cottaがカード決済を一時停止 ― 不正アクセス調査中にECが売上を守る対応設計

株式会社cottaは2026年10月26日、運営するオンラインショップで不正アクセスの可能性を確認し、クレジットカード決済と一部のWeb機能を予防的に停止したと公表しました。現時点で個人情報やカード情報の流出は確定しておらず、外部専門機関による調査が続いています。

このニュースからEC事業責任者が学ぶべきなのは、セキュリティ対応だけではありません。疑いが残る間も「新規注文」「停止前の注文」「既存顧客への案内」を分け、売上と信頼の毀損を小さくする購入後設計が必要です。

決済停止時の購入後対応とは

決済停止時の購入後対応とは、疑いのある決済経路を止めながら、注文済み顧客の不安を解消し、安全に継続できる販売・出荷経路を残す一連の運用です。単に「カードが使えません」と掲示するだけでは、購入前の離脱も、注文後の問い合わせも防げません。

対応は、影響範囲の確認、代替購入手段の提示、既存注文の扱い、顧客が取るべき行動、次回更新の順に整理します。未確定の事項を断定せず、確認済みの事実だけを更新することも重要です。

cottaの発表で確認できる対応

cottaの発表では、不審なアクセスを検知し、外部専門機関と調査していること、情報流出の有無を含めて確定した事実はないことが明示されています。そのうえで、クレジットカード決済と、プロフィール登録や投稿など一部機能を停止しました。

一方、カード以外の決済による注文は継続し、一部の支払い方法では当面の手数料を無料にしています。楽天市場、Amazonの出店店舗、実店舗という別の購入経路も案内しています。

停止前に確定した注文は原則として通常どおり発送し、個別確認が必要な場合のみ連絡する方針です。これにより、「すでに買った商品は届くのか」という購入後の不安を、新規決済の停止とは分けて扱っています。

なぜ決済障害は購入後体験の問題になるのか

カード決済の停止はチェックアウトの問題に見えますが、影響は購入後まで続きます。注文が有効か、発送は続くか、不審請求をどう確認するか、返金が必要になった場合はどの経路になるかという質問が同時に発生するためです。

案内が曖昧だと、正常な注文までキャンセルされ、問い合わせ対応が膨らみます。逆に、代替決済を増やすだけで手数料や返金条件を示さなければ、購入率を守れても後から不満が残ります。

セキュリティ部門が「止める判断」をし、EC部門が「売り続ける判断」をするだけでは不十分です。受注、決済、出荷、CS、法務が同じ顧客ステータスを見て、告知内容をそろえる必要があります。

日本のEC事業者が売上と利益を守る5つの実務

1. 影響範囲を注文ステータスで分ける

「サイト全体が危険」と一括りにせず、決済前、決済済み、出荷待ち、出荷済み、返金中に分けます。止める範囲を限定できれば、安全確保と売上継続を両立しやすくなります。

2. 代替決済の顧客負担を先に決める

カードから代引きや振込へ切り替えると、手数料や入金確認の負担が変わります。障害時の追加負担を誰が持つかを平時に決め、購入画面と告知で同じ条件を示します。

3. 注文済み顧客への回答を独立させる

トップページの障害告知だけでなく、「注文は有効か」「発送は続くか」「再決済は必要か」をFAQにします。既存注文を守る案内は、不要なキャンセルと返金で消える売上を抑える施策です。

4. 確定事実と調査中事項を分ける

公表文には、発覚した事象、停止した機能、確認済みの影響、顧客への依頼、次回の更新場所を並べます。更新履歴を残せば、古い情報がSNSや検索結果に残った場合も現在地を追いやすくなります。

5. 復旧を「技術」と「顧客対応」の両面で判定する

原因の封じ込めだけでなく、監視、問い合わせ窓口、対象顧客への連絡、返金・再決済手順まで準備してから再開します。復旧直後の注文集中や問い合わせ増も想定し、再停止を避ける段階的な戻し方を用意します。

個人情報漏えいのおそれがある場合の公的ルール

個人情報保護委員会は、一定の個人データ漏えい等、またはそのおそれがある場合に報告が必要と案内しています。速報は発覚からおおむね3〜5日以内、確報は原則30日以内で、不正目的のおそれがある場合は60日以内とされています。

ただし、具体的な報告義務や本人通知の要否は、扱うデータと事案によって異なります。ここでの説明は一般的な実務整理であり、個別案件は個人情報保護委員会の最新資料を確認し、法務・セキュリティの専門家へ相談してください。

よくある質問

Q. 情報流出が未確定でも決済を止めるべきですか？

A. 顧客の財産的被害が広がる可能性と、決済停止による売上影響を分けて評価します。疑いのある経路だけを止め、代替手段と既存注文の扱いを同時に案内する設計が重要です。

Q. 停止前に受けた注文はキャンセルすべきですか？

A. 一律キャンセルではなく、決済の有効性、注文データの完全性、出荷可否を確認して判断します。継続できる注文と個別確認が必要な注文を分け、顧客へ明示します。

Q. 代替決済を用意するときの注意点は何ですか？

A. 利用可能な方法、追加手数料、返金方法、反映時間を購入前に示します。障害時だけ顧客負担が増えないよう、手数料の扱いも決めておきます。

Q. 顧客への告知では何を分けて書くべきですか？

A. 確認済みの事実、調査中の事項、顧客に依頼する行動、注文・発送への影響、次回更新の方法を分けます。未確定の流出を断定しないことも重要です。

Q. 決済を再開する基準は何ですか？

A. 原因の封じ込め、影響範囲の確認、外部専門家や決済関係者による安全確認、監視強化、顧客案内の準備を満たしたかで判断します。売上回復だけを理由に急いで再開しないことが大切です。

Q. 漏えいの可能性がある場合、行政への報告は必要ですか？

A. 個人情報保護委員会のガイドライン上、一定の漏えい等またはそのおそれは報告対象になります。該当性と期限は事案ごとに異なるため、最新の公的資料を確認し、法務や専門家へ相談してください。

まとめ

• cottaは不正アクセスの可能性を受け、カード決済と一部機能を予防的に停止した
• 情報流出は公表時点で未確定であり、確認済みの事実と調査中事項を分ける必要がある
• 代替決済、注文済み商品の発送、過去利用者の確認行動を別々に案内すると、売上と信頼を守りやすい
• 復旧判断はシステムの安全だけでなく、顧客連絡・返金・再決済まで含めて行う

参考・出典

1. 株式会社cotta「クレジットカード決済の一時停止および不正アクセスの可能性に関するお知らせ」（2026年10月26日）
2. 個人情報保護委員会「漏えい等の対応とお役立ち資料」
3. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」