3Dセキュア

3Dセキュア

平仮名表記
・すりーでぃーせきゅあ

3Dセキュアとは？

クレジットカードによるネットショッピングの決済時に利用される本人認証サービス
・各クレジットカード会社が推奨している本人認証のためのサービス
・事前にカード会社に登録したパスワードなどを入力することで本人認証を行い、他人による「なりすまし」などの不正利用を防ぐ仕組み

2001年にVISAが最初に開発し導入された
・Visaが開発した本人認証のシステム
・後にMasterCardやJCBが、同様の仕様に加わった
・そのため、カードホルダー側への普及プロセスもカードブランドによってバラつきがあり、統一されたものではない

認証
・「クレジットカードに記載されている情報」＋「自分しか知らないパスワード」で認証を行う
※加盟店が決済時に、クレジットカード会社での認証を経由することで、本人確認を行う

3Dとは？

3つのドメインのこと

イシュアドメイン
・カード会社を認証する

アクワイアラドメイン
・加盟店を認証する

相互運用ドメイン
・取り引きを仲介する

3Dセキュアを使用しないクレジットカード決済

3Dセキュアを使用せず、オンラインショッピングの決済にクレジットカードを利用する場合
・クレジットカードの番号や有効期限・セキュリティコード、氏名などを基にして、利用しようとするクレジットカードが有効なものであるかどうかを識別している
※「クレジットカードに記載されている情報」のみで認証を行う

この方法の問題点
・その決済をしようとする人物が、そのクレジットカードの会員本人であるかを識別することはできない

3Dセキュアを使用したクレジットカード決済

3Dセキュアを使用して、オンラインショッピングの決済にクレジットカードを利用する場合
・「クレジットカードに記載されている情報」＋「自分しか知らないパスワード」で認証を行う

処理の流れ
・オンラインショッピングのサイトにてクレジットカード番号などを入力した際、そのクレジットカードが3Dセキュアに対応しているかが識別される
・対応している場合は、3Dセキュアのサイトが表示され、予めカード会員が設定した（もしくはクレジットカード会社より送信された）パスワード入力が要求される
・このパスワードを基に本人認証が行われる
・この際、パスワードの入力が行われなかったり、入力されたパスワードが誤っていたりした場合は決済は行われない
・これによって、加盟店やクレジットカード会社・カード会員は、カード番号などの盗用による不正使用被害の抑止が期待できる

3Dセキュアのサービスによっては
・パスワード入力時に「パーソナルメッセージ」という、会員がパスワードと共にあらかじめ登録しておいたメッセージを表示させることができる
・利用者は、この内容が正しければ正規のクレジットカード会社からの認証であると判断できる
・これが表示されなかったり違うものの場合はフィッシングのために作られた別サイトに誘導されている可能性が高いと判断することができる

3Dセキュアを「使用する場合」と「しない場合」を比較

比較一覧表
・3Dセキュアを

-	使用しない	使用する
認証	「クレジットカードに記載されている情報」のみ	「クレジットカードに記載されている情報」＋「自分しか知らないパスワード」
具体例	「クレジットカード番号」「有効期限」	「クレジットカード番号」「有効期限」「パスワード」

3Dセキュアを使用するには？

全てのクレジットカードで使用できるわけではない
・「クレジットカード発行会社」が本人認証のシステムを持ち、クレジットカード所有者がパスワードを登録して、初めて本人認証が行える仕組み
・クレジットカードが未対応だったり、カード所有者が3Dセキュア未登録の場合は、3Dセキュアを導入していても、本人認証は行われない

事前にパスワード設定
・対応しているクレジットカード会社が発行するクレジットカードの会員となり、予めパスワードを設定する必要がある
・パスワードは、クレジットカードのインターネットサービスで設定する事ができる（例えばJCBカードの場合は「MyJCB」、三井住友カードの場合は「Vpass」による）。クレジットカードのインターネットサービスのログインに利用するパスワードと同じものを3Dセキュアのパスワードとしているクレジットカード会社が多い
・クレジットカード会社によっては、パスワードの設定をせず、認証要求ごとにSMSでパスワードを送信するワンタイムパスワード方式が導入されている会社もある

3Dセキュアの導入メリット

セキュリティ向上
・セキュリティ向上するため、カード支払い時の限度額が引き上げられることもある
・PayPay

3Dセキュアが普及しない理由

3Dセキュアの問題点
・消費者が「自分が事前に設定したパスワード」を忘れた場合、購入できくなる
・画面遷移の増加。パスワード入力する画面(3Dセキュアのサイトが表示)に遷移する
→ 決済途中に3Dセキュア画面に飛ぶと、エラーが起きたのではないか、フィッシングサイトではないかと不安を感じて買い物を止める人もいる

「楽天市場」や「Amazon」といったオンラインモール
・3Dセキュアを義務化していない
・従来どおり、クレジットカード番号や有効期限のみで買い物ができる

「楽天カード」などのカード会社
・対応している

比較一覧表
・3Dセキュアを

-	使用しない	使用する
認証	「クレジットカードに記載されている情報」のみ	「クレジットカードに記載されている情報」＋「自分しか知らないパスワード」
具体例	「クレジットカード番号」「有効期限」	「クレジットカード番号」「有効期限」「パスワード」
画面遷移	普通	増加
セキィリティ	普通	向上
不正利用の可能性	普通	減少
購入率	普通	減少

3Dセキュアを悪用

不正使用
・事前に登録するパスワードを使い回したものに設定するケースもあり、ログインパスワードが加盟店サイトからカード情報と同時に流出していた場合は、3Dセキュアも突破されてしまう
・会員家族や、不正にクレジットカードを取得した者（他人が申請した場合や、本人以外が受け取ったりするなど）などが、そのクレジットカードの会員本人に成り済ましてクレジットカードのインターネットサービスのIDを取得した場合などは、3Dセキュアを悪用されてしまう
・この為、店頭で偽造カードや盗難カードを用いられた時と同様に、警察に被害届を提出の上、不正使用を補償する制度を設けているクレジットカード会社も有る
・一方、3Dセキュアのパスワードがクレジットカードの会員本人の名前や誕生日など容易に推測することができるものであった場合は、クレジットカード会社によっては補償が適用されないことがある


楽天市場はなぜ3Dセキュアを導入しないのでしょう？