越境ECの海外決済と不正注文とは?決済拒否・住所不一致・高額注文の確認方法 DAY47

🌏 Lv.3 越境ECの仕組みを学習中 XP 470

【DAY47】海外決済と不正注文

海外カード、決済拒否、住所不一致、高額注文、不正検知を整理する

解決.com公式 DAY47|越境ECの基礎知識:海外決済と不正注文。「決済成功=安全」のパラダイムを破壊し、正しい出荷判定フローを構築する。EC Control Center / Risk Radar
学習進捗 0 / 100 XP
🔊 音声で聞く「決済成功は安全の合図ではない」

DAY46では、言語、通貨、為替、時差、文化・商習慣を確認し、海外購入者が商品を理解し、注文しやすいECへ整える方法を学びました。では、海外購入者から実際に注文が入り、カード決済も成功したとします。この時点で、注文確定からすぐ発送としてよいでしょうか。必ずしもそうではありません。ECでは購入者と販売者が対面しないため、カードを使っている人と、本当のカード保有者が同じかを店舗側から直接確認できません。

国際的なカード決済の枠組みを策定するEMVCoは、このような非対面のカード取引をCard-Not-Present(CNP)取引として扱い、EMV 3-D Secureは、ECでカード利用者を認証し、不正利用防止と安全性向上を支援する仕組みだと説明しています。さらに、決済に失敗した=不正注文でもありません。残高・利用可能額不足、カード情報の入力間違い、カード会社による承認拒否、不正利用を疑った判定など、決済拒否には複数の原因があります。決済会社Stripeの現行資料でも、カード番号・有効期限・CVCの入力不備、利用可能額不足、不正利用の疑いなどがカード決済拒否の要因として挙げられています。つまりDAY47では、決済成功=安全、決済失敗=不正という二択で考えないことが重要です。

「カード決済に“成功”って出ても、注文全部が安全とは限らないよ。決済結果と注文リスクは分けて見よう!」

DAY46との違い

危険な思い込み:「決済成功=即発送」ではありません。The Myth(自動化の罠)注文確定→カード決済成功→即発送。The Reality:決済に「成功」したことは、カード取引が「承認」されただけであり、注文全体が「安全」であるという意味ではありません。カード決済に“成功”って出ても、注文全部が安全とは限らないよ。決済結果と注文リスクは分けて見よう、とカイピヨくんが解説

DAY46では、表示通貨、決済通貨、為替、言語、時差など、購入者が注文できる環境を整えました。DAY47では、実際に注文が入ったあと、その決済は正常か、不正利用の可能性はないか、このまま出荷してよいかを確認します。今回は、海外カード、決済拒否、CVC、住所確認、3Dセキュア、高額注文、連続注文、配送先変更、不正検知、出荷保留を中心にします。DAY48からは、関税・税金・通関の学習へ進みます。

この記事で分かること

  • 海外カードとは何か、非対面カード決済(CNP取引)の特徴
  • 決済成功と注文承認の違い、決済拒否=不正ではない理由
  • CVC・AVS・3Dセキュアで何が分かり、何が分からないか
  • 請求先住所と配送先住所の違い、カード発行国を見る理由
  • 高額注文・大量購入・短時間の連続決済・カードテスティングの見分け方
  • 不正検知システムの役割と限界、正常注文を止めすぎないバランス
  • 出荷を保留する運用、記録の残し方、不正パターンの蓄積方法

先に結論|「決済」と「出荷」を分ける

正しいECの注文処理フロー(決済と出荷の分離)。1.注文受付2.決済処理3.決済結果確認4.不正リスク確認(出荷承認ゲート・最重要フェーズ)5.問題なし→出荷指示6.発送。支払済みのトグルはON、出荷待ちのトグルはロックされた状態で表示

DAY47で最も大切なのは、カード決済成功から自動的に発送としないことです。注文処理を、注文受付、決済処理、決済結果確認、不正リスク確認、必要なら保留、問題なし、出荷指示、発送という順番に分けます。つまり、決済できたかと、商品を発送してよいかは別の判断です。

例えば、決済は成功していても、初回購入、高額商品、請求先と配送先が大きく異なる、注文直後に配送先変更、短時間に複数回注文などが重なっていれば、一度確認するという運用が考えられます。逆に、請求先と配送先が違うという一つの条件だけで不正注文と決めるのも適切ではありません。ギフト、勤務先への配送、家族への発送など、正当な理由もあります。Stripeも、請求先と配送先の違いだけでは不正を意味しない一方、他の要素と合わせて詳しく確認するシグナルにはなると説明しています。

海外カードと非対面決済の基本

越境ECでは、海外の金融機関等が発行したカードによる注文を受けることがあります。例えば、日本のEC事業者がアメリカの購入者から、海外発行カードで支払いを受ける形です。販売者は海外カードを直接処理するのではなく、一般的には決済代行会社等を通して、カード会社・カード発行会社等のネットワークへ決済要求を送ります。利用できるカードブランド、対応国、対応通貨は、決済サービスごとに確認します。

なぜ非対面(CNP)の決済は特殊なのか?実店舗(対面)は購入者・物理カード・商品がその場にある。EC(Card-Not-Present/非対面)はIP・端末情報・住所のみで、実店舗のように「人」を見られないため、カード情報・端末情報・住所・過去の取引などの複数データでリスクを判断するしかない

