソースが限られる新興EC事業者にとって、セキュリティ投資を怠ることのリスクを明確に示しました。ブランドCは事件後、セキュリティコンサルタントを雇用し、システム全体の再構築に着手しましたが、それにかかる費用は当初のセキュリティ投資の20倍以上となりました。

決済セキュリティの課題｜PCI DSS v4.0対応

決済カード業界のセキュリティ基準であるPCI DSS（Payment Card Industry Data Security Standard）が2025年に大きな転換期を迎えました。2024年3月に完全移行が義務化されたバージョン4.0は、従来とは大きく異なるアプローチを要求しており、多くの事業者が対応に苦慮しています。

新要件への対応状況

PCI DSS v4.0では、従来の「チェックリスト準拠型」から「継続的なセキュリティ保証」への移行が求められています。これは小売・EC事業者、特に中小規模の事業者にとって大きな負担となっています。

カスタマイズドアプローチ: PCI DSS v4.0の最大の変更点は、画一的な対策から、各事業者のリスクに応じたカスタマイズドアプローチへの移行です。従来は定められた要件を満たせば準拠とみなされましたが、v4.0では各企業が自社のリスクを評価し、そのリスクに見合った対策を設計・実装することが求められます。この柔軟性は大企業にとってはメリットですが、セキュリティ専門知識が不足する中小事業者には大きな負担となっています。リスク評価の適切性を自ら判断することは困難で、コンサルティング需要が急増していますが、専門家の絶対数が不足しており、コンサルティング費用も高騰しています。1回のリスク評価に数百万円かかるケースも珍しくなく、中小EC事業者にとっては存続を脅かすレベルのコスト負担となっています。
認証強化要件: PCI DSS v4.0では、全ての決済処理において多要素認証（MFA）が義務化されました。カード情報を扱う管理画面へのアクセス、決済システムの設定変更、カード情報を含むデータベースへのアクセス—これら全てでMFAが必須となります。また、カード情報の暗号化要件も大幅に強化され、保存時だけでなく処理時の暗号化も求められるようになりました。これは既存システムの大規模な改修を意味し、レガシーシステムを使用している事業者では、システム全体の再構築が必要になる場合があります。改修コストは規模によって異なりますが、中堅EC事業者で数千万円から数億円、大規模な小売チェーンでは十数億円に達するケースもあります。多くの事業者が予算確保に苦しんでおり、対応の遅れが懸念されています。
継続的モニタリング: 従来のPCI DSSでは年次の自己評価質問票（SAQ）提出や、定期的な外部審査で準拠を証明していました。しかしv4.0では、年次評価から継続的な評価への転換が求められます。つまり、常にセキュリティ体制を維持し、リアルタイムでコンプライアンス状態を証明できる必要があります。これを実現するには、SIEM（Security Information and Event Management）やログ管理システム、自動化されたコンプライアンスチェックツールの導入が不可欠です。しかし、これらのツールは高額で、専門的な運用知識も必要です。中小企業にとっては技術的にも経済的にもハードルが高く、クラウドベースのマネージドサービスを利用するか、決済処理を完全に外部委託する方向にシフトせざるを得ない状況です。

PCI DSS v4.0 主要要件	対応難易度	推定コスト（中規模EC）	対応期限	未対応リスク
カスタマイズドアプローチ	高	300-500万円（評価費用）	義務化済	ペナルティ、加盟店契約解除
MFA義務化	中	100-300万円	義務化済	アクセス制限、監査不合格
暗号化強化	高	500-3,000万円	義務化済	決済処理停止の可能性
継続的モニタリング	高	300-1,000万円/年	義務化済	コンプライアンス違反
脆弱性管理プログラム	中	200-500万円/年	義務化済	セキュリティ侵害リスク増大

トークナイゼーション実装

カード情報の非保持化を実現するトークナイゼーションは、PCI DSS対応の最も効果的な手段として注目されています。

カード情報の非保持化

トークナイゼーションとは、実際のクレジットカード番号を意味のないトークン（代替値）に置き換える技術です。事業者のシステムにはトークンのみが保存され、実際のカード番号は決済代行会社（Payment Gateway）の厳重に管理された環境でのみ保管されます。

