【shopify】ECサイトのセキュリティ:プラットフォームのタイプ
ECサイトの制作をする時、セキュリティについて考える場合に「プラットフォーム」のタイプが何になるのかはとても重要な要素です!
タイプと言うのは主に3つあり
- 自社サーバー型
- ASP型
- モール型
の3つの事を指していると思ってください。
この記事ではこの3つのタイプでやらなきゃいけないセキュリティについて解説していきます。
セキュリティの概要と、守るべき場所に関してはこちらが一番概要編のブログなので、まだ読んでない方はぜひ読んでみてください。
目次
タイプ別セキュリティ
概論のブログでも触れていますが、ECサイト制作時のセキュリティ対策は「本体」と「サードパーティーアプリ」に大きく2分できます
(サードパーティーについては別のブログを参照)
そして、本体に関してもプラットフォームによる違いがあるという事をお伝えしております。
そして最初に話した3つある種類の中で、正直言ってプラットフォームの違いで一番気になるのは圧倒的に「自社サーバー型」です。
なので自社サーバー型から解説していく事にします
自社サーバー型
自社サーバー型と言ってはいますが、多くの場合はレンタルサーバーを使うことが多いかと思います。
Xserver、ロリポップ、さくらサーバーなどレンタルサーバーを借りて、そこに自分たちでECサイト用のプログラムをインストールして、ECサイトを構築していくパターンになります。
メリット
自社サーバー型の圧倒的なメリットはその「自由度」です。のちに解説するASP型やモール型ではやりきれない事でも、自社サーバー型では出来ることがありますが、その反面「セキュリティ」に関しても自力で全部やる必要が出てくるので、1企業で対応できるのにはかなり限界があるのが、この自社サーバー型です。
ECサイトを作るためのプログラムに関しても完全自由な「フルスクラッチ」で作るタイプもあれば、EC-CUBEなどパッケージソフトになっているもの
それからWordPressのプラグインとして使う「WelCart」「WooCommerce」なんて言う物もあったりします。
そして近年、個人情報の漏洩が問題になるパターンは大体がこの自社サーバー型である場合が多いです。
自社サーバー型が洩れやすいわけ
レンタルサーバーに自力で設置する(制作会社が設置する)わけですが、仕組み的に攻撃の糸口が多いのがまず狙われやすい最大の理由です。
仕組み的に攻撃の糸口が多いというのは、自社サーバー型の場合まずレンタルサーバーがあります。
このレンタルサーバーへのログインID、パスワードが存在しているかと思いますが、まずここが第一段階の攻撃口です。
基本的にはレンタルサーバーはそのサーバー会社のセキュリティに守れれるのでそこそこ強固なセキュリティがあると思っていいですが、どうしてもIDやパスワードその物の漏洩と言う可能性が残ります。
そしてもう1つ「ECサイトのソフトウェア」をインストールして、大抵の場合はその管理画面にログインして、ECサイトの設定や販売の管理をする事になります。
そのECサイトのソフトウェア(CMS)にもログインIDとパスワードが存在します。管理画面に入るときのやつです。
ここがかなりセキュリティの穴になりやすいのが、自社サーバー型です。
例えばWordPressやEC-CUBEではドメインの後ろに「/admin」と付けるだけで、多くの場合は管理画面への認証ページやポップにたどり着けてしまいます。
どちらもそれではアクセスできないようにセキュリティを掛けられますが、結構やっていないサイトも多いので、あっさりたどり着くパターンと言うのは非常に多いんですよ。
そうなると有名なツールほどそこから入り込むための「悪意のあるツール」が多く存在しています。
WordPressなどは企業コーポレートサイトなどでも、改ざんされやすいのはそこから侵入されてしまうからです。
そしてECサイトを運用している場合、そこから侵入されると「個人情報」が抜き取られてしまうことになります。管理画面に入れればCSVとかでダウンロードも楽ちんポンで出来ちゃいますからね。
イメージとしてはこんな感じで