実店舗なら、購入者・カード・商品がその場にあります。一方ECでは、購入者がカード情報を入力し、インターネット経由で決済され、商品は別住所へ発送されます。カードそのものを店舗スタッフが確認できません。このため、カード情報、購入者情報、端末情報、住所、認証情報、過去の取引など、複数の情報を使ってリスクを判断します。EMV 3DSも、取引情報・決済手段・端末情報等を販売者とカード発行会社側でやり取りし、カード利用者の認証を支援する仕組みです。

決済成功とは何か・注文ステータスを分ける

購入者がカードを入力すると、カード発行会社等が、その取引を承認するかを判断します。承認されれば、EC管理画面上では、決済成功・支払済み・Authorized・Paidなどと表示される場合があります。ただし決済成功は、カード取引が承認されたという意味であり、販売者が注文内容全体を安全と判断したという意味ではありません。ここを分けます。

注文ステータスを、支払済み=出荷待ちだけにすると、確認が必要な注文も倉庫へ流れる可能性があります。例えば、注文受付、決済成功、確認中、出荷承認、出荷指示済み、発送済みというように分ける方法があります。不正注文対策では、商品が倉庫を出る前に止められることが重要です。

決済拒否は不正注文ではない

決済拒否(Decline)=不正(悪人)ではない。エラーの要因は入力ミス(利用可能額不足/番号誤り)、カード会社によるセキュリティロック(高額・海外ECへの警戒)、真の不正利用疑いの3種類。EC側の正しい対応は再入力・別決済の案内、カード保有者から発行会社へ確認を促す、連続試行(カードテスティング)を防ぐ。詳細な拒否理由はセキュリティ上、カード本人にしか開示されない

購入者がカードを入力しても、決済が承認されないことがあります。例えば、利用可能額不足、カード番号誤り、有効期限誤り、CVC誤り、カード会社による利用制限、不正利用の疑いなどです。Stripeの現行ドキュメントでも、カード発行会社は利用状況、残高、カード情報等を使って承認判断を行い、決済拒否の理由には利用可能額不足、情報誤り、不正利用疑いなどがあると説明しています。つまり、決済拒否=犯人ではありません。

決済拒否時は、利用する決済サービスから返されるエラー内容を確認し、カード情報を確認してください、別の決済方法をお試しください、カード会社へ確認してくださいなど、原因に応じた案内をします。カード発行会社側の詳しい拒否理由は、セキュリティ等の理由からカード保有者本人にしか説明されないこともあります。Stripeも、一般的な拒否コードでは正確な理由が分からず、カード情報に問題がなければカード保有者から発行会社へ問い合わせるよう案内しています。

カードが拒否されたとき、同じカードで10回、20回と何度も連続試行させるのは避けます。入力間違いなら、情報修正、別カード、別決済などへ案内します。大量の失敗決済は、単なる購入失敗だけでなく、カードテスティングの可能性も確認する必要があります。

CVC・AVS・3Dセキュアで確認できること

防御ツールの理解と限界(本人確認ツール比較)。3Dセキュア(EMV 3DS)は利用者の認証、限界は認証成功=即発送ではなく注文全体のリスク確認が必須。CVCはカード現物の所持確認、限界は情報一式が丸ごと盗まれていれば通過しウォレット決済では提供されないことも。AVSは請求先とカード発行会社の登録住所の照合、限界は主に米国・カナダ・英国でのみ利用され未確認だからといって不正とは限らない

CVC・CVVなどは、カードに記載されている、通常3桁または4桁のセキュリティコードです。オンライン決済では、カード番号、有効期限、CVC等を入力する仕組みがあります。ただし、CVCが一致した=本人とは断定できません。カード情報一式が盗まれている可能性もあるためです。CVCチェック結果が、一致・不一致・未確認などとして決済管理画面へ表示される場合があります。不一致なら、入力間違い、カード情報の問題、不正利用可能性などを確認します。ただし、ウォレット決済などでは同じ形でCVC情報が提供されない場合もあるため、CVC結果だけで全注文を統一判定しないことが重要です。Stripeも、CVC確認がすべての決済方法で利用できるわけではないため、単純な一律判定は厳しすぎる場合があると説明しています。

AVS(Address Verification Service)は、購入者が入力した請求先住所等と、カード発行会社側の住所情報を照合する仕組みです。Stripeの説明では、AVSは主に米国・カナダ・英国のカード発行会社で利用されています。つまり、世界中のカードで同じ住所確認結果が取れるとは限りません。AVS結果がUnchecked(未確認)となっていても、カード発行地域や決済方法の関係で照合自体が行われていない場合があります。したがって、AVSが取れない=拒否と固定しません。決済サービスが、どの国・どのカード・どの決済方法で何を確認できるかを理解します。

3Dセキュアは、オンラインカード決済時に、カードを使っている人が正当な利用者かを認証するための仕組みです。現在の国際的な仕様であるEMV 3-D Secureでは、取引・カード・端末等の情報を使ってリスクを判断し、必要な場合には、ワンタイムパスコード、生体認証、その他の追加認証などを求めることがあります。EMVCoは、取引情報を基に発行会社が判断し、多くの取引では購入者の追加操作を必要とせず、高リスクと判断された場合に追加認証を求める仕組みを説明しています。つまり、安全性と購入時の負担のバランスを取る仕組みです。