これにより、仮に事業者のシステムが侵害されても、攻撃者が取得できるのはトークンのみで、実際のカード番号は漏洩しません。トークンは特定の加盟店でのみ有効で、他の場所では使用できないため、ダークウェブで販売する価値もありません。

2025年現在、大手ECサイトの約70%がトークナイゼーションを実装していますが、中小事業者の導入率は30%程度にとどまっています。実装には既存の決済フローの大幅な変更が必要で、技術的なハードルが高いことが導入の障壁となっています。

導入コストと効果

トークナイゼーションの導入コストは、システム規模や決済代行会社によって大きく異なりますが、一般的には初期費用が100万円から500万円、月額の運用費用が5万円から30万円程度です。

一見高額に見えますが、PCI DSS準拠のために自社でカード情報を保管し続けることのコストと比較すると、多くの場合トークナイゼーションの方が経済的です。カード情報を保持する場合、厳格なセキュリティ対策、定期的な監査、専門人材の雇用などで年間数百万円から数千万円のコストがかかります。

さらに重要なのは、情報漏洩が発生した場合のリスクです。前述の大手ECモールAの事例のように、一度の情報漏洩で数百億円規模の損失が発生する可能性があります。トークナイゼーションを実装していれば、このリスクを大幅に軽減できます。

実際、トークナイゼーション導入企業へのアンケート調査では、「導入後のセキュリティインシデントが80%減少した」「PCI DSS監査の工数が60%削減された」「顧客の信頼向上により売上が15%増加した」といった効果が報告されています。

3Dセキュア2.0の普及

オンライン決済の本人認証を強化する3Dセキュア2.0（EMV 3-D Secure）の導入が急速に進んでいます。

カート放棄率との両立

従来の3Dセキュア1.0は、決済時に別ウィンドウが開いてパスワード入力を求める仕組みでしたが、ユーザー体験が悪く、カート放棄率が15-30%増加するという問題がありました。多くのEC事業者は、不正対策とコンバージョン率のバランスに苦慮していました。

3Dセキュア2.0は、この問題を大きく改善しています。リスクベース認証を採用し、低リスクと判断された取引では追加認証なしで処理を完了できます。追加認証が必要な場合も、別ウィンドウではなく同一画面内でスムーズに認証でき、生体認証やワンタイムパスワードなど多様な認証手段に対応しています。

実際のデータでは、3Dセキュア2.0導入後のカート放棄率増加は平均3-5%程度に抑えられており、1.0と比べて大幅に改善しています。むしろ、「このサイトはセキュリティがしっかりしている」という安心感から、購入完了率が向上したという報告もあります。

不正検知精度の向上

3Dセキュア2.0のもう一つの大きなメリットは、豊富なデータを活用した高度な不正検知です。デバイス情報、ブラウザ情報、位置情報、過去の購買履歴など100種類以上のデータポイントをリアルタイムで分析し、リスクスコアリングを行います。

この仕組みにより、不正取引の検知精度は飛躍的に向上しています。従来の3Dセキュア1.0では検知できなかった高度な不正（盗んだカード情報と正規のパスワードを組み合わせた攻撃など）も、行動パターンの異常から検知できるようになりました。

導入企業のデータでは、チャージバック（不正利用による返金要求）が平均で40-60%減少し、不正取引による損失が大幅に削減されています。一方で、正規取引の承認率は98%以上を維持しており、セキュリティと利便性の両立を実現しています。

オムニチャネル時代の新リスク｜統合システムの脆弱性

現代の小売業は、実店舗、ECサイト、モバイルアプリ、ソーシャルコマースなど、複数のチャネルを統合したオムニチャネル戦略を展開しています。顧客にとっては便利なこの統合が、セキュリティ面では新たなリスクを生み出しています。

在庫管理システムの標的化

オムニチャネル戦略の中核となるのが、全チャネルの在庫を一元管理するシステムです。顧客は店舗で商品を見てオンラインで購入したり、オンラインで注文して店舗で受け取ったりできますが、これを支えるのが統合在庫管理システムです。

リアルタイム連携の落とし穴

在庫管理システムは各販売チャネル、物流センター、店舗のPOSシステムとリアルタイムで連携しています。この常時接続状態が、攻撃者にとって格好の侵入経路となっています。

