ネット通販サイトそのものが攻撃者に改ざんされると、決済画面に入力したカード番号やセキュリティコードが、ショップに届くのと同時に攻撃者のサーバーにも送られることがあります。これをWebスキミング（フォームジャッキング）と呼びます。利用者からは本物のショップに見えるため、気づくことはほぼできません。
ショップが気づくのは遅れがち
多くの場合、カード会社が不正利用の傾向から「このショップから漏れたのでは」と気づき、ショップに連絡して発覚します。調査に時間がかかり、公表されるのは漏洩から数か月以上後になることも珍しくありません（なぜ公表が遅い？）。
利用者ができること
- カード会社の利用通知をオンにし、身に覚えのない請求にすぐ気づけるようにする（明細の確認）
- 通販サイトにカード情報を保存しすぎない。よく使うショップに絞る
- 使えるなら、カード番号を入力しない決済（ウォレット決済など）を選ぶ
ショップがすべきこと
決済画面を自社サーバーに置かず、決済代行会社の画面に遷移させる・カード情報を保持しない方式にすること、ECサイトの構築ソフトとプラグインの更新、管理画面の多要素認証が基本です（ECサイトのカード情報保護）。