割賦販売（かっぷはんばい）とは、分割払いと一括払いを含むクレジットカードによる販売のことを指します。
また、クレジットカードの与信枠にはショッピング枠とキャッシング枠がありますが、割賦販売法が適用されるのはショッピング枠のみです。
割賦販売法とは、割賦販売において公正で健全な取引を維持し、消費者を保護するための法律です。
令和3年（2021年）4月1日に改正割賦販売法が施行されたことにより、EC事業者にとってより関わりの深いクレジットカードの取扱いが厳格化されました。
消費者がクレジットカードを利用して商品を購入した場合、割賦販売法の規制対象となります。
分割払いのほか、後払い（一括払い）も割賦販売に含まれるため、クレジットカード決済を導入しているEC事業者のすべてが割賦販売法の規制対象です。
１,不正利用・情報漏洩の防止
改正割賦販売法の主な目的は、クレジットカードの不正利用や情報漏洩を防ぐことにあります。割賦販売で起こり得る情報漏洩とは、クレジットカード情報が外部に漏れてしまうトラブルのことです。
たとえば、ECサイトがサイバー攻撃を受けたり、マルウェアが埋め込まれたりすることにより、顧客のクレジットカード情報が流出する恐れがあります。
また、偽造磁気カードやスキミングによるクレジットカードの不正利用も起こり得るトラブルといえるでしょう。こうした被害から消費者を守るために、改正割賦販売法が制定されたと考えてください。
２,セキュリティ強化
クレジットカードの不正利用や情報漏洩を防ぐには、販売事業者のセキュリティ対策を強化することも大切なポイントです。改正割賦販売法では、加盟店の状況をチェックする仕組みを導入することにより、販売事業者のセキュリティ強化を促しています。
日本クレジット協会の調査によれば、2022年のクレジットカード不正利用被害額は436.7億円にのぼります。このうち94.3％を占める番号盗用による被害の多くが、ECサイトをはじめとする非対面取引で発生しているのが実情です。こうした被害を未然に防ぐために、販売事業者のセキュリティ強化策を定めている点が改正割賦販売法の大きな特徴といえます。
EC事業者には、クレジットカード情報の「非保持化」が求められます。
クレジットカード情報の「非保持化」とは、EC事業者が保有する機器やネットワーク上にお客様のクレジットカード情報を保存・処理・通過させないことです。
クレジットカード決済システムには、大きく分けて「通過型」と「非通過型」の2種類の方式があります。
方式処理方法通過型クレジットカード情報が処理される際、EC事業者の機器・ネットワークを通過する方式。非通過型クレジットカード情報が処理される際、決済代行会社の機器・ネットワークを通過する方式。通過型の場合、EC事業者が感知していないところでクレジットカード情報が保存されている可能性があります。機器やネットワークの脆弱性を突いたクレジットカード情報の盗難・流出リスクをゼロにすることは事実上できません。
クレジットカード情報の非保持化を実現するには、EC事業者がクレジットカード情報を保存・処理しない「非通過型」の決済システムを導入する必要があります。
クレジットカード情報の非保持化により情報漏洩リスクは軽減できるものの、クレジットカードの盗難やなりすましなどの被害を防ぐことはできません。
EC事業者には「多面的・重層的な不正使用対策」も求められています。具体的に必要とされる対策は下表の通りです。
対策概要本人認証（3Dセキュア）決済時に顧客自身が設定したパスワードの入力を求めることにより、本人認証を強化する。セキュリティコード券面に記載されたセキュリティコードの入力を求めることにより、クレジットカードの真正を確認する。不正検知電話番号や住所などの情報の入力を求めることにより、過去の取引情報と照合したリスク評価や不正取引判定を行う。各加盟店が上に挙げたような対策を講じているかどうか、調査を行うことがクレジットカード発行会社や決済代行会社に義務づけられています。
セキュリティ対策が不十分と認められた場合には指導や勧告が行われるほか、加盟店契約が解除となる可能性も否定できません。EC事業者は、必ず上記のような不正使用対策を講じる必要があります。
クレジットカード情報を社内で保存、処理、伝送する場合は、PCI DSSに準拠する。
PCI DSSに準拠するには認定された審査機関による訪問審査があります。外部に接しているネットワークシステム（サーバ機器、ネットワーク機器、アプリケーションなど）の脆弱性スキャンを行い、PCI DSSで要求されている高水準のセキュリティ基準を満たしているかということをチェックし準拠する。ですがEC事業者側で準拠するとなると、システム投資や人件費など非常に大きなコストがかかる可能性があり、あまり現実的ではございません。
PCI DSSに準拠する方法の他に、カード情報を非保持・非通過する方法もあります。これはECサイトにクレジットカードの情報を持たない。クレジットカード情報をECサイトに通過させない、処理しない、保存しない。
トークン形式でカード決済を実行する方式で、JavaScriptを利用してカード情報をPSP（Payment Service Provider）へ送信する方法です。ECサイトで購入者が入力するカード番号を別の文字列に置き換えます。カード情報は別の文字列としてECサイトを通過するため、カード情報がECサイト側のサーバで「通過、処理、保存」されないため、非保持・非通過の対応が可能になります。
ECサイトからPSP（Payment Service Provider）の画面へ遷移させる方式です。PSPの提供する決済画面を表示させ、PSP側で決済処理を行うため、ECサイトにてカード情報を「通過、処理、保存」されないため、非保持・非通過の対応が可能になります。 PSPの画面のデザインが違すぎると信頼性にかけるという懸念もありますが、こちらにはロゴや文言の修正が出来るようになっています。