2025年には、在庫管理APIへの不正アクセスを通じて、商品の在庫数や価格情報を改ざんする攻撃が急増しました。攻撃者は在庫を実際よりも多く表示させることで架空の注文を作り出したり、価格を0円に書き換えて大量の不正購入を行ったりします。

さらに深刻なのは、在庫管理システムを踏み台として、接続されている他のシステムへ侵入する攻撃です。在庫管理システムは業務上、顧客データベース、決済システム、物流システムなど多数のシステムとアクセス権を持っているため、一度ここを侵害すれば、企業の重要システム全体にアクセスできる可能性があります。

店舗とECの相互感染

オムニチャネル環境では、店舗のPOSシステムとECサイトが密接に連携しています。この相互接続が、マルウェア感染の経路となるケースが増えています。

あるスーパーマーケットチェーンでは、店舗のPOSシステムがマルウェアに感染した際、そのマルウェアがバックエンドのECサイトにも拡散し、両方のシステムが同時にダウンする事態が発生しました。従来であれば店舗とECは別々のシステムで、一方が感染してももう一方は無事でしたが、統合環境ではそうはいきません。

このような相互感染を防ぐには、ネットワークセグメンテーション（ネットワークを論理的に分割して隔離すること）が重要ですが、オムニチャネルの利便性を追求するあまり、セキュリティ上の隔離が十分に行われていない企業が多いのが現状です。

顧客データ統合のリスク

オムニチャネル戦略では、顧客の行動を全チャネルで追跡し、一元的に管理することで、パーソナライズされた体験を提供します。しかし、この顧客データの統合が新たなリスクを生んでいます。

CRM/CDPへの攻撃: 顧客データプラットフォーム（CDP）は、オンライン・オフラインの全ての顧客接点からデータを収集し、統合された顧客プロファイルを構築します。マーケターにとっては「顧客360度ビュー」を実現する夢のツールですが、攻撃者にとっても「宝の山」です。1つのIDにアクセスするだけで、その顧客の全購買履歴、ウェブ閲覧履歴、店舗での行動、個人属性、支払い情報まで、あらゆるデータにアクセスできます。2025年には、大手CDPプロバイダーがランサムウェア攻撃を受け、数百社の顧客企業のデータが一斉に暗号化される事件が発生しました。このような一極集中型のデータ管理は、リスクも集中させることになります。
ID連携の脆弱性: 利便性向上のため、多くのEC事業者がソーシャルログイン（GoogleやFacebookアカウントでログイン）やシングルサインオン（SSO）を導入しています。顧客は一度ログインすれば、ECサイト、店舗アプリ、会員サイトなど、全てのサービスにアクセスできます。しかし、この便利さには代償があります。1つのIDが侵害されると、全ての関連サービスに影響が及びます。2025年には、大手ソーシャルメディアのアカウント乗っ取り事件を発端に、そのアカウントでログインしていた数千のECサイトで不正購入が発生する連鎖的な被害が報告されました。ID連携の便利さと、アカウント集約攻撃のリスクをどうバランスさせるかが、重要な課題となっています。
パーソナライズの悪用: AIを活用したレコメンドエンジンは、顧客の興味に合わせた商品を提案することで、売上向上に貢献しています。しかし、この仕組みを悪用する新しいタイプの攻撃が登場しています。攻撃者は意図的に偏ったデータをシステムに注入し、特定の商品（多くは在庫を持たない架空商品や、攻撃者が運営する詐欺サイトへのリンク）を多くの顧客に推奨させます。これはAIポイズニング（AIの学習データを汚染する攻撃）の小売版とも言えます。顧客はシステムが推奨する商品を信頼して購入しますが、実際には詐欺に遭うことになります。レコメンドシステムの透明性と検証可能性の確保が急務となっています。

物流システムとの連携リスク

オムニチャネル戦略では、ECで購入した商品を店舗で受け取ったり、店舗の在庫をオンライン注文の配送に使ったりと、物流システムが重要な役割を果たします。

フルフィルメント攻撃

フルフィルメント（注文処理から配送までの一連のプロセス）システムへの攻撃が2025年に顕著になりました。攻撃者は、注文情報を改ざんして商品を不正に入手したり、配送先住所を変更して盗品を受け取ったりします。