2か所の侵入経路が出来ている状態です。
もちろんCMS側もセキュリティ対策ツールなども出してはいますが、こういう世界はイタチごっこなので「いま良くても明日だめ」と言う事がよくあります。
セキュリティの穴と言うのは日々見つかってしまうのですよね。特に有名なツールほど攻撃の糸口を探している人も多いので、新しい穴が見つかってはセキュリティも修正を続けることになります。
が、自社サーバーに設置している場合は、このアップデートも自力で反映させていく必要があります。セキュリティの為のアップデートを施しても、通常機能で使えないものが出てくる。なんてパターンもありえますので、かなり管理のコストもかさみ易いのが自社サーバー型の特徴と言えるでしょう。
また一昔前はECサイトと言えば基本的には「自社サーバー型」だったので、古いサイトは常にこのセキュリティのリスクと隣り合わせになっている場合も多いので注意が必要になります!
もうアップデートが止まっているような製品を使っている場合は「障子一枚で個人情報を隠してる」ぐらいの覚悟で運営した方が良いです。
要は狙われたら終了です!
自社サーバー型を使うメリットは余程やりたい機能や、管理したいシステムがある場合に限定した方が良いと思います。
そこまでしっかり作るECの場合は1000万以上の構築費も当たり前になるので、セキュリティにも費用を掛けられる会社さんが挑む物になってきます。
低予算の場合はかなりセキュリティ的に危ないと思って間違いないですよ。
ASP型のセキュリティ
次に近年主流のASP型について解説します。
ASP型と言うのはECサイトのプラットフォーム提供会社に、たいていの場合は月額を払ってサーバー込々でシステムを利用するようなパターンです
l Shopify
l BASE
l STORES
l MakeShop
l Ecforce
など、近年聞くのはASP型であることが多いです。
自社サーバー程の自由度が無い場合も多いですが、近年のASP型は「90%」ぐらいは望みが可能ような物もありますし、昔に比べて低予算で始められるので、今最も普及している形になります。
この場合のセキュリティはどうなるか?
ここでは「本体」にのみスポットライトを当てて解説します。
本体のみと言うのはサードパーティーアプリに関してはここでは考えないからです。サードパーティーアプリについて詳しくは別のブログをご参照ください。
別のブログ
ASP型の場合、自社サーバーの場合は「サーバー」「CMS」と2つ入り口があったのですが、サーバーとの一体型なので入り口が1つになります。
イメージとしてはこんな感じ

つまり「管理画面」にログインする部分だけが入り口になり。サーバー側から侵入するルートが限られています。と言うか左のドアは基本的にはASPのベンダーしか触れられないので、セキュリティに関しては「ASP提供会社」が全部を担っていると言い切ってよいと思います。
CMSとしてのログイン画面も大抵の場合は「2段階認証」など、こったセキュリティを施している場合が多いので「ID」「パスワード」が洩れたぐらいでは侵入されないように作られています。
そして肝心のASP会社のセキュリティですが、ここは大抵の場合はかなり頑丈に出来ていると思ってください。
特に世界一使われている「shopify」なんかは毎日相当数の攻撃を仕掛けられているはずです。それこそ個人単位ではなくて国家ぐるみで攻撃してくるならず者もいるとかいないとか。(どことは言いません)
そんなアホみたいな数の攻撃を毎日かわしているのがASPサーバーだと思ってください。
自社サーバーで同じだけのセキュリティを掛けたかったら・・・そうですね数十億円は最低でも必要だと思います。
それぐらい強固なセキュリティがかけられているのが大手のASPサーバーだと思ってください。
半面、弱小と言っては失礼ですが開発力不足のASPも少なからず存在するので、その点は「大手」の方が正直セキュリティがしっかりしてる場合が多い!と思って差し支えないと思います
エンジニアとそれにかける「金銭」が物を言う世界ですからね・・・
モール型のセキュリティ
モール型も基本的にはASP型と同じだと思えばよいと思います!
言わずと知れた「楽天」「Amazon」が代表格になるわけですが、サーバーの管理も「モール」側がやってくれる構造になっています。
管理画面へのログインIDの管理なども、ASP側と同じで近頃は2段階認証とかも当たり前になってきていますからね。
ここもまた、小さな会社のモールはやや危険度が増します。
こればっかりはエンジニアの「質」も「量」も大手には勝てません。基本的に攻撃される回数は少ないですが(抜き取れる情報も少ないので)、狙われたら最後。
小規模な運営母体のセキュリティがどうなるかは・・・想像でしかないですが大手にはやはりかなわないでしょう。
ちょっと比較
簡単な比較画像で「自社サーバー型」と「ASP&モール型」を比較するとこんな感じ

自社サーバー型は、CMSの入り口がサーバーの入り口よりも、少し外に入り口がはみ出てるんですよ。
普通にECサイトのTOPページにアクセスして「/admin」を付けるだけで

