「お客さまのカード情報が、うちの端末から漏れたらどうしよう」
Squareの決済を入れる直前になって、安全性のことが急に気になってきませんか。
もし不正利用されたら、売上ってお店が被ることになるのかな
カード情報はお店の端末に1件も残らず、お店側がカード番号を見ることすらできない仕組みになっています。
カードは読み取ったその瞬間にリーダー本体の中で暗号化され、そのままSquareのサーバーへ送られます。
国際的なセキュリティ基準のPCI DSSはいちばん厳しいレベル1に準拠していて、情報セキュリティのISO 27001も取得しています。
ネット決済の3Dセキュアも、2025年4月1日から日本の全加盟店で自動的に有効になりました。
お店側の申し込みも、開発の作業も必要ありません。
ここがうれしいところで、本来カード情報を扱うお店は、監査や脆弱性スキャン、社内研修まで自前でそろえる必要があります。
Squareはこれを費用0でまるごと引き受けるので、セキュリティ担当を雇わなくても始められます。
暗号化やPCI準拠の中身は、公式サイトのセキュリティページに細かく書かれています。
- カード情報がお店の端末に残らない仕組み
- PCI DSSレベル1とISO 27001でわかる会社としての体制
- 3Dセキュアの自動有効化でお店がすること
- チャージバックが起きたときの費用と流れ
- 売上が守られる決済の受け方と、守られない受け方
- 1円のテスト決済のやり方と回数の上限
Square（スクエア）の決済が安全性の高い仕組みだと言い切れる理由
お客さまのカード情報はお店の端末に1件も残らない
カード番号も、磁気ストライプのデータも、裏面のセキュリティコードも、Squareのクライアント端末には保存されません。
データはカードリーダー本体の中で暗号化され、アプリを通ってSquareのデータセンターに届くまで暗号化されたままです。
店内の無線LANでも、モバイル回線でも、通信は同じように守られます。
そしてここがいちばん大事なポイントで、Squareはカード番号を加盟店に一切公開しません。
お店の人が見ようとしても、そもそも画面に出てこないということです。
- タブレットやスマホを盗まれても、そこからカード情報は取り出せない
- スタッフが操作しても、カード番号は表示されない
- アプリ側に、うっかり変えて事故につながるようなセキュリティ設定の項目がない
設定でがんばって守るのではなく、最初から守られた状態で箱に入って届く、という作りです。
PCI DSSレベル1とISO 27001という2つの国際基準を通っている
PCI DSSとは、国際カードブランド5社が共同でつくった、カード情報を扱う会社が守るべき世界共通の安全基準のことです。
SquareはこのPCI DSSのレベル1に準拠しています。
そのため、加盟店が個別に準拠の検証を受ける必要はありません。
さらにSquareは、情報セキュリティの体制そのものを外部審査するISO 27001の認証も取得しています。
アプリやサーバーへの侵入テストは常時実施されていて、世界中の研究者に脆弱性を報告してもらうバグ報奨金の窓口も24時間開いています。
データへのアクセスはすべて記録され、監査ログは定期的に確認されています。
この体制がありがたいのは、安心だけでなく、お金と手間がまるごと浮くところです。
| PCI準拠のためにやること | 小規模事業者にかかる一般的な費用 | Squareの場合 |
|---|---|---|
| 自己評価アンケートまたはPCI DSSの監査 | およそ50〜200ドル | 0 |
| 脆弱性スキャン | IPアドレスあたりおよそ100〜200ドル | 0 |
| 研修とポリシーづくり | 従業員1人あたりおよそ70ドル | 0 |
| 修復作業（ソフトや周辺機器の更新など） | およそ100〜1万ドル | 0 |
毎年の更新も、監査対応も、Squareが加盟店に代わって引き受けます。
3Dセキュアは2025年4月から申し込みなしで自動的に有効になっている
ネットショップや請求書でカード決済を受けるお店には、経済産業省の指示で3Dセキュアの導入が義務づけられました。
3Dセキュアとは、ネットでカードを使うときに「本当にカードの持ち主本人か」を確かめる、本人認証の仕組みのことです。
Squareでは2025年4月1日から、日本の全加盟店に対して3Dセキュアの自動有効化が行われています。