3Dセキュアは、不正利用リスクを低減する重要な仕組みですが、すべての不正注文を完全に防止するという意味ではありません。EMVCoも、CNP不正を防止し、EC決済の安全性を高めるための認証技術として位置付けています。したがって、3DS成功から何も見ず即発送ではなく、注文全体を確認します。

請求先・配送先・カード発行国・IPを確認する

危険信号1:不自然な「地理的矛盾」を見抜く。請求先住所(Billing)・カード発行国・配送先(Shipping)・アクセスIPの4点を地図上で照合する。請求先と配送先が違うだけ(例:ギフト)なら正常。しかし3ヶ国・4ヶ国にまたがる不自然な動きはアラート(要確認)。IPの国=居住国とは限らないので一つの材料として扱う

カード決済では、Billing Address(請求先住所)とShipping Address(配送先住所)という言葉が出てきます。この2つが同じ場合と違う場合があります。例えば、請求先はアメリカ、配送先は日本という注文があったとします。これだけで不正注文と判断してはいけません。海外在住者が日本の家族へプレゼントというケースも考えられます。ただし、住所不一致に加えて、高額、初回購入、特急配送、配送先変更など複数の要素が重なれば、確認対象にする方法があります。Stripeも、住所の不一致単独では不正を示さない一方、配送先と請求先、カード発行国等の組み合わせを確認することを推奨しています。

決済管理画面では、カードがどの国で発行されたかを確認できる場合があります。カード発行国、請求先、配送先がすべて同じ国であれば、情報の整合性があります。一方、3か国に分かれている場合、必ず不正ではありませんが、なぜ分かれているのかを確認する候補になります。不正検知サービスでは、決済時のIPアドレス、端末情報、位置情報などをリスク判断へ使う場合があります。Visaは2026年の不正対策資料で、取引頻度を見るVelocity Checkや、配送先とIP等の地理情報の不一致確認をEC不正対策の一例として挙げています。ただし、IPの国は本人の居住国とは限りません。旅行、VPN、会社ネットワーク、モバイル通信などもあるため、一つの材料として扱います。

不正注文とチャージバックへの流れ

DAY47でいう不正注文とは、例えば、盗まれたカード情報、不正取得したアカウント、虚偽情報などを使って、正当な支払者の意思なしに商品を取得しようとする注文などを指します。Visaも、盗まれた認証情報による注文や、購入・配送プロセスの悪用などをEC不正の例として説明しています。

例えば、第三者が盗難カード情報を入手し、ECで商品を注文、決済成功、販売者が商品発送、第三者が商品取得、本当のカード保有者が明細確認、利用していないと申立て、紛争・チャージバックへ、という流れが考えられます。つまり、販売者から見て決済成功=売上だったものが、後から争われる可能性があります。DAY31では、売上確定、返金、チャージバックという決済後のお金の動きを学びました。DAY47では、チャージバックが発生してから対応するのではなく、発送前に不自然な注文へ気付くことを中心にします。

高額・大量注文をどう見るか

例えば通常、平均注文金額5,000円のECに、突然100,000円の注文が入ったとします。これだけで不正とは言えません。しかし、普段より大幅に高い注文、高額商品のみを購入、同一商品を大量購入などは、確認候補にできます。Stripeも、不正の可能性を確認するシグナルとして、通常より大きい注文や最も高額な商品の大量購入を挙げています。

不正確認では、10万円以上を一律高額とするだけでは不十分です。高級時計ECなら10万円は普通かもしれませんが、1,000円の商品中心の店で10万円注文なら異常です。そのため、通常注文額、平均購入点数、商品カテゴリー、既存顧客かどうかを基準にします。同じ商品を50個購入という大量注文も、法人利用やイベント利用かもしれませんし、転売目的や不正カードの可能性もあります。個数だけで拒否せず、購入理由、顧客属性、過去注文、配送先、決済情報を合わせます。

不正利用者は、入手後に転売しやすい商品を狙う場合があります。Stripeも、高額商品や再販価値の高い商品は、不審注文を確認する要素になり得るとしています。また、新規顧客が初回から非常に高額な商品を大量購入した場合も確認対象にする方法があります。既存顧客なら過去の注文、配送先、利用カード、問い合わせ履歴など比較情報がありますが、新規顧客にはそれがありません。ただし、初回購入だから危険と一律拒否するのではなく、他の条件と合わせます。

短時間の連続注文・複数カード・カードテスティング

危険信号3:決済失敗の急増に潜む「カードテスティング」。ボットが盗難カード情報を大量入力し、100円〜500円の少額決済を連続試行、大半は決済拒否だが成功したカードを発見すると即座に高額決済へ悪用される。通常10件前後だった決済失敗が1,000件規模へ急増したら放置せずCAPTCHAやアクセス制限(Rate Limit)を検討する