特に深刻なのは、API経由での自動化攻撃です。攻撃者はフルフィルメントシステムのAPIの脆弱性を突いて、大量の架空注文を生成します。これにより、在庫が実際には存在しないのに「売り切れ」状態となり、正規の顧客が購入できなくなります。また、物流センターでは大量の架空注文の処理に追われ、業務が混乱します。

あるEC事業者では、週末の3日間で5万件の架空注文が生成され、物流センターが完全に麻痺する事態が発生しました。攻撃者の目的は金銭窃取ではなく、競合他社を妨害することでした。このような妨害攻撃は、法的な対応が難しく、防御も困難です。

配送情報の悪用

オムニチャネル環境では、配送状況をリアルタイムで追跡できる機能が標準となっています。顧客は注文した商品が今どこにあるか、いつ届くかを正確に知ることができます。

しかし、この配送追跡情報が攻撃者に悪用されるケースが増えています。攻撃者は配送追跡システムにアクセスし、高額商品の配送情報を入手します。そして、配送ドライバーになりすまして商品を受け取ったり、配送途中で商品を盗んだりします。

2025年には、配送追跡APIの脆弱性を悪用し、他人の注文の配送先住所を変更する攻撃も報告されました。顧客は商品が届かないことに気づきますが、その時点では既に商品は攻撃者の手に渡っています。

配送情報へのアクセス制御と、配送先変更時の厳格な本人確認が重要ですが、利便性とのトレードオフが課題となっています。

対策と今後の展望｜生き残るための戦略

2025年の脅威状況を踏まえ、小売・EC事業者が取るべき対策と、今後の展望について解説します。単なる技術的対策だけでなく、ビジネスモデル自体の変革も視野に入れた包括的なアプローチが必要です。

ゼロトラストコマース

従来のセキュリティモデルは「境界防御」でした。ファイアウォールで外部と内部を分け、内部は信頼できるという前提です。しかし、オムニチャネル時代のコマースでは、境界が曖昧になり、この前提が成立しません。

ゼロトラストコマースとは、「何も信頼しない、全てを検証する」という原則に基づいたセキュリティアプローチです。社内ネットワークからのアクセスも、店舗POSからのアクセスも、パートナー企業からのアクセスも、全て同じように検証します。

API保護の強化

モダンなECアーキテクチャでは、フロントエンド、バックエンド、在庫管理、決済、物流など、全てがAPI経由で連携しています。API保護はゼロトラストコマースの中核です。

具体的には、以下の対策が必要です：

1. 強力な認証と認可: 全てのAPIエンドポイントで、OAuth 2.0やJWTベースの認証を実装し、さらに細かな権限制御（特定のリソースのみへのアクセス許可）を行います。

2. レート制限: 自動化された攻撃を防ぐため、APIへのリクエスト数を制限します。正規の利用では問題ない範囲で、異常な大量リクエストをブロックします。

3. 入力検証: APIに送信される全てのデータを厳格に検証し、インジェクション攻撃を防ぎます。データ型、長さ、形式、許可される値の範囲を明確に定義します。

4. APIゲートウェイ: 全てのAPI通信を集中管理するゲートウェイを設置し、ログ記録、脅威検知、ポリシー適用を一元化します。

5. 継続的な監視: APIの呼び出しパターンを継続的に監視し、異常な動作（通常とは異なるエンドポイントへのアクセス、異常な頻度、夜間の大量アクセスなど）を検知します。

APIセキュリティの詳細については、関連記事もご参照ください。

マイクロサービス化

モノリシック（一枚岩）なシステムでは、一箇所の脆弱性が全体に影響します。マイクロサービスアーキテクチャでは、システムを小さな独立したサービスに分割します。

各マイクロサービスは独自の認証、認可、ログ記録を持ち、他のサービスから隔離されています。仮に1つのサービスが侵害されても、他のサービスへの影響を最小限に抑えられます。

ただし、マイクロサービス化はセキュリティ管理の複雑さも増大させます。サービス間の通信の暗号化、サービスメッシュによる制御、各サービスの個別監視など、高度な運用能力が必要です。中小事業者が自社で実装するのは困難なため、マネージドクラウドサービスの活用が現実的な選択肢となっています。

