メールリンク決済のセキュリティって大丈夫？PCI DSSやトークン化の基本を解説

「お客様にメールやLINEで支払い用の案内を送る『メールリンク決済』を導入したいけれど、セキュリティ的に本当に安全なのだろうか……」
「万が一、案内した決済画面からクレジットカード情報が漏洩してしまったら、自社の責任になってしまうのではないか……」

ホームページやECカートシステムを作ることなく、手軽にキャッシュレス決済を導入できる手段として、多くの企業から注目を集めているのが「メールリンク決済」の活用です。

しかし、目に見える決済端末やECサイトを介さないため、「画面の安全性」や「カード情報の取り扱い」に対して漠然とした不安を抱いている事業者様も少なくありません。結論からお伝えすると、正しいセキュリティ基準を満たした決済代行サービスを選べば、自社で決済システムを持つよりも安全で、強固な防犯性を発揮します。

本記事では、オンライン決済の安全性を支える「PCI DSS」や「トークン化」といったセキュリティの基本をわかりやすく解説します。

【1分でわかる】メールリンク決済のセキュリティと導入メリット

メールリンク決済が自社サイトや手入力よりも安全な3つの理由

1. 【非保持化の達成】自社でクレジットカード情報を一切お預かりしない：お客様がカード情報を入力するのは決済代行会社の安全な画面のみです。自社のサーバーやパソコン、メモ等に情報が残るリスクがゼロになります。
2. 【セキュリティ】世界的な最高水準の暗号化セキュリティで守られている：国際的なカードブランドが定めた厳格な基準に準拠したシステムの上で情報が処理されます。
3. 【リスク回避】不正利用やチャージバックのリスクを先回りして防ぐ：最新の本人認証サービスが組み込まれているため、なりすましによる不正な決済を水際でブロックできます。

自社システムとメールリンク決済の安全性比較

カード情報の漏洩リスク

メールリンク決済：なし
お客様の設備にカード情報が一切触れないため、自社からの漏洩リスクは0%
自社システム・電話聞き取り：高い
スタッフのメモや、自社パソコンのウイルス感染による漏洩リスクが常に伴う

セキュリティ対策コスト

メールリンク決済：0円
決済代行会社が用意した安全なシステムをそのまま利用できるため、自社でのセキュリティ投資は不要
自社システム・電話聞き取り：高額
自社で高価な専用端末を導入したり、強固な暗号化システムを構築したりする必要がある

安全性を担保する2大セキュリティの基本

「送った案内から、なぜ情報が盗まれないのか」という疑問を解き明かす鍵が、世界水準のセキュリティ基準である「PCI DSS」と、データを安全に保護する技術である「トークン化」です。

① カード業界の世界共通基準「PCI DSS」とは？

PCI DSS（ピーシーアイ・ディーエスエス）とは、VISA、Mastercard、JCB、American Express、Discoverの国際カードブランド5社が共同で策定した、クレジットカード情報保護に関する世界共通のセキュリティ基準のことです。
ネットワークの監視体制やデータの暗号化、アクセス権の厳格な管理など、400項目以上の厳しい要件が定められており、定期的な監査をクリアした決済代行会社だけがこの認証を維持できます。

② データを無意味な文字列に変換する「トークン化」とは？

トークン化（＝クレジットカード番号などの重要なデータを、第三者が見ても全く意味のない別の文字列『トークン』へと置き換えて処理する技術のこと）も、安全性を高める上で非常に重要です。
万が一、通信の途中でデータが盗み見られたとしても、中身はただの無意味な文字列、つまりトークンであるため、悪意あるハッカーが本来のカード番号を復元することは不可能です。また、決済時には通信経路全体が強固に「暗号化（＝データを特別な数式で処理し、正しい鍵を持たないと内容を読めないようにすること）」されているため、盗聴の心配もありません。

割賦販売法を完全クリア！決済フォームが自社をリスクから守る仕組み

日本国内でクレジットカードを取り扱うすべての事業者には、割賦販売法によって「カード情報の非保持化（＝お客様のクレジットカード情報を自社の設備に保存・処理・通過させないこと）」が厳しく義務付けられています。

もし電話口でお客様からカード番号を聞き取ってスタッフが手入力したり、自社の簡易的なWebサイト内でカード情報を処理したりしている場合、情報が自社の設備を通過しているため、非常に高い漏洩リスクを背負うことになります。

しかし、メールリンクタイプなどの決済フォームへ移行すれば、この法的要件を「対策コスト0円」で一発クリアできます。
※メールリンクタイプ：特定の取引専用に発行した支払い画面のリンクを、メールやチャットツール等で個別にお客様へ送付する決済方法のこと

お客様が届いた案内をクリックした後に開く画面は、貴社のサイトではなく、PCI DSSに完全準拠した「決済代行会社の安全なサーバー」だからです。貴社のパソコンやネットワークには、お客様のカード情報が1文字も触れません。この環境を作ることが、割賦販売法における「完全な非保持化」の達成となり、自社を情報漏洩の恐怖から守る最大の防御策になります。

まとめ：強固なセキュリティのメールリンク決済で、お客様との信頼関係を築こう

オンラインでの非対面取引において、セキュリティ対策を万全にすることは、事業者様のリスクヘッジ（＝危機管理対策のこと）になるだけでなく、結果としてお客様に「この会社は安心して支払いができる」という最大の信頼感を与えることへと繋がります。

高額な費用を投じて自社独自のセキュリティシステムを開発しなくても、世界水準の防犯性（PCI DSS SAQ Type-D）を誇る「Paysys（ペイシス）」を活用すれば、最も低コストかつ最短ルートで、法律をクリアした安全な決済環境を整えることができます。

さらにPaysysなら、なりすましによる不正利用を水際で防ぐ「EMV 3-Dセキュア」に無料で標準対応しているほか、管理画面から直接メールやSMSでお客様のスマートフォンへ案内を送れる一元管理システムを備えているため、宛先の送り間違いや貼り付けミスといった実務担当者の人的リスクまで未然に防止可能です。クレジットカードの入力をためらうお客様向けには、PayPayやコンビニ決済、自動入金消込ができるバーチャル口座決済も同一画面に同時に提示できるため、最高峰の防犯性と柔軟な顧客対応をトレードオフにすることなく両立できます。
※不正利用：カードホルダー以外の第三者が本人になりすまして決済すること

トラブルが起きてから後悔する前に、まずは安全性が強固に担保された、シンプルで最も安全なメールリンク決済へと切り替えてみてはいかがでしょうか。