例えば、1分間に20回、同じ購入者情報で決済が発生したなどです。通常の人間の買い物とは異なる可能性があります。Visaは、一定時間内の取引頻度にしきい値を設けるVelocity Checkを不正対策の一つとして挙げています。ECでは、注文回数、決済回数、カード変更回数、失敗回数を確認します。同じカードで住所A・B・C・Dへ短時間に注文という状態は、家族へのギフトや複数拠点への配送など正当なケースもありますが、不正利用のシグナルにもなり得ます。Stripeも、同一カードで複数配送先というパターンを複数の不正指標の一つとして挙げています。反対に、配送先は同じ住所でカードA・B・C・Dという短時間の注文も確認します。家族が別カードで購入という正常な場合もありますが、多数のカードを試している可能性も考えます。

一つの注文で、カードA拒否、カードB拒否、カードC拒否、カードD成功となった場合、単純にやっと払えた場合もありますが、大量のカード番号を試して使えるカードを探している可能性もあります。Stripeは、異なるカードを使った失敗決済が短時間に多数発生し、その後決済成功した場合、不正リスクが高いシグナルになり得ると説明しています。カードテスティングは、不正取得したカード情報が現在使えるかどうかを確認するために、少額決済などを大量に試す不正行為です。Stripeは、盗難カード情報の有効性を確認するため、多数のカードを自動的に試行する行為として説明しています。100円、200円、500円など少額の商品・寄付・決済機能を使って、大量のカードを試すということがあります。

例えば通常、1日の決済失敗が10件だったのに、突然1,000件になった場合、単なる購入者の入力ミスだけではない可能性があります。Stripeはカードテスティングの兆候として、失敗・ブロック決済の急増、少額の不自然な取引、不自然な名前・メールなどを挙げています。注文数だけでなく、決済失敗数も見ることが重要です。

不自然な連絡先・配送先変更・特急配送を確認する

意味のない文字列のメール、明らかに不完全な電話番号、注文ごとに名前だけ変わるなどは、これだけで不正とは断定しません。しかし、高額、住所不一致、大量注文など別の要素と重なれば確認材料になります。Stripeも、虚偽と思われる連絡情報や、複数注文間で顧客情報に矛盾があることを不正シグナルの例として挙げています。

注文の決済成功直後に「配送先をBへ変更してください」という連絡があったとします。正規購入者が住所を間違えた場合もありますが、決済時には正当な住所を使い、決済後に別住所へ送らせるという不正も考えられます。Stripeも、注文後の配送先変更を、不審注文を詳しく確認する要素として挙げています。決済後の住所変更は、原則一度注文を取消して正しい住所で再注文とする運用や、本人確認後のみ変更とする方法があります。重要なのは、担当者がその都度感覚で決めないことです。特に高額商品、初回注文、海外配送ではルールを決めます。

高額な特急配送を選ぶ注文もあります。正規購入者が急いでいる場合もありますが、不正カード利用者は、カード停止前に商品を受け取るため、高い送料を気にせず急ぎ配送を選ぶ場合があるとStripeは説明しています。したがって、特急配送=不正ではなく、確認シグナルとして扱います。海外購入者が転送サービス・配送代行・物流倉庫などを配送先に使うことも、越境ECでは送料削減や荷物まとめなど正当な目的があります。転送先住所だから即拒否とはしませんが、カード本人と配送先の関係を確認しづらくなるため、高額・初回購入・住所不一致などが重なる場合は追加確認を検討します。Stripeも、フレイトフォワーダーへの発送には追加の注意を払うよう案内しています。

一つの条件だけで不正判定しない

危険信号2:異常パターンの掛け算。初回購入(既存顧客の履歴なし)×高額・大量(通常平均の5倍以上/高換金性商品)×特急配送(不正発覚前に受け取るため送料を無視)×直後の住所変更(決済通過後に配送先をすり替え)。単一条件なら白(正常)、4つ重なれば黒(要確認)。複数のシグナルが掛け合わさった時にアラートが鳴る

海外カード=危険、高額=危険、住所不一致=危険という一律判定にすると、正規購入者まで拒否してしまいます。不正検知では複数条件を組み合わせます。例えば、初回購入+通常の5倍の金額+請求先と配送先が別国+特急配送+注文後に住所変更なら、確認優先度を高くするという考え方です。単一の条件なら「正常」でも、複数のシグナルが重なった時にはじめてアラートを鳴らすイメージです。

不正検知システムを使いこなし、バランスを取る

不正対策のジレンマ:バランスの天秤。不正ブロックの厳格化(海外カードは全て拒否・住所不一致は即キャンセル)を強めるほど、誤検知(False Decline)で正規の顧客(売上)まで弾いてしまう。目的は「注文を怖がること」ではなく「安全に承認できる正常な注文を増やすこと」

決済サービスには、取引情報、端末情報、過去の不正データ、カード確認結果、取引頻度などを使い、不正リスクを評価する機能があります。例えばStripe Radarでは、機械学習や設定したルールを使って、高リスク決済のブロック・レビュー等を行う仕組みがあります。Visaも、リアルタイムの取引スクリーニング、機械学習、Velocity Check、位置情報分析等をEC不正対策の例として挙げています。不正検知システムで「リスク:高」と表示された場合でも、販売者側で確認する余地があります。逆に「リスク:低」でも100%安全とは限りません。不正検知は判断を支援する仕組みであり、販売者側の商品、平均注文額、顧客層、配送方法など、自社の事情を加えて判断します。