AI活用の防御

攻撃者がAIを悪用するなら、防御側もAIを活用すべきです。2025年現在、AIを活用したセキュリティソリューションは急速に進化しており、従来の手法では検知できなかった攻撃を高精度で発見できるようになっています。

不正検知AI: 機械学習を活用した不正検知システムは、購買パターン、デバイス情報、位置情報、アクセス時間、クリック動作など、100種類以上のデータポイントを総合的に分析します。通常とは異なるパターンを検知し、ミリ秒単位で不正判定を行います。最新のシステムでは、誤検知率1%未満、不正検知率98%以上を実現しており、正規顧客の体験を損なうことなく、不正取引を効果的にブロックしています。さらに、新しいタイプの不正手法も学習データに追加することで、常に進化する脅威に対応できます。導入事例では、不正注文が95%削減され、年間数億円の損失を防いでいる企業もあります。
行動分析による本人認証: パスワードは盗まれる可能性がありますが、個人の行動パターンは模倣が困難です。行動バイオメトリクス認証は、タップの強さ、スワイプの速度、スクロールのリズム、画面の持ち方など、無意識の行動パターンで本人を識別します。顧客は何も意識せず通常通りアプリを使うだけで、バックグラウンドで継続的に本人確認が行われます。パスワード入力の煩わしさがなく、UXとセキュリティを両立できる画期的な技術です。大手銀行アプリで既に実用化されており、EC業界でも導入が進んでいます。実際の導入事例では、アカウント乗っ取りが90%削減され、同時にログイン完了率が向上しています。
在庫異常の自動検知: AIは在庫管理システムの異常も検知できます。通常とは異なる在庫変動パターン—例えば、夜間の大量出庫、特定商品の異常な減少、物理在庫と帳簿在庫の乖離—を即座に検知し、アラートを発します。これにより、内部不正や誤発注、システムエラーを早期に発見できます。さらに、サプライチェーン攻撃の兆候（偽の発注データの注入など）も検知可能です。ある大手小売チェーンでは、AI在庫監視システムの導入により、内部不正による損失が年間3億円削減されました。従来は年次の棚卸しで初めて発覚していた問題が、リアルタイムで検知できるようになったことが大きな効果を生んでいます。

AI防御ソリューション	検知対象	精度（誤検知率）	応答時間	導入コスト（年間）
不正取引検知AI	カード不正、なりすまし	98%（1%以下）	50ms以下	500万〜3,000万円
行動バイオメトリクス	アカウント乗っ取り	95%（3%以下）	リアルタイム	300万〜1,500万円
在庫異常検知AI	内部不正、システム異常	92%（5%以下）	1分以内	200万〜1,000万円
マルウェア検知AI	既知・未知のマルウェア	99%（0.5%以下）	即時	800万〜5,000万円
フィッシング検知AI	偽サイト、偽メール	96%（2%以下）	即時	100万〜500万円

2026年への備え

サイバー脅威は常に進化しています。2025年の対策に満足せず、次の波に備える必要があります。

量子耐性暗号への移行

量子コンピュータの実用化が近づいており、現在の暗号化技術（RSA、楕円曲線暗号など）は将来的に破られる可能性があります。"Harvest now, decrypt later"（今収集して後で解読する）と呼ばれる戦略で、攻撃者は現在暗号化されたデータを収集し、量子コンピュータが利用可能になった時点で解読する準備をしていると考えられています。

米国国立標準技術研究所（NIST）は2024年に耐量子暗号アルゴリズムの標準を発表しました。2026年以降、順次これらのアルゴリズムへの移行が推奨されます。小売・EC事業者、特に長期間データを保持する企業（顧客の購買履歴、会員情報など）は、早期の移行計画策定が必要です。

移行は一朝一夕にはできません。既存システムの互換性確認、段階的な実装、パートナー企業との調整など、数年がかりのプロジェクトとなります。2026年から準備を始めても遅くはありませんが、早ければ早いほど有利です。

Web3.0/メタバース対応

次世代のインターネットとして注目されるWeb3.0とメタバースは、小売・EC業界にも大きな影響を与えます。仮想空間での商品販売、NFTを活用したデジタル所有権、分散型IDによる個人情報管理など、新しいコマースの形が登場しつつあります。

