クレジットカードのセキュリティコードとは？暗証番号と違い自分で変更できない理由と、流出したときにやること
- 公開日
- 情報確認日
クレジットカード流出したらどうする
セキュリティ コードとは
「クレジットカードの番号とセキュリティコードまで流出した可能性がある」というニュースが、2026年10月に相次いでいます。グッドスマイルカンパニーの公式ショップでは、決済ページに仕掛けられた不正プログラムによって、最大2,800人分でカード番号全16桁とセキュリティコードがどちらも対象になった可能性があると報じられました。ECモール「ツクツク!!!」でも、最大19,115件で同じようにカード番号全体とセキュリティコードが対象になったとされています。
出典: 2026年の情報漏えい・不正アクセス一覧（本記事執筆時点の報道・公式発表にもとづく。グッドスマイルカンパニー・ツクツクの詳細を含む）
こうした報道を見て、「セキュリティコードとは何なのか」「カード番号だけが流出したときと、何が違うのか」「暗証番号のように自分で変えられないのか」と気になった人も多いはずです。ここでは、セキュリティコードの基本の仕組みと、流出したときにやるべきことを、カード会社の公式情報にもとづいて整理します。
結論：セキュリティコードは自分で変更できない
- セキュリティコードは、カードに記載された3〜4桁の数字。オンラインショッピングでの本人確認に使われる
- 暗証番号(PIN)とは違い、自分で設定・変更することはできない。変わるのはカードの更新・再発行のタイミングだけ
- 番号とセットで流出した可能性があるときは、自分で対処する方法がないため、気づいたらすぐにカード会社へ連絡して利用停止・再発行の相談をするのが唯一の対処
出典: JCB公式「セキュリティコードとは」（2026年10月30日確認）
セキュリティコードとは｜カードの磁気情報には含まれない番号
JCB公式サイトの説明によると、セキュリティコードはカードに記載された3桁または4桁の数字で、「CVV(Card Verification Value)」とも呼ばれます。主にオンラインショッピングで、カードの持ち主と、今入力している人が一致しているかを確認するために使われています。
ポイントは、カードの磁気情報(スライドして読み取る部分)にはセキュリティコードが含まれていないことです。そのため、スキミング(磁気情報を不正に読み取る手口)や、番号の組み合わせを試して有効なカード番号を見つけ出す「クレジットマスター」といった不正から、オンライン決済を守る役割を持っています。カードを落としたり、店頭でスキミングされたりしただけでは、セキュリティコードまでは知られない場合が多いという理屈です。
記載されている場所や桁数は、カードによって違います。JCB公式サイトも「カードの表面か裏面か、3桁か4桁かなど、記載の仕方はさまざまです」としています。一般的には裏面の署名欄の近くに記載されていることが多いカードが目立ちますが、カードによっては表面に記載されている場合もあります。ナンバーレスカード(券面に番号が印字されていないカード)の場合は、各カード会社の公式アプリ(JCBなら「MyJCBアプリ」)にログインして確認する仕組みになっています。自分のカードでの記載場所が分からない場合は、カードに同封されている説明書や、カード会社の公式サイト・会員サイトで確認してください。
なぜ暗証番号と違い、自分で変更できないのか
暗証番号(PIN)は、カードを作るときに自分で決め、あとから会員サイトや店頭の手続きで変更することもできます。一方、セキュリティコードはカード会社があらかじめ設定した番号で、利用者が好きな数字に変えることはできません。変わるタイミングは、カードの有効期限切れによる更新や、紛失・破損による再発行のときだけです。
この違いが、流出したときの対処の仕方に直結します。暗証番号は、万一誰かに見られても、自分で別の番号に変えれば済みます。しかしセキュリティコードは、利用者の意思で変えることができないため、流出した可能性があるときに自分でできる対処は実質的にありません。カード会社に連絡して、カードそのものを再発行してもらう(番号もセキュリティコードも新しくなる)のが、唯一の実効的な対処になります。
