EC事業者には、カード情報を自社のサーバーで「保存・処理・通過」させない（非保持化）ことが求められています。ただし非保持化していても、サイトが改ざんされ、偽の入力画面でカード情報を盗まれる事故が多発しているため、サイトの脆弱性対策・管理画面の守り・改ざんの検知も欠かせません。
事業者の対策
| 対策 | 内容 |
|---|---|
| 非保持化 | 決済代行会社のリンク型・トークン型の決済を使い、カード番号を自社で扱わない |
| サイトの脆弱性対策 | ECパッケージ・CMSの更新、脆弱性診断、WAF |
| 管理画面の守り | アクセス元の制限、多要素認証、推測されにくいパスワード |
| 改ざんの検知 | ファイル・スクリプトの変更検知 |
| 不正利用対策 | 本人認証（3Dセキュア）などの導入 |
「非保持化しているから大丈夫」ではありません。改ざんされた画面で利用者が入力すれば、カード情報はそのまま攻撃者に送られます（Webスキミング）。