海外カードはすべて拒否、請求先と配送先が違えばすべて拒否というルールなら不正は減るかもしれませんが、正規注文も失います。Visaは、不正対策と同時に正規取引の承認率や購入体験のバランスを取る必要性を説明しており、誤って正常取引を拒否するFalse Declineの低減も重要としています。DAY47では、不正を全部止めるだけでなく、正常注文を止めすぎないことも覚えてください。

「自動承認・確認・拒否」の3段階と保留運用

The Triage System:注文の3段階選別。ルート1自動承認(リスク低)は通常注文、そのまま自動で出荷指示へ。ルート2要確認(中リスク・条件合致)は初回高額など、保留ステータスへ移行し手動確認。ルート3即拒否(リスク高)はカードテスティング等、即座にキャンセル・返金

注文を、①自動承認(リスク低)、②確認(追加確認が必要)、③拒否・キャンセル(リスクが高く条件を満たさない)の3段階に分ける方法があります。通常注文はそのまま自動承認、高額+初回なら確認、決済サービスが高リスクとしてブロックすれば拒否、という形です。不正確認が必要な注文を発送待ちに入れないようにします。例えば、決済済み、不正確認中、確認完了、出荷承認というステータスを作り、倉庫へは確認中の商品を出荷しないルールも必要です。

「要確認(保留)」ステータスの安全な運用プロトコル。Rule1出荷の物理的停止:倉庫へデータが流れないよう24〜48時間ブロックする。Rule2安全な顧客確認:注文内容・数量・配送先の理由のみを尋ねる(カード番号やパスワードを聞くBad Practiceは避ける)。Rule3高リスク商品は配達完了情報が残る追跡番号付き配送を使用する

不審点がある場合、購入者へ連絡することがあります。注文内容の確認、配送先の確認、電話番号の確認、大量購入理由の確認などです。ただし、カード番号全部、CVC、オンラインバンキングのパスワードなど、不要な秘密情報をメール等で求めないようにします。高額注文だからと全員に身分証写真をメールで送らせる方法は、個人情報管理の負担を増やします。DAY36で学んだとおり、取得する個人情報は、目的、保管、アクセス権限、削除まで管理する必要があります。できるだけ、決済事業者の認証機能、3Dセキュア、既存の不正検知を使い、自社が不必要な機密情報を取得しない設計を考えます。

高リスク注文について、確認が終わるまで発送しない方法もあります。Stripeは物理商品の不正対策として、状況に応じて出荷を24〜48時間遅らせることを一例として案内しています。ただし全注文を必ず48時間止めるというルールではなく、自社の商品、配送速度、顧客体験、リスクを見て決めます。高額商品の配送では、追跡番号、配達完了情報などが残る配送方法を検討します。Stripeも、物理商品ではオンライン追跡・配達確認を利用し、購入者へ追跡情報を提供することを不正・紛争対策のベストプラクティスとして挙げています。

記録を残し、ルールを改善し続ける

ルールメイク:属人化を防ぐ「判断のログ化」。悪い記録は「怪しいから保留にしました」「問題なさそうなので通しました」という担当者の感覚のみで数ヶ月後に検証不能。良い記録は「初回注文・通常平均の8倍・配送先と発行国が異なる・注文後に変更依頼あり→保留」という客観的な事実の記録。数ヶ月後にログを分析し自社独自の正常/異常パターンのルールを更新し将来の防御力にする

不正確認時に、担当者の記憶だけでは判断できません。残すものは、注文番号、注文日時、商品、数量、金額、顧客ID、決済結果、カード発行国、CVC結果、AVS結果、3DS結果、請求先、配送先、IP・地域情報、不正リスク判定、確認理由、担当者、出荷可否、問い合わせ記録、追跡番号です。利用できる情報は決済サービスによって異なります。

注文を保留したら理由を記録します。悪い例は「怪しいから」、良い例は「初回注文・通常平均の8倍・配送先とカード発行国が異なる・注文後に配送先変更依頼・要確認」のようにします。これにより担当者ごとの差を減らせます。確認対象だった注文を問題なしと判断した場合も、購入者へ確認済み、法人の大量購入、過去取引あり、配送先変更理由確認済みなど記録します。後から問題が起きたとき、判断根拠を確認できます。

例えば3か月後、不正注文10件を分析します。特定商品、初回購入、同じ配送地域、大量購入、特急配送、短時間決済などの共通点が見つかるかもしれません。その場合、確認ルールを更新します。Visaも、不正対策は一度設定して終わりではなく、継続的なレビューと検知条件の見直しが必要だとしています。見るのは成功注文だけではありません。例えば国Aの決済拒否率が高く国Bは低いといった差があれば、不正攻撃、決済方法、入力フォーム、利用カードなどを確認します。Stripeも、決済拒否率を継続的に追跡することで、不正やシステム上の問題を把握する手掛かりになると案内しています。