セキュリティコードは、本人しか知らない情報であることで初めて効力を発揮します。家族や親しい友人であっても教えないことが原則です。カード会社・通販サイト・宅配業者などを名乗る電話・メール・SMSでセキュリティコードを聞かれても、絶対に答えないでください。正規のカード会社が、こうした連絡でセキュリティコードを尋ねることはありません。
出典: JCB公式「セキュリティコードとは」（2026年10月30日確認）
今、セキュリティコードの流出が相次いで報じられている理由
2026年9月末から、通販サイトや予約サイトへの不正アクセスによる情報漏えいの発表が相次いでいます。2026年の情報漏えい・不正アクセス一覧でまとめているとおり、多くの事案では「カード番号の下4桁・有効期限・名義」など番号の一部だけが対象です。これだけでは、それ単体で不正利用が成立するわけではないとされています。
一方で、グッドスマイルカンパニーの公式ショップやツクツク(ECモール「ツクツク!!!」)のように、カード番号全体とセキュリティコードの両方が対象になった可能性があると報じられている事案もあります。この組み合わせがそろうと、オンラインショッピングでの不正利用に使われるリスクが、番号の一部だけが流出した場合より高くなります。番号だけでは決済に使えない仕組みのサイトでも、セキュリティコードまであれば本人確認を通過できてしまうためです。
セキュリティコードまで流出した可能性があるとき、今すぐやること
結論：気づいたら、この順番で動く
- 自分が対象かどうかを確かめる(利用した会社からの個別の連絡・公式サイトのお知らせを確認)
- 対象の可能性があれば、すぐにカード会社に連絡する(アプリ・会員サイト・電話)
- カード会社の案内に沿って、利用停止・再発行を申し込む
- 利用明細を、再発行後もしばらくこまめに確認する
1. 自分が対象かどうかを確かめる
情報漏えいが発表された会社で利用した記憶がある場合は、その会社からの個別の連絡(メール・郵送)や、公式サイトのお知らせページを確認します。対象かどうかが分からない場合は、その会社の問い合わせ窓口に確認するのが確実です。SNSの投稿や検索結果の要約だけで「対象になった」と判断しないよう注意してください。
2. カード会社に連絡する
対象になった可能性がある、または身に覚えのない請求を見つけた場合は、カードの利用を止めるために、カード会社にすぐ連絡します。多くのカード会社は、会員専用アプリやWebサイトからの利用一時停止と、電話での緊急連絡窓口の両方を用意しています。カード裏面に記載の電話番号、または公式サイトの「緊急連絡先」「カードの紛失・盗難」のページから確認してください。
3. 再発行を申し込む
カード会社の調査・案内に沿って、カードの再発行を申し込みます。再発行されたカードは、カード番号・セキュリティコード・有効期限がすべて新しくなります。公共料金やサブスクリプションサービスなど、カード情報を登録しているサービスがある場合は、再発行後に登録情報の変更が必要になる点にも注意してください。
4. 利用明細を確認し続ける
再発行後も、しばらくは利用明細をこまめに確認してください。不正利用の被害には、「届け出た日から何日前までの被害か」という補償の期限があるカード会社が多いため、見覚えのない請求を見つけたら、できるだけ早くカード会社に連絡することが重要です。補償の期限の詳しい比較は、不正利用の補償はいつまで？6社を比較にまとめています。不正利用に気づいたときの手順全体は、クレジットカードの不正利用に気づいたらも参考にしてください。
セキュリティコードの流出だけでは、不正利用が確定したわけではありません。実際に不正に使われるかどうかは、流出した情報の組み合わせや、悪用する側の行動によって変わります。過度に不安がる必要はありませんが、「対象になった可能性がある」と案内された場合は、念のため上記の手順を進めておくことをおすすめします。
よくある質問
セキュリティコードとは何ですか？
