この記事は日経 xTECH有料会員限定ですが、2018年5月13日17時まではどなたでもご覧いただけます。

　決済代行サービスとは、通販サイト運営者に代わって、代金の徴収を行うサービスのこと。このサービスは一般に、「リンク型」と「モジュール型」の二つに分類される。

　リンク型は、注文の途中に決済代行サービスのWebサイトに転送され、決済情報を入力した後、元の通販サイトに戻る。リンク型は、通販サイト側のシステムに決済情報は残らない。

　モジュール型は、決済代行サービスが提供するモジュールを通販サイトのシステムに組み込んで利用する。モジュールは、通販サイト内で入力させた決済情報を暗号化（トークン化）し決済代行サービスのサーバーに送って決済を実行する。モジュール型も一般にはシステムに決済情報は残らない。しかし過去に、決済情報が通販サイトのシステムにログとして残り、漏洩につながった事例がある。

関連記事：カード番号とセキュリティコードが流出　「情報は保持せず」の認識に甘さ

　また通販サイトのコンテンツ管理システムと決済代行サービスのモジュールの組み合わせによっては、決済情報がシステムに残るケースも見つかっている。

コンテンツ管理システムEC-CUBEと決済代行サービスのモジュールの組み合わせによるカード情報の非保持化について注意喚起する、システム開発会社のWebサイト。EC-CUBEは森永乳業の通販サイトで利用している
（出所：アラタナ）
[画像のクリックで拡大表示]

　ネット上では、通販サイトのシステム上で意図的にカード情報を保存していたのではないかという指摘があるが、決済代行サービスを利用していたことを考えるとそうではなさそうだ。漏洩経路などの正確な情報については、今後の調査結果の発表を待ちたい。