不正対策で売上を守る視点

不正対策というと、注文を止めることだけを考えがちです。しかし、正常な注文を不正だと誤って止めることも問題です。つまり、不正注文を減らすことと、正常注文の決済成功を増やすことの両方を見ます。DAY47の目的は、注文を怖がることではなく、安全に承認できる注文を増やすことです。

海外注文には、言語、住所形式、カード発行国、配送先など、国内注文と違う情報が多くあります。だからといって、海外注文=高リスクと固定しません。DAY45で選んだ市場、購入者データ、過去注文、不正実績を蓄積し、自社の正常パターンを作ります。

DAY47の注文確認フロー

実務用チートシート:海外注文リスク確認表。決済・認証(決済は成功しているか?3Dセキュアの認証結果は?CVC・AVSの判定は?)、地理・住所(請求先と配送先は?発行国と注文情報の整合性は?注文後の配送先変更はないか?)、購買パターン(通常より高額・多量か?初回購入か?短時間連続決済はないか?)、最終判断(出荷してよい根拠を説明・記録できるか?)

注文確認フロー

海外注文受付  ↓ 決済結果を確認  ↓ 決済拒否? YES→エラー内容確認→購入者へ再入力・別決済等を案内  ↓NO 決済成功  ↓ 3DS・CVC・住所等を確認  ↓ 注文金額・購入回数を確認  ↓ 請求先・配送先・カード発行国等を確認  ↓ 注文頻度・配送先変更等を確認  ↓ 不正検知結果を確認  ↓ リスク低→出荷承認 要確認→注文保留→購入者確認→承認/取消 高リスク→出荷停止→取消・返金等を判断

実際のケースで考えてみよう|日本の工芸品に海外から高額注文

通常1個8,000円、通常平均注文1〜2個のECに、アメリカから突然10個・80,000円の注文が入りました。

Step1|決済結果
決済:成功。ここで「80,000円売れた!」とすぐ発送しません。

Step2|3Dセキュア
利用する決済サービス上の3DS認証結果を確認します。

Step3|CVC・住所
CVC、AVS、請求先、配送先を確認します。AVSが取れないカードもあるため、未確認=不正とはしません。

Step4|カード発行国
カード発行国:アメリカ、請求先:アメリカ、配送先:アメリカだったとします。大きな地理的矛盾はありません。

Step5|金額
通常は16,000円程度まで、今回は80,000円。通常よりかなり高いため確認項目にします。

Step6|数量
通常1〜2個に対し今回10個。法人利用、店舗利用、ギフトなどの可能性があります。

Step7|顧客履歴
初回購入者だったとします。初回+高額+大量という複数条件が重なりました。

Step8|配送
通常配送を選択、注文後の住所変更なし。特急配送・住所変更という追加要因はありません。

Step9|不正検知結果
決済サービス:中リスクだったとします。ここでも中リスク=拒否とはしません。

Step10|注文を保留
ステータスを決済済み→確認中へ変更し、倉庫には出荷指示を送りません。

Step11|購入者へ確認
注文内容、数量、配送先を確認します。「店舗で使用するため10個購入」など合理的な回答があり、他の情報にも問題がないと判断したとします。

Step12|出荷承認
確認内容を記録し、ステータスを確認中→出荷承認にします。

Step13|追跡配送
追跡番号のある配送サービスを使い、発送後に購入者へ案内します。

Step14|記録
注文番号、確認理由(初回・高額・大量)、結果(問題なし)、確認方法(購入者連絡)、出荷判断(承認)と残します。このように、高額だから拒否ではなく、高額だから確認という使い方をします。

よくある失敗

失敗1|決済成功なら安全だと思う
決済承認と注文リスク確認は別です。
失敗2|決済拒否をすべて不正注文にする
利用可能額不足や入力ミス等でも拒否されます。
失敗3|海外カードをすべて拒否する
正規の海外購入者まで購入できなくなります。
失敗4|住所が違えば全部キャンセルする
ギフト等の正常注文もあります。複数条件で確認します。
失敗5|高額注文だけで不正判定する
普段の注文額や顧客履歴と比較します。
失敗6|3Dセキュアだけで不正対策が完了したと思う
認証結果に加えて注文内容も確認します。
失敗7|CVC不一致を見ない
決済管理画面で確認可能な情報を利用します。
失敗8|AVSが未確認なら不正だと思う
地域・カードによってAVSが利用できない場合があります。
失敗9|短時間の大量失敗決済を放置する
カードテスティング等の可能性を確認します。
失敗10|確認中でも倉庫へ自動出荷する
決済と出荷承認を分けます。
失敗11|担当者が「怪しい」と感覚だけで止める
判断理由を具体的に記録します。
失敗12|不正を止めることだけ考える
正常注文を誤って止めるFalse Declineにも注意します。

海外不正注文を確認する12の質問

  1. 決済は成功していますか?決済結果・拒否理由を確認します。
  2. 3Dセキュアの結果はどうですか?利用できる場合は認証結果を確認します。
  3. CVC結果はどうですか?一致・不一致・未確認を確認します。
  4. 住所確認結果はどうですか?AVS等が利用できる場合に確認します。
  5. 通常より高額ですか?平均注文金額と比較します。
  6. 通常より数量が多いですか?商品別の購入数と比較します。
  7. 初回購入者ですか?過去注文との比較ができるか確認します。
  8. 請求先と配送先はどうなっていますか?違う場合は他の情報と合わせます。
  9. カード発行国と注文情報は整合していますか?国が複数に分かれる理由を確認します。
  10. 短時間に複数回決済していますか?カード変更・決済失敗回数を確認します。
  11. 注文後に配送先変更がありますか?変更理由を確認します。
  12. この注文を出荷してよい根拠を説明できますか?承認・保留・拒否の理由を残します。