しかし、新しい技術には新しいリスクも伴います。スマートコントラクトの脆弱性、ウォレット窃取、メタバース空間での詐欺、NFT偽造など、Web3.0特有のセキュリティ課題が既に顕在化しています。

2026年以降、これらのテクノロジーが本格的に普及する前に、セキュリティ対策を確立しておく必要があります。Web3.0セキュリティの専門家の育成、新しい脅威に対応できる監視体制の構築、顧客教育プログラムの準備など、今から着手すべき課題は山積しています。

小売・EC業界サイバー脅威：統計と傾向（2025年）

指標	2024年	2025年	増減率	備考
サイバー攻撃件数	13,800件	23,100件	+67%	警察庁統計
総被害額	1,380億円	2,300億円	+67%	推計値
カード情報漏洩件数	85万件	204万件	+140%	JPCERT/CC集計
POS感染事例	133件	280件/月	+210%	IPA報告
ECサイト侵害	4,200件	7,100件	+69%	セキュリティベンダー調査
平均被害額（中小EC）	1,200万円	2,800万円	+133%	1件あたり
平均被害額（大手小売）	12億円	28億円	+133%	1件あたり
平均検知日数	47日	68日	+45%	感染から発覚まで
セキュリティ投資額（業界全体）	2,300億円	3,800億円	+65%	推計値

決済手段別リスク比較（2025年）

決済手段	普及率	不正利用率	主な脅威	推奨対策	セキュリティレベル
クレジットカード	58%	0.35%	カード情報窃取、なりすまし	3DS2.0、トークナイゼーション	中〜高
デビットカード	12%	0.28%	カード情報窃取	同上	中〜高
QRコード決済	18%	0.15%	偽QRコード、アカウント乗っ取り	MFA、生体認証	中
電子マネー	25%	0.08%	カードスキミング、端末不正	NFC暗号化、残高制限	中〜高
後払い決済	8%	1.20%	なりすまし、未払い	厳格な本人確認、AI審査	低〜中
仮想通貨	2%	2.50%	ウォレット窃取、送金詐欺	ハードウェアウォレット、MFA	低〜中
銀行振込	15%	0.02%	フィッシング	振込先確認、アラート	高

セキュリティ投資ROI分析（3年間の試算）

投資項目	初期投資	年間運用費	削減できる被害額（年間）	3年間ROI	優先度
WAF導入	300万円	100万円	3,000万円	1,400%	最高
EDR/マルウェア対策	500万円	200万円	5,000万円	1,567%	最高
トークナイゼーション	400万円	150万円	8,000万円	3,200%	最高
不正検知AI	800万円	300万円	1億2,000万円	2,182%	最高
ペネトレーションテスト	200万円	200万円	1,500万円	150%	高
セキュリティ教育	100万円	100万円	800万円	200%	高
SIEM/SOC	1,500万円	800万円	8,000万円	488%	高
侵入テスト/監査	300万円	300万円	2,000万円	122%	中

