チャージバックと不正利用への備え｜決済代行のセキュリティ機能の見方

チャージバックとは何か、誰が負担するのか

チャージバックは、カード会員が「このカードを使っていない」「商品が届かない」などの理由でカード会社に申し立て、決済が取り消される仕組みです。カード会員を保護するための制度で、申し立てが認められると、加盟店に入るはずだった売上が差し引かれる形になります。

加盟店側から見ると、痛いのは「商品やサービスは提供済みなのに売上が戻らない」という二重の損失です。デジタルコンテンツやギフト券のように即座に価値が渡る商材、高額商品、転売しやすい商材は、狙われやすい傾向があるといわれます。自社の商材がこの性質を持つかどうかが、対策の強度を決める最初の判断材料になります。

なお、条件を満たした本人認証を経た取引については、不正利用に起因する負担の扱いが変わる仕組みが用意されている場合があります。ただし適用の範囲や条件はカードブランド・契約内容によって異なるため、「この方法を使えば負担がなくなる」とは考えず、契約している決済代行会社に自社のケースでの扱いを確認してください。

まず見るべきセキュリティ機能は3つ：本人認証・トークン・不正検知

機能名がたくさん並んでいて迷ったら、次の順で見ると整理できます。第一に3Dセキュア（本人認証）。カード番号に加えて、カード会社側でワンタイムパスワードや生体認証などによる本人確認を行う仕組みです。現在は、リスクの低い取引では認証を省略し、怪しい取引だけ追加認証を求めるリスクベースの方式が主流になっています。

第二にトークン決済（トークナイゼーション）。入力されたカード番号をそのまま自社サーバーに送らず、決済代行側で発行した代替の文字列（トークン）だけを受け取る方式です。自社でカード番号を保持しないため、万一の情報漏えい時のリスクを抑えられ、カード情報の非保持化という考え方にも沿います。自社サイトに入力フォームを置きたい場合は、この方式に対応しているかを早い段階で確認しておくと設計のやり直しを避けられます。

第三に不正検知。同一カードでの短時間の連続購入、海外IPからのアクセス、配送先とカード名義の不一致といったパターンを検知して、保留やアラートにまわす仕組みです。決済代行に標準で付く簡易的なものと、外部の専門サービスを組み合わせるものがあります。高額商材や転売されやすい商材を扱うなら、検知のルールを自社で調整できるかも見ておきたいところです。

自社に必要なレベルの決め方：商材と客単価から逆算する

対策は強いほど安心ですが、認証の手間が増えるとかご落ち（購入途中の離脱）につながります。そこで、次の条件で段階を分けて考えます。デジタル商材・即時提供・客単価が高い・定期課金でない、のいずれかに当てはまるなら、本人認証と不正検知を早い段階から組み合わせる方向で検討します。

一方、物理商品で配送に数日かかり、客単価もそれほど高くない場合は、まずトークン決済で情報を持たない構成にし、そのうえで不正検知のアラートを運用で拾う、という順番でも回せることがあります。配送前に確認の電話やメールを入れる運用だけでも、一定のブレーキになります。

迷ったら、「この取引で不正が起きたら、いくら失うか」を1件あたりの金額で置いてみてください。1件の損失が大きいほど、多少の離脱を許容してでも認証を強める判断に傾きます。逆に少額多数のビジネスでは、全件に重い認証をかけるより、検知ルールで怪しい取引だけ止める設計が現実的です。

返金・キャンセルの処理を先に決めておく

チャージバックの申し立て理由には「商品が届かない」「説明と違う」といった、不正利用ではないものも含まれます。これらは、問い合わせの段階で自社が返金対応していれば起きなかったケースが少なくありません。つまり、返金導線を分かりやすくしておくこと自体が対策になります。

決済代行の管理画面から、返金（売上取消・一部返金）がどこまで自分たちで操作できるかを確認しておきましょう。締め日をまたぐと取消ではなく返金処理になる、期限を過ぎると管理画面からは操作できない、といった制約があるのが一般的です。締め日と期限の考え方は各社で異なるため、契約前に運用ルールとして書き出しておくと、現場が迷いません。

社内では「誰が返金を承認し、誰が操作するか」を決めておきます。ひとり社長でも、返金理由と日付を記録に残す形にしておくと、後から経理処理や問い合わせ対応で助かります。返金時の売上計上や消費税の扱いで判断に迷う場合は、税理士にご確認ください。

チャージバックが起きたときの動き方

流れはおおむね、カード会社から決済代行へ連絡が入り、決済代行から加盟店へ通知が届く、という順です。通知には回答期限が設定されていることが多く、期限内に取引の正当性を示す資料を提出できれば、申し立てに対して反証する余地があります。

このとき出せると強いのが、注文時のログ（日時・IPアドレス・入力情報）、発送を示す記録（配送伝票番号や配送完了の記録）、本人とのやり取りの記録です。つまり、平時からこれらを一定期間保存しておくかどうかが、そのまま結果を左右します。受注管理システムや配送伝票の控えを、いつまで・どこに残すかを最初に決めておきましょう。

同じ手口が続く場合は、単発で対応せず、検知ルールの見直しや、特定条件の取引を保留する運用に切り替えます。決済代行によっては担当者と相談できる窓口があるため、件数が増えてきたら早めに相談するのが現実的です。

障害・停止への備えも、セキュリティと同じ枠で見る

不正利用と並んで売上に直結するのが、決済が通らなくなる事態です。決済代行側のシステム障害、カードブランド側の障害、自社サイトの改修ミスなど、原因はさまざまです。選ぶ段階では、障害情報をどこで告知するか（ステータスページ、メール、管理画面）、緊急時の連絡先と受付時間、過去の障害について説明があるか、を確認しておきます。

備えとして現実的なのは、決済手段を一本に絞らないことです。カード決済に加えて、コンビニ払いや口座振替、QRコード決済などの選択肢を用意しておくと、片方が止まっても受注を落としきらずに済みます。ただし手段を増やすほど運用と入金管理は複雑になるので、主力とサブの2系統くらいから始めるのが扱いやすい構成です。

あわせて、障害時にお客様へ何と案内するかの文面を、先に一枚用意しておくと動きが早くなります。「現在、決済システムに不具合が発生しており、復旧まで◯◯の方法をご利用ください」という形の雛形です。慌てて書くと情報が不正確になりがちなので、平時に作っておくことをおすすめします。

比較表に載らない項目こそ、契約前に聞いておく

各社の比較ページには機能の有無が並びますが、実際に効いてくるのは運用面です。契約前に聞くなら、次の順が効率的です。①チャージバック発生時の通知方法と回答期限、②反証資料の提出方法（管理画面か、メールか）、③返金操作の期限と締め日の関係、④障害時の連絡経路と告知場所、⑤本人認証や不正検知の設定を自社で変更できる範囲。

料金や手数料の条件は各社・各プランで異なり、商材や取扱高によっても変わります。金額については各社の公式サイトや見積もりで最新の条件を確認してください。安さだけで選ぶと、いざチャージバックが続いたときに相談先がなく、結果的に損失が大きくなることがあります。

カード情報の取り扱い、セキュリティ基準の詳細、本人認証の適用条件については、制度やブランドのルールが更新されることがあります。最新の要件は、所管官庁やカードブランド、決済代行会社が公開している資料を確認してください。契約内容やチャージバック時の負担の取り決めについて判断に迷う場合は弁護士に、返金・貸倒れなどの会計処理については税理士にご相談ください。

よくある質問