こんな形で、ログイン画面が出てきちゃったりします。
ここまでアクセスできると、ハッカーさんたちは攻撃を何度も試せちゃうので・・・アタックしやすい標的にもなりやすいんですよね。
対してASP型やモール型は大抵こんな仕組みで、ログイン画面が

メールアドレスなどで全体の入り口に立つので、そもそもどのメールアドレスで、どのサイトにアクセスできるのか?
と言う前提すらわからない状態です。ハッカーからしてみれば、どこを攻撃するのか狙いが定められません!
こうなると攻撃はASP本体にするしかないので、入り口から侵入される可能性は極めて少ないと言えます!
決済情報のセキュリティ
もう1つ重要なのが個人情報以外に「決済情報」の部分です。
何よりもクレジットカードの情報が大きいかと思います。
これについても「自社サーバー型」と「ASP型&モール型」では正直大きな差が出てきます。
クレジットカードの情報が漏れるのはまず「カード番号」などをローカルに保存しちゃってた場合です。昔はあったみたいですが、最近ではさすがにほぼローカル保存しているパターンは無いかと思います。
もしやっていたら超慌ててください。落としたら終了!な巨大な賠償金を抱えて生きてるようなもんです。
大抵の場合は決済会社にしかカード番号はわからないような仕様になっていて会社側で管理することはないはずです。
にもかかわらず、漏れくってるのが実情です。
何で漏れるか?!
それはずばり、入力時に抜き取られているパターンが多いんです。
入力時に抜き取る方法は大きく2つ。
l お客さんのパソコンやスマホにウィルスがいる
l 決済画面に悪意のあるプログラムが埋め込まれている
1つ目の「お客さんパソコン」に関しては、正直EC事業者側に回避する手立てはありません。こればっかりは個人のリテラシーを付けてセルフ防御するしかないと思ってください。
2つ目の決済画面に悪意のあるプログラムが非常にやっかい。
近年話題になっている漏洩はほぼほぼこのパターンと言っても差し支えないのではないのではないでしょうか?

こういう最後の決済画面で抜き取られれるんですよ。
そして言うのはEC事業をやっていると色々いじりたくなる物です。
l 配送日時してをわかりやすく
l 住所の自動入力
l 誕生日も取得したいな
l メルマガ登録もさせたいな
決済を素早くさせるための工夫。売上UPに向けた個人情報の取得を目的にした工夫。
色々やりたくなるんですが、カスタマイズ性が高いという事は、何かしらのプログラムも埋め込みやすい!という事になります。
自社サーバー型はここのカスタマイズ性が高いのが売りではある反面、ここに悪意のあるプログラムを埋め込まれて漏洩しているパターンが近年一番よく聞くパターンです。
一見何もなさそうな作りでも、こっそりとお客さんが入力したキーボードの情報を、裏側に埋め込まれたプログラムが悪意のある組織に向かって送信してるんです。。。ああ、怖い・・・
対してASP型は決済画面のカスタマイズ性が低いんですよ。決められたことしかできない事も良くあります。
その為、ここもう少しこうなればいいのに!!ともどかしいシーンも多々出てくる事が良くあります。
ただし、その代わりと言っては何ですが「悪意のあるプログラム」を埋め込む余地も無いので、セキュリティ的にはかなり強固です。
モールも同じですね。Amazonや楽天から漏れた話はほぼ聞かないと思います。
なので決済画面のカスタマイズ性とセキュリティ性は完全に表裏一体。反比例の関係にあると考えるのが良いと思ってください。
まとめ
もし今現在運営しているECサイトのセキュリティが気になっていたり、これからECサイトを始めようと思っているのでしたら、迷わず「ASP型」か「モール型」で始めると良いと思います。
余程予算がある大規模なECサイトを作りたい場合は自社EC型を選択する方法もあると思いますが、おそらくセキュリティだけで月ウン十万。サーバーの管理費やそれだけの規模のECを運営するので運営費だけでもウン百万が毎月出ていくようなサイトならありです。
セキュリティに気を使うだけのスタッフも確保できるでしょうし、自由度も上がる事で売り上げUPにつながる可能性もあります。
ですが、多くの場合はそうでないと思います。
セキュリティでびくびくしているのでしたら、ASP型に乗り換えてしまった方がいいパターンが多いです。
今のASPは一昔前と違ってやれる事も非常に多いです。
Shopifyなんてほぼほぼ自由度「90%」ぐらいはありますからね。
2025年からECサイトのセキュリティはかなりホットな話題になる事は間違いないので、ぜひ対策は進めてください!