EC-CUBEで海外アクセスを制限する方法｜GeoIP・WAFとクレジットカード不正対策を解説

この記事でわかること
「海外からの不審なアクセスが増えている」「クレジットカードの不正利用が不安」「深夜に大量のリクエストが来ている」——国内向けのECサイトで、こうした悩みが出てくることがあります。海外からのアクセスを制限することは、その対策の一つになります。ただし、海外制限だけで不正を防げるわけではありません。この記事では、GeoIP・WAFによる国別制御と、クレジットカード不正への対策、そして海外制限の位置づけを解説します。

海外アクセス制限で、何ができて、何ができないか

国内向けのECサイトで、海外からの利用を想定していない場合は、国別のアクセス制御を検討できることがあります。海外からの不要なアクセスを制限することで、次のような効果が期待できます。

• 海外からの機械的なアクセスによる、サーバー負荷の軽減
• 海外IPを使った不正アクセスの試行を、一定程度減らす

一方で、海外アクセス制限には、限界もあります。「海外IP＝不正、国内IP＝安全」とは言えません。VPNやプロキシ、国内の踏み台を経由すれば、国内IPからのアクセスに見せることもできます。また、正規の海外利用者（海外在住の顧客、海外出張中のアクセスなど）を、誤って遮断してしまう可能性もあります。海外制限は、あくまで対策の一つであり、これだけに頼るものではない、という前提で考えることが大切です。

GeoIP・WAF・CDNによる国別制御

海外からのアクセスを国別に制御する方法には、いくつかの層があります。それぞれ、どこで制御するかが異なります。

WAFやCDNを利用している場合は、その機能で国別のブロックを設定できることがあります。WAFがない環境でも、サーバー側のGeoIP制御で、国別のアクセス制御が可能です。ただし、GeoIPは、IPアドレスと国の対応データベースをもとに判定するため、データベースの更新が必要で、判定に誤りが生じることもあります。導入時は、正規の利用者を誤って遮断しないか、確認することが大切です。WAFそのものの役割については、多層防御｜WAF・IP制限・2FAの記事で解説しています。

管理画面のアクセス元制御

管理画面は、顧客情報・注文情報・価格設定などを扱う部分です。管理画面へのアクセス元を制限することは、防御の一つになります。具体的には、接続元のIP制限や、2段階認証（2FA）などを組み合わせる方法があります。国内向けサイトで、管理画面に海外からアクセスする必要がない場合は、接続元を国内に絞る設定も選択肢になります。

管理画面のIP制限・2段階認証の役割については、多層防御の記事で詳しく解説しています。

クレジットマスター・悪質な有効性確認への対策

クレジットマスター（いわゆる「クレマ」）とは、日本クレジット協会の資料でも説明されている手口で、カード番号等の採番の規則性を悪用し、機械的にクレジットカード番号を生成するものです。生成したカード情報や、フィッシングなどで窃取したカード情報をECサイト等で試し、実際に利用できる番号か確認する行為は、「悪質な有効性確認」として整理されています。短時間に大量の試行が行われる動きが見られることがあります。

クレジットカード・セキュリティガイドラインでは、こうした有効性確認の動きへの対策として、次のようなものが挙げられています。海外制限は、その中の一つという位置づけです。

• 不審なIPアドレスからのアクセス制限（海外からのアクセスが不要な場合の遮断を含む）
• 同一アカウント・短時間での試行回数の制限（レート制限）
• 本人認証の仕組み（後述のEMV 3-Dセキュアなど）

これらは、どれか一つで完結するものではなく、組み合わせて考えるものとされています。海外制限は有効な対策の一つですが、それだけでカード不正を防げるわけではない、という点に注意が必要です。

EMV 3-Dセキュアの位置づけ

EMV 3-Dセキュアは、カード決済時に、カード会社による本人認証を行う仕組みです。現行のクレジットカード・セキュリティガイドライン6.1版では、原則としてEC加盟店にEMV 3-Dセキュアの導入が求められています。カード決済を扱うECサイトでは、対応が必要な項目です。具体的な適用や運用については、契約している決済代行会社やカード会社の案内を確認する必要があります。

なお、ガイドラインは、不正利用対策を「決済の前・決済時・決済後」という流れ（「線」の考え方）で捉えています。EMV 3-Dセキュアは決済時の本人認証を担いますが、それだけでなく、不正ログイン対策や、クレジットマスターへの対策などを組み合わせて考えるものとされています。

ボット・レート制限

フォームへの大量送信や、ログインの試行などには、ボットが使われることがあります。対策としては、次のようなものがあります。

• reCAPTCHAなどの、ボット判定の仕組み
• ログイン試行回数の制限
• フォーム送信のレート制限

海外アクセス制限とこれらを組み合わせることで、それぞれ異なる角度からの対策になります。

海外制限だけに頼らない

ここまで見たように、海外アクセス制限は、負荷やカード不正への対策の一つになりますが、それだけで守れるものではありません。前述のとおり、国内IPを経由した攻撃もあり、正規の海外利用者もいます。大切なのは、海外制限を、WAF・レート制限・本人認証・脆弱性対策などと組み合わせて、どこをどう守るかを整理することです。セキュリティ対策の全体像は、セキュリティ対策7選で解説しています。

国内向けサイト・BtoBサイトでの判断

国内の顧客が中心で、海外からのアクセスがビジネス上必要ない場合は、海外アクセス制限が、選択肢になります。BtoBサイトで、取引先が国内法人に限定され、海外からサイトを利用する運用がない場合は、海外アクセス制限を選択肢として検討できます。

ただし、海外に拠点や取引先がある場合や、将来的に海外展開を考えている場合は、制限の範囲を慎重に決める必要があります。ビジネス上の要件（誰にアクセスしてほしいか）と、技術的な対策を、あわせて整理することが大切です。

まとめ

EC-CUBEでの海外アクセス制限は、GeoIP・WAF・CDNといった方法で、国別にアクセスを制御するものです。負荷の軽減や、カード不正への対策の一つになりますが、「海外IP＝不正」と単純に捉えるものではなく、海外制限だけで不正を防げるわけでもありません。

大切なのは、海外制限を、レート制限・本人認証（EMV 3-Dセキュア）・脆弱性対策などと組み合わせて、ビジネス上の要件に合わせて設計することです。私たちサンクユーは、EC-CUBEのセキュリティ対策や、海外アクセス制限、不正対策の設計に対応しています。決済まわりの具体的な対応は決済事業者との確認が必要になりますが、サイト側の構成については、現状を確認したうえでご提案します。お気軽にご相談ください。