3Dセキュアとは？オンライン決済で知っておきたい本人認証

3Dセキュアとは

3Dセキュアは、インターネット上でクレジットカードを利用するときに、カードを使っている人が正当なカード会員であるかを確認するための本人認証の仕組みです。

現在は、国際的な標準仕様であるEMV 3-Dセキュア（EMV 3DS）が利用されています。「3Dセキュア2.0」「3Dセキュア2」と呼ばれることもあります。

オンライン決済では、カード番号、有効期限、セキュリティコードなどの情報が第三者に知られてしまうと、カードそのものを持っていない人でも不正に利用できる可能性があります。

そこで、カード情報だけで決済を進めるのではなく、カード発行会社が取引に関する情報をもとにリスクを判定し、必要に応じてカード会員へ追加の本人認証を求めるのが3Dセキュアです。

なぜ3Dセキュアが必要なのか

店舗でカードを利用するときは、カードそのものやICチップ、暗証番号などを使って取引を行います。

一方、ECサイトやオンライン申し込みなどの非対面取引では、カードそのものを加盟店へ提示するわけではありません。

そのため、盗まれたカード情報やフィッシングなどによって取得された情報が、不正なオンライン決済に使われるリスクがあります。

3Dセキュアは、こうしたカードを提示しない取引における不正利用を抑えるための対策の一つです。

日本では、クレジットカード取引に関係する事業者が取り組むべきセキュリティ対策をまとめた「クレジットカード・セキュリティガイドライン」において、EC加盟店の不正利用対策としてEMV 3-Dセキュアの導入が位置づけられています。

以前の3Dセキュアと何が変わった？

以前の3Dセキュアでは、カード会員があらかじめ登録したパスワードを決済時に入力する方式が一般的でした。

しかし、毎回パスワード入力を求めると、利用者にとって手間がかかります。また、固定パスワードそのものがフィッシングなどによって盗まれるリスクもあります。

現在のEMV 3-Dセキュアでは、加盟店や決済システムからカード発行会社側へ、取引内容や利用環境など認証判断に必要なデータを連携します。

カード発行会社は、それらの情報を使ってリスクを判定し、必要性が低いと判断した取引では、カード会員に認証操作を求めずに認証を進めることがあります。

一方、リスクが高いと判断された場合などには、ワンタイムパスワードやカード会社のアプリなどを使った追加認証が求められます。

フリクションレスフロー

カード発行会社が、連携された情報から追加認証の必要性が低いと判断した場合、利用者に追加操作を求めずに認証が完了することがあります。

これを一般にフリクションレスフローと呼びます。

利用者から見ると、通常のカード決済とほとんど変わらない流れで処理が進む場合があります。

チャレンジフロー

追加の本人確認が必要と判断された場合には、カード会員に認証操作を求めます。

これをチャレンジフローと呼びます。

具体的な認証方法はカード発行会社などによって異なり、ワンタイムパスワード、アプリを使った認証、生体認証などが利用される場合があります。

3Dセキュアの基本的な流れ

実際の画面や処理は利用するカード会社・決済代行会社などによって異なりますが、考え方を簡略化すると次のような流れになります。

3Dセキュアとセキュリティコードは同じではない

オンラインカード決済では、3Dセキュア以外にも、セキュリティコードや不正検知システムなどさまざまな対策があります。

それぞれ役割が異なるため、「3Dセキュアを導入したから、ほかの対策は不要」ということではありません。

オンラインカード決済のセキュリティでは、一つの仕組みだけに頼らず、複数の対策を組み合わせて考えることが重要です。

3Dセキュアを導入すれば不正利用はなくなる？

3Dセキュアは重要な不正利用対策ですが、不正利用を完全になくす仕組みではありません。

不正利用の手口は、カード情報の盗用だけではありません。

• フィッシングによる情報窃取
• ECサイトへの不正ログイン
• アカウントの乗っ取り
• Webサイトの脆弱性を悪用した情報窃取
• 認証情報そのものを利用者からだまし取る手口

など、さまざまな方法があります。

そのため現在の国内ガイドラインでも、EMV 3-Dセキュアだけではなく、Webサイトやシステムの脆弱性対策、不正ログイン対策などを組み合わせて実施する考え方が示されています。

3Dセキュア導入時に確認したいポイント

3Dセキュアを導入するときは、「機能をONにできるか」だけではなく、実際の決済フロー全体を確認します。

認証に必要な情報を正しく連携できるか

EMV 3-Dセキュアでは、カード発行会社がリスクを判断するために、取引や利用環境に関するさまざまな情報を利用します。

決済システムやPSPが求める項目を正しく取得・連携できるようにすることが重要です。

追加認証が発生した場合の画面遷移を確認する

チャレンジフローが発生した場合、利用者には通常の決済画面とは異なる認証操作が加わります。

スマートフォンでの表示、認証後の戻り先、途中でキャンセルした場合の処理など、実際のユーザー体験を確認しておきましょう。

認証失敗と決済失敗を区別する

運用上は、「3Dセキュアの本人認証に失敗した」のか、「本人認証後のカード決済に失敗した」のかを区別できることが重要です。

問い合わせ対応や決済結果の確認を行う際にも、この違いを把握できる管理画面やログが役立ちます。

継続課金の扱いを確認する

月謝、会費、継続寄付、定額サービスなどでは、一度の申し込みから複数回の決済が発生します。

初回のカード登録・申し込み時と、その後の継続決済では、認証や決済の扱いが異なる場合があります。

利用する決済代行会社やカード決済システムが、継続課金時の3Dセキュアをどのように扱うか確認しておきましょう。

3Dセキュアと「支払いのしやすさ」を両立する

セキュリティ対策を強化すると、「支払いが面倒になるのでは」と考えることがあります。

しかし、EMV 3-Dセキュアでは、リスクに応じて追加認証の必要性を判断することで、安全性と決済時の利用者体験を両立する考え方が取り入れられています。

一方で、実際の使いやすさは、3Dセキュアの仕組みだけでは決まりません。

• 決済画面がスマートフォンで使いやすいか
• 認証が発生した理由を利用者が理解できるか
• 認証後に正常に元の画面へ戻れるか
• エラー時の案内が分かりやすいか
• 問い合わせ時に運営側が状況を確認できるか

といった、決済システム全体の設計も重要です。

まとめ：3Dセキュアをオンライン決済全体の中で考える

3Dセキュアは、オンラインカード決済において、カードを利用している人が正当なカード会員であるかを確認するための重要な本人認証の仕組みです。

現在のEMV 3-Dセキュアでは、取引や利用環境などの情報を使ってリスクを判定し、必要な場合に追加認証を行います。

一方で、3Dセキュアだけですべての不正利用を防げるわけではありません。

Webサイトの脆弱性対策、不正ログイン対策、不正取引の検知などと組み合わせながら、オンライン決済全体のセキュリティを設計する必要があります。

そして、セキュリティを強化するだけでなく、利用者が迷わず支払いを完了できることも大切です。

3Dセキュアを単独の「認証機能」として見るのではなく、決済前後のシステムや運用まで含めて考えていきましょう。