パソコンでもスマホでも、オンラインの決済取引で自動的に有効になります。
お店側で申し込みをしたり、サイトに何かを組み込んだりする作業はありません。
気になるのは「お客さまの手間が増えて、カゴ落ちしないか」ではないでしょうか。
認証には2つの流れがあり、リスクが低い取引ではお客さまの操作は増えません。
| 認証の流れ | お客さまがすること | どんなときに起きるか |
|---|---|---|
| フリクションレスフロー | いつもどおり注文を確定するだけ 認証画面が出ないこともある | カード会社が リスクは低いと判断したとき |
| チャレンジフロー | SMSやカード会社のアプリに届く ワンタイムパスワードを入力する | カード会社が 本人確認をしたいと判断したとき |
認証をするかどうかを決めているのはカード発行会社で、Squareがその判断に影響を与えることはありません。
月謝や定期便のような継続課金では、お客さまが認証を受けるのは初回にカードを登録するときだけです。
2回目以降の自動引き落としでは、認証は求められません。
不自然な取引はSquare側が見つけて先に知らせてくれる
Squareは機械学習を使って、自社のサービス全体で行われた決済を監視しています。
詐欺の手口は日々変わるので、その傾向に合わせてアルゴリズムも調整されています。
不自然な取引が起きたときには、不正利用に対応する専門チームから連絡が入ります。
おかしな注文に自分ひとりで気づく必要はなく、見張り役がもう一人ついている状態になります。
チャージバックが起きても手数料は0円でSquareが窓口に立つ
チャージバックとは、カードの持ち主がカード会社に請求の取り消しを求めて、支払いが取り消されることです。
チャージバックの管理サービスに、手数料は発生しません。
反証するときにかかる費用もSquareが負担します。
カード発行会社とのやり取りもSquareが引き受けるので、電話対応に何時間も取られることはありません。
お店がやることは、証拠を出すところだけです。
| 順番 | お店がすること | 期限の目安 |
|---|---|---|
| 1 | メール・Squareのデータ・アプリの通知から 情報リクエストフォームを開く | 通知が届いたらすぐ |
| 2 | 承諾するか反証するかを選び 反証するなら書類をフォームに添えて送る | 初回の通知メールから5日以内 |
| 3 | カード発行会社の判断を待つ | 最大90日 |
| 4 | メールとSquareのデータで結果を確認する | 判断が出しだい |
チャージバックの通知が来ると、その金額はいったんSquareの残高から差し引かれて保留になります。
反証が認められれば、保留されていた代金はお店に戻ります。
チャージバックが成立した場合は、その代金がお客さまに返金されます。
Square残高が足りないときは、差額の振り込みをお願いするメールが届きます。
自分の店の状況は、Squareのデータの「チャージバック」から数字で確認できます。
チャージバックが起きた決済の割合、取り下げられた割合、守られた資金の合計が並ぶので、感覚ではなく数字で把握できます。
売上が守られるかどうかは決済の受け方で決まる
ここは正直にお伝えしたいところです。
ICチップが入ったカードを、リーダーに挿さずに磁気ストライプでスワイプして受けた場合、あとからお客さまが不正に使われたと主張すると、その主張はすべて認められます。
つまり、その決済ではお店が損失を負うことになります。
通信が切れた状態で受けるオフライン決済も、有効期限切れや不承認、チャージバックが起きたときにSquareは責任を負いません。
裏を返すと、話はとてもシンプルになります。
ICチップを挿すか、タッチで受ける。
この2つを守っているかぎり、不正利用が起きても反証の土俵に立てますし、EMVの仕組みが働いて守られる側に回れます。
ちなみに1回の決済の上限は9,999,999円で、これを超える金額は複数回に分けて受け付ける形になります。
暗号化もPCI準拠も3Dセキュアも、追加の申し込みなしで最初から付いてきます。
Square（スクエア）の決済の安全性を保ったまま使い続けるためにできること
使い始めは1円のテスト決済で操作を確かめる
初めての決済をいきなり本番のお客さまで迎えるのは、やっぱり緊張します。
Squareにはテストモードがないので、練習は自分のカードを使った本物の決済で行います。