やってみよう|不正リスク診断&確認チェックリスト

6つのテーマから確認したい項目を選ぶと、確認すべきポイントの目安が分かります。あわせて、出荷前の確認が一通りできているかもチェックできます。入力内容はこのブラウザにのみ保存され、外部へは送信されません。

① 不正リスク診断

決済拒否・カードテスティング
CVC・AVS・3Dセキュア
住所・カード発行国・IP
高額・大量・初回購入
連続注文・配送先変更
不正検知・出荷判断・記録

② 出荷前チェックリスト

①決済成功と注文リスクの確認を分けて扱った
②3Dセキュア・CVC・AVSの結果を確認した
③請求先・配送先・カード発行国の整合性を確認した
④高額・大量・初回購入などを通常平均と比較した
⑤短時間の連続注文・複数カード・配送先変更を確認した
⑥不正検知スコアを判断材料の一つとして扱った
⑦保留理由・出荷判断の根拠を記録した
できている項目
0 / 7
判定

これは自己チェック用の簡易ツールです。実際の不正判定・決済拒否理由・不正検知の仕様は、利用する決済サービスの公式情報で確認してください。

アウトプットワーク|海外注文リスク確認表を作ろう

実際にあった、または想定する海外注文を1件選び、下記の項目を埋めてみてください。分からない項目は、なんとなく想像で埋めないでください。決済管理画面、不正検知の結果、購入者への確認記録などをもとに、注文ごとのリスク確認表として残してください。

① 注文・購入者

② 決済・認証

③ 住所・注文パターン

④ 不正検知・判断・出荷

記入できたら完了にする

理解度チェッククイズ

第1問 海外カードの決済が成功しました。適切な考え方はどれでしょうか?

A.必要に応じて注文内容のリスクも確認する
B.必ず安全なので即発送する
C.海外カードなので必ず取消す
正解はAです。カード会社等が決済を承認したことと、販売者が注文全体を安全と判断したことは別です。必要に応じて不正リスクを確認します。

第2問 カード決済が拒否された場合について正しいものはどれでしょうか?

A.入力ミスや利用可能額不足など不正以外の原因もある
B.必ず盗難カード
C.必ずECサイトの故障
正解はAです。カード決済は、利用可能額不足、カード情報誤り、不正利用疑いなど複数の理由で拒否されます。

第3問 3Dセキュアの役割として適切なのはどれでしょうか?

A.オンラインカード利用者の認証を支援する
B.国際送料を計算する
C.HSコードを決める
正解はAです。EMV 3-D Secureは、ECなど非対面カード取引でカード利用者を認証し、不正利用防止を支援する仕組みです。

第4問 AVSについて正しいものはどれでしょうか?

A.請求先住所等の照合に利用される仕組み
B.商品の重量を測る仕組み
C.関税率を決める仕組み
正解はAです。AVSは、購入者が入力した請求先住所情報と、カード発行会社側の住所情報を照合する仕組みです。ただし対応地域等に違いがあります。

第5問 請求先住所と配送先住所が違います。適切なのはどれでしょうか?

A.他の情報と合わせて確認する
B.必ず不正注文として拒否する
C.何も確認しない
正解はAです。請求先と配送先が違うことだけで不正とは言えません。ギフト等もあります。他のリスク情報と合わせます。

第6問 通常5,000円程度のECで、初回顧客から10万円の注文が入りました。適切なのはどれでしょうか?

A.高額という理由で確認対象にする
B.必ず不正なので自動削除
C.決済成功なら何も見ない
正解はAです。普段より大幅に高い注文は、確認シグナルの一つにできます。ただし高額だけで不正確定にはしません。

第7問 注文直後に配送先変更を依頼されました。適切なのはどれでしょうか?

A.変更理由・本人性等を確認する
B.必ず変更する
C.必ず永久利用停止する
正解はAです。注文後の配送先変更は、正常な住所修正の場合もあります。一方、不正の確認要因にもなるため、理由等を確認します。

第8問 短時間に異なるカードで大量の失敗決済が発生しました。考えられるものはどれでしょうか?

A.カードテスティング等を確認する
B.売上が急増している
C.国際配送の遅延
正解はAです。大量の異なるカードを短時間に試す行為は、カードテスティングの可能性があります。Stripeも、失敗決済の急増や少額決済の大量試行を代表的な兆候として挙げています。

第9問 不正検知システムで「低リスク」と表示されました。適切なのはどれでしょうか?

A.判断材料の一つとして利用する
B.100%安全と保証された
C.不正確認機能を停止する
正解はAです。リスク判定は判断支援として使います。どの不正検知サービスでも、すべての不正を完全に識別できるとは考えません。

第10問 不正対策ルールについて適切なのはどれでしょうか?