カードに記載された3桁または4桁の数字で、「CVV」とも呼ばれます。主にオンラインショッピングで、カードの持ち主と使用者が一致しているかを確認するために使われます。カードの磁気情報には含まれていません(JCB公式サイトの説明にもとづく)。
セキュリティコードはどこに書いてありますか？
カードによって異なります。JCB公式サイトも「カードの表面か裏面か、3桁か4桁かなど、記載の仕方はさまざまです」としています。一般的には裏面の署名欄付近に記載されていることが多いですが、正確な場所は自分のカードの券面や、カード会社の公式サイト・同封の説明書で確認してください。ナンバーレスカードの場合は、カード会社の公式アプリで確認できます。
セキュリティコードは自分で変更できますか？
できません。暗証番号(PIN)は自分で設定・変更できますが、セキュリティコードはカード会社があらかじめ設定した番号で、利用者が変えることはできません。変わるのは、カードの更新や再発行のタイミングだけです。
カード番号の下4桁だけの流出と、セキュリティコードまで含む流出は、どう違いますか？
カード番号の下4桁や有効期限だけでは、それ単体で不正利用が成立するわけではないとされています。一方、カード番号全体とセキュリティコードの両方がそろうと、オンラインショッピングでの本人確認を通過できてしまう可能性があり、不正利用のリスクが相対的に高くなります。どちらの場合も、対象になった可能性があると案内されたら、利用明細の確認を続けることが基本の対策になります。
セキュリティコードが流出したかもしれないとき、自分でできる対処はありますか？
暗証番号のように自分で変更することはできないため、自分でできる対処は実質的にありません。気づいた時点でカード会社に連絡し、利用停止と再発行を申し込むのが唯一の対処になります。先に様子を見てから連絡しようと考えず、できるだけ早く連絡することをおすすめします。
カード会社や通販サイトを名乗ってセキュリティコードを聞かれたら、答えてもいいですか？
答えないでください。正規のカード会社や通販サイトが、電話・メール・SMSでセキュリティコードを尋ねることは通常ありません。こうした連絡は、フィッシング詐欺(なりすましによる情報の聞き出し)の可能性が高いため、答えずに、公式サイトに記載された窓口に自分から連絡して確認してください。
セキュリティコードを一度も入力したことがなくても、流出することはありますか？
可能性はあります。報じられている事案の中には、カードを新しく登録した際の情報が、通販サイト側のシステムに保存されていて、そのシステムへの不正アクセスによって流出した可能性があるとされるケースがあります。利用したことがあるサイトで情報漏えいが発表された場合は、入力したタイミングにかかわらず、対象かどうかを確認することをおすすめします。
まとめ・出典
セキュリティコードは、カードに記載された3〜4桁の数字で、主にオンラインショッピングでの本人確認に使われています。暗証番号とは違い、カード会社があらかじめ設定した番号で、利用者が自分で変更することはできません。この性質上、番号とセットで流出した可能性があるときに自分でできる対処はなく、気づいた時点でカード会社に連絡して利用停止・再発行を申し込むことが、唯一の実効的な対策になります。2026年10月に相次いでいる情報漏えいの報道では、カード番号全体とセキュリティコードの両方が対象になった可能性がある事案と、番号の一部だけが対象の事案が混在しているため、自分が利用したことがあるサービスで発表があった場合は、まず対象項目を確認することから始めてください。
出典: JCB公式「セキュリティコードとは」（2026年10月30日確認）、2026年の情報漏えい・不正アクセス一覧（グッドスマイルカンパニー・ツクツクの事案の出典を含む）
身に覚えのない請求に気づいたときの手順はクレジットカードの不正利用に気づいたら、カード会社ごとの補償期間の違いは不正利用の補償はいつまで？6社を比較にまとめています。相次ぐ情報漏えいの事案を会社ごとに確認したい場合は、2026年の情報漏えい・不正アクセス一覧も参考にしてください。