金額はSquareの最小決済金額である1円です。
Squareの動作確認は、1円のテスト決済を2〜3回まで行い、決済後すぐに払い戻します。
加盟店が自分のカードで通常の売上を立てる行為は「自店売上」となり、利用規約で禁止されています。
自分のカードを使う場合は、利用開始前のテスト決済だけに限定してください。
テスト決済に使えるのは、クレジットカード、iD、QUICPay、QRコード決済です。
交通系ICは払い戻しができないため、テストには使いません。
①Squareのアカウントにログインする
お使いの端末でSquareのPOSレジアプリを開き、アカウントにログインします。
②キーパッドをタップする
レジ画面からキーパッドをタップして、電卓の画面を開きます。
③1円と入力する
電卓の画面から「1」をタップします。
④決済方法を選んで決済する
クレジットカード、iD、QUICPay、QRコード決済のいずれかを選び、そのまま決済します。
⑤レシートの出方を確かめる
最後にレシートの発行画面が出るので、印刷するか自分宛に送信して、どんな見た目になるかを見ておきます。
⑥払い戻しまでやって終わりにする
取引履歴から該当の1円を選んで払い戻すと、決済が相殺されて練習が完了します。
払い戻しの操作もそのまま練習になるので、お客さまへの返金が必要になったときにも落ち着いて対応できます。
対面はICチップの挿入かタッチで受けるのがいちばん強い
対面の決済は、そもそも非対面よりチャージバックが起きにくい受け方です。
そのうえで、受け方によってお店の立場がどう変わるかを並べておきます。
| 受け方 | 中身 | 不正利用があったときのお店の立場 |
|---|---|---|
| ICチップを挿入 | チップを読み取って決済する | 不正への保護機能が働く |
| タッチ決済 | カードやスマホをかざして決済する | 不正への保護機能が働く |
| ICカードを磁気でスワイプ | チップを読み取らずに通す | お客さまの主張が認められ、損失を負う |
| カード番号の手入力 | 非対面と同じ扱いになる | 証拠を自分で用意しておく必要がある |
| オフライン決済 | 通信が切れた状態で受ける | 不承認やチャージバックに Squareは責任を負わない |
ICチップ付きのカードは、リーダーに挿入するかタッチしたときに、不正行為への保護機能が動きます。
チップが付いていない古い磁気だけのカードは、磁気カードに対応したリーダーでスワイプして受け付けます。
そしてもうひとつ、レシートは必ず出しておくと安心です。
チャージバックが起きたとき、Squareがそのレシートをカード発行会社に提出して反証してくれます。
金額だけでなく、買われた商品やサービスを1点ずつ数量まで載せておくと、証拠としての力が強くなります。
Squareの請求書とリンク決済で安全に支払ってもらう準備
非対面の決済では、支払っている人がカードの名義人かどうかをお店側で確かめられません。
だからこそ、準備しておくと効く手が用意されています。
- 請求書はお客さま本人のメールアドレスか電話番号へ直接送る
- 商品を送るときは追跡情報と納品書を保管し、大口の注文では受け取りのサインをもらう
- サービスを提供したときは、日付と完了状況が入った署名入りの書類を残す
- 発送前に、請求先と配送先の郵便番号が一致しているかを見ておく
請求書を本人に直接送れば、お客さまが支払いの中身を確認して承認したことになるので、チャージバックが起きにくくなります。
もし請求書の支払い試行が上限に達すると、Squareが安全のためにその請求書を取り消します。
その通知が届いたときは、お客さまの身元を確かめるか、現金など別の支払い方法に切り替える判断ができます。
郵便番号が合わないときも、事情を聞いて筋が通っていれば問題はありません。
どうしても腑に落ちないときだけ、その支払いを受け付けないという選択ができます。
2段階認証でSquareアカウントそのものを守る
決済の仕組みが守られていても、ログイン情報が他所から漏れてしまうことはあります。
Squareではアカウントを作って有効にするときに、2段階認証を有効にするよう案内されます。
方法はSMSで受け取るか、Google Authenticatorなどのアプリでコードをつくるかのどちらかです。
予備の電話番号をもう1つ登録しておくと、スマホが手元にないときも困りません。
毎回コードを入れるのが手間なら、「この端末を90日間記憶する」を選べば入力は90日ごとになります。