※ROI = (3年間の被害削減額 - 3年間の総コスト) ÷ 3年間の総コスト × 100

よくある質問（FAQ）

Q: 中小ECサイトでも狙われますか？: A: むしろ中小が狙われやすいです。理由は5つあります。①セキュリティ投資が不十分で基本的な防御策すら実装されていない、②WAFやモニタリングシステムが未導入、③決済処理をプラグイン任せにして脆弱性管理ができていない、④セキュリティアップデートの適用が遅延している、⑤専門人材が不在で異常を検知できない、という点です。攻撃者は自動化ツールで大量の中小サイトを同時にスキャンし、脆弱なサイトを探し出します。「うちは小さいから大丈夫」「有名じゃないから狙われない」は危険な思い込みです。実際、2025年の被害の78%は従業員50名以下の中小事業者で発生しています。最低限、WAF導入とPCI DSS準拠は必須です。初期投資が困難な場合でも、決済処理を外部のセキュアな決済代行会社に完全委託することで、リスクを大幅に軽減できます。
Q: POSレジの入れ替えは必要ですか？: A: 古いPOSは早急な入れ替えを強く推奨します。特にWindows 7やXPを搭載したPOSは即座に交換が必要です。これらのOSはサポートが終了しており、新たな脆弱性が発見されてもパッチが提供されません。判断基準は次の通りです：①OSのサポートが終了している、②カード情報の暗号化機能がない、③ネットワーク分離ができない構造、④セキュリティパッチの適用ができない、⑤5年以上使用している、のいずれかに該当する場合は交換を検討してください。従来型POSからクラウドPOSへの移行なら、初期投資を抑えつつセキュリティを向上できます。月額数千円から利用可能なサービスもあり、買い取りより経済的です。また、IT導入補助金やDX推進補助金など、公的支援制度も活用できます。2025年時点で、レガシーPOSを使い続けることは、店舗とブランドの存続リスクと認識すべきです。
Q: Magecart攻撃はどう防げばいいですか？: A: Magecart攻撃の防御には多層的なアプローチが必要です。①Content Security Policy（CSP）の厳格な実装により、許可されていないJavaScriptの実行をブロックします。②サブリソース完全性（SRI）チェックを導入し、外部スクリプトの改ざんを検知します。③定期的なファイル整合性監視により、不正なコード注入を発見します。④WAFでJavaScriptの挿入パターンを監視し、既知の攻撃シグネチャをブロックします。⑤決済処理を外部のセキュアなサービス（Stripe、PayPal等）に完全委託し、自社サイトでカード情報を一切扱わない構成にします。⑥定期的な脆弱性診断（最低でも四半期ごと）を実施します。特に重要なのは、第三者スクリプト（広告タグ、アクセス解析、チャットボット等）の厳格な管理です。信頼できるベンダーのスクリプトのみを許可し、月1回はソースコードの差分チェックを実施してください。開発者には、コードレビューの際にセキュリティチェックを必須とする体制を構築することも効果的です。
Q: AIを使った不正対策の効果は？: A: AI不正対策は劇的な効果があります。実際の導入事例では、不正注文を95%削減、チャージバック（返金要求）を50%減少、誤検知を80%削減という成果が報告されています。特に、従来のルールベース検知では捕捉できなかった巧妙な不正（少額取引を繰り返す、正規顧客の行動を模倣する等）を高精度で検知できる点が優れています。ただし、導入にあたっては注意点もあります。①AIの学習期間として3〜6ヶ月が必要で、即座に効果が出るわけではありません。②初期投資が高額（中規模EC事業者で数百万円〜数千万円）です。③継続的なチューニングと運用が必要で、「導入して終わり」ではありません。④攻撃者もAIを欺く手法を開発しており、定期的なモデル更新が必須です。⑤AIは万能ではなく、ルールベース検知との併用が推奨されます。総合的に見ると、年間の不正被害額が1,000万円を超える事業者であれば、投資対効果は十分にあります。まずは無料トライアルや小規模導入から始め、効果を確認してから本格展開するアプローチが現実的です。

まとめ

2025年の小売・EC業界は、サイバー脅威の最前線に立たされています。POSマルウェア、Magecart攻撃、オムニチャネル統合のリスク、PCI DSS v4.0対応—課題は山積しています。しかし、適切な対策を講じれば、これらの脅威から事業を守り、顧客の信頼を維持することは可能です。

重要なのは、セキュリティを「コスト」ではなく「投資」と捉えることです。前述の通り、適切なセキュリティ投資のROIは数百%から数千%に達します。一方、一度の情報漏洩が事業の存続を脅かすことも、本記事の事例が示しています。

2026年に向けて、量子耐性暗号への移行、Web3.0/メタバース対応など、新たな課題も控えています。小売・EC事業者は、継続的にセキュリティ体制を進化させていく必要があります。

サイバーセキュリティは、もはや単なるIT部門の課題ではありません。経営戦略の中核に位置づけ、全社的に取り組むべき重要事項です。今日から、できることから始めましょう。

【重要なお知らせ】

本記事は一般的な情報提供を目的としており、個別の状況に対する法的助言や技術的助言ではありません
実際にサイバー攻撃の被害に遭われた場合は、警察（#9110）、IPA（情報処理推進機構）、JPCERT/CCなどの公的機関にご相談ください
セキュリティ対策の実装にあたっては、専門家のアドバイスを受けることを強く推奨します
記載内容は作成時点の情報であり、脅威や対策技術は日々進化している可能性があります
PCI DSS準拠については、QSA（認定セキュリティ評価機関）にご相談ください

更新履歴

2025年11月16日: 初稿公開