A.正常注文を止めすぎないことも考える
B.海外注文をすべて拒否する
C.高額注文は全部削除する
正解はAです。不正を減らす一方、正常な顧客を誤って拒否することも避ける必要があります。不正対策と購入体験のバランスを取ります。

第11問|判断問題 次の注文があります。初回購入/通常平均の6倍の金額/請求先と配送先が別国/特急配送/決済成功/3Dセキュア成功。この注文は、決済成功しているから即発送でよいでしょうか?

回答例を見る

即発送とはしません。3Dセキュア成功は重要な確認材料ですが、初回・高額・請求先と配送先が別国・特急配送という複数の確認シグナルがあります。注文を確認中へ移し、決済サービスのリスク結果、住所、カード発行国、購入者情報、注文内容などを確認します。問題がなければ出荷承認とします。つまり、3DS成功≠注文確認不要です。

第12問|実務判断問題 ある日突然、100円前後の決済が短時間に数百件発生しました。ほとんどが決済拒否ですが、一部は成功しています。どう対応するべきでしょうか?

回答例を見る

カードテスティングの可能性を確認します。対応例は、決済失敗数を確認→同一IP・顧客・カード等のパターン確認→決済会社の不正検知状況を確認→成功した少額注文も確認→必要に応じて不正取引を返金・停止→決済フォームの保護を確認→CAPTCHA・レート制限等を検討→継続監視、という流れです。

Stripeはカードテスティング対策として、CAPTCHA、アクセス制限、Rate Limit、異常行動の監視など複数対策の組み合わせを案内しています。

よくある質問

今回のまとめ

越境ECでは、海外カードを使えるようにするだけでは決済運用は完成しません。今回覚えておきたいポイントは次の5つです。

  1. 決済成功と出荷承認を分ける
  2. 決済拒否=不正注文とは限らない
  3. 住所不一致・高額注文など一つの条件だけで判断しない
  4. 3Dセキュア・CVC・AVS・不正検知など複数情報を使う
  5. 正常注文を止めすぎないよう確認ルールを作る

海外注文を確認する基本の流れは、注文受付→決済→決済成功・拒否を確認→3Dセキュア確認→CVC・住所確認→カード発行国確認→注文金額確認→購入数量確認→顧客履歴確認→請求先・配送先確認→短時間の複数注文確認→配送先変更確認→不正検知結果確認→自動承認/確認/拒否→出荷承認→追跡可能な方法で発送→注文・確認記録を保存です。大切なのは、怪しい海外注文を全部拒否することではありません。本当に確認が必要な注文を見つけ、正常な購入者はできるだけ止めず、不正利用の可能性が高い注文は、商品を発送する前に止められる状態を作ることです。

不正検知は、海外だから危険、高額だから危険、住所が違うから危険という単純なルールではありません。通常より高額、初回購入、短時間に複数カード、住所変更、特急配送、不正検知スコアなど、複数の情報を組み合わせて判断します。そして、なぜ承認したか、なぜ保留したか、なぜ拒否したかを記録します。これを続けることで、自社の正常注文と、自社で起きやすい不正パターンが少しずつ見えるようになります。

「不正対策は“海外のお客さんを疑うこと”じゃないよ。決済と注文を分けて、いつもと違う注文だけをちゃんと確認できる仕組みを作るんだ!」

Conclusion:安全なコントロールセンターを築く。不正対策は「海外の顧客を疑うこと」ではありません。正常な注文をスムーズに通し、自社のビジネスを安全に拡大するためのシステムです。Next Step DAY48:関税・税金・通関へ

DAY47の実践課題

自社または想定する越境ECについて、海外注文の確認ルールを作ってください。通常注文の平均注文金額・平均購入点数・主な販売国・主な商品を書き出します。決済確認として、3Dセキュア・CVC・AVS・カード発行国・不正検知をそれぞれ確認するかしないかを決めます。確認条件として、高額注文(通常の何倍以上か)、大量注文(同一商品何個以上か)、初回高額、請求先と配送先の不一致、カード発行国と配送国の不一致、注文後の住所変更、特急配送、短時間連続注文(何分以内に何回以上か)、複数カード、不正検知高リスク時の対応をそれぞれ決めます。注文ステータスは、注文受付→決済成功→確認中→出荷承認という流れに、自社の運用に合わせた中間ステータスを追加します。保留時の倉庫出荷停止/継続、購入者連絡の有無、担当者、判断期限も決めます。記録として、確認理由、確認結果、出荷判断、配送方法、追跡の有無を残す形式を決め、不正だった場合の商品の発送前後、決済・返金の対応、決済会社への確認方法、再発防止ルールも整理してください。最初から完璧な不正ルールを作る必要はありません。まず、通常の注文金額、通常の購入数、通常の販売国を把握し、そこから大きく外れた注文を確認できる状態にしてください。実際に不正・誤検知が発生したら、その結果を次のルール改善へ使います。

獲得バッジ

音声で学んだ
リスク診断マスター
確認表完成
FAQマスター
クイズクリア

次回 DAY48:HSコードとは

商品を分類する番号と、関税・規制との関係を整理します。

DAY48へ進む(公開後にリンクします)

文:横田和也/解決ドットコム編集部

\ 最新情報をチェック /