スタッフがいるお店なら、スタッフ向けの2段階認証もまとめてオンにできます。
パスキーを有効にすれば、指紋や顔認証、PINコードでログインできるようになります。
万一のときに効いてくる記録の残し方
チャージバックの多くは、お客さまが明細を見て「これ何だっけ」と思ったところから始まります。
そこで効くのが、お店の名前と連絡先です。
事業名が個人名のままだと、明細を見たお客さまが心当たりのない名前だと感じてしまいます。
事業名がまだない場合は、サービスの種類と提供する都市名を組み合わせる形が案内されています。
レシートに電話番号や所在地、ウェブサイトを載せておけば、疑問が出たときにカード会社ではなくお店に直接連絡してもらえます。
返品や払い戻し、キャンセルの決まりも、レシートや請求書に書いて渡しておきます。
レジやサイトに「返品不可」と貼り出すだけでは、決まりを示した証拠としては足りません。
もう一歩踏み込むなら、Squareの契約書が使えます。
Squareのデータから契約書を作って送ると、お客さまの同意を電子署名付きで受け取れるので、反証の材料としてとても強くなります。
よくある質問
中古で買ったSquareリーダーでも大丈夫ですか
暗号化の仕組みはリーダー本体に組み込まれているので、機能そのものは変わりません。
ただしSquareのハードウェアは自社で製造され、箱から取り出した時点で暗号化機能を備えた状態で届きます。
誰の手を経たかわからない個体より、Squareから新品を購入したほうが、後々の保証やサポートも含めて確実です。
決済端末を紛失したときにカード情報は流出しますか
カード番号、磁気ストライプのデータ、セキュリティコードは端末に保存されないため、端末からカード情報が取り出されることはありません。
心配なのはむしろアカウント側なので、パスワードの変更と2段階認証の確認をしておくと安心です。
Squareのデータではログインの履歴も確認できます。
システム障害で決済できなくなることはありますか
どの決済サービスでも障害の可能性はゼロにはなりません。
Squareはサービスの稼働状況を公開するステータスページを用意していて、決済が通らないときはそこで状況を確認できます。
現金など別の受け方も用意しておくと、当日の営業が止まらずに済みます。
PCI DSSの申請や毎年の更新は自分でするのですか
SquareがPCIデータセキュリティ基準に準拠しているため、加盟店が個別にコンプライアンス状況を検証する必要はありません。
監査や自己評価アンケート、脆弱性の調査、ポリシーづくりもSquare側が引き受けます。
そのための費用を月ごとや年ごとに請求されることもありません。
スタッフに管理画面を任せても問題ありませんか
Squareのデータではスタッフごとにアクセス権限を設定できるので、必要な機能だけを開けます。
チャージバックの表示や対応も、権限を持つスタッフだけが行える形にできます。
あわせてスタッフ向けの2段階認証をオンにしておくと、各自の端末でもログインが守られます。
テスト決済の取引履歴は後から消せますか
取引履歴に反映されたお取引は削除できません。
払い戻しをすれば金額としては相殺されますが、履歴そのものは残ります。
売上のレポートを見たときに迷わないよう、払い戻しの理由に「テスト決済のため」と書き添えておくと後から見返しやすくなります。
まとめ：Square（スクエア）の決済は安全性をお店が作り込まなくても最初から守られている
Squareの
カード情報はお店の端末に残らず、お店側がカード番号を見ることもできません。
- 読み取りの瞬間にリーダー本体で暗号化され、サーバーまで暗号化されたまま届く
- PCI DSSレベル1に準拠していて、加盟店が個別に検証を受ける必要はない
- 3Dセキュアは2025年4月1日から自動で有効になり、申し込みも実装もいらない
- チャージバックの管理も反証もSquareが手数料なしで引き受ける
- ICチップの挿入かタッチで受けていれば、不正への保護機能が働く
お店の側でやることは、挿すかタッチで受けること、レシートを出すこと、2段階認証をオンにしておくことくらいです。
セキュリティの知識がなくても、最初から安全な状態で運用が始まります。
最初の1件を1円のテスト決済で流してみれば、その手応えはすぐにつかめます。
審査が最短で通れば、申し込んだその日からカード決済を受けられます。