はじめに
3D Secure（3DS） は、オンラインカード決済の安全性を保護するうえで重要な役割を果たします。Merchant Risk Councilが発表した「2026 Global eCommerce Payments and Fraud Report」によると、決済詐欺による損失は、世界全体で加盟店の年間eコマース売上高の約 3.2% を占めています。
オンライン決済を受け付ける企業にとって、カード情報の盗難は、不正購入や金銭的損失、決済に関する異議申し立てにつながる可能性があります。そのため、チェックアウト時に不要な手順を増やすことなくカード名義人を確認する方法を見つけることが、決済セキュリティの重要な課題となっています。
3D Secureは、オンライン取引にカード名義人の認証を追加することで、この課題に対応します。カード発行会社は取引リスクを評価し、必要に応じて追加認証を要求できます。一方、リスクが低い多くの決済については、顧客の購入手続きを中断することなく処理できます。
3D Secureとは？
3D Secure は、オンラインでのクレジットカードおよびデビットカード取引を保護するために設計された認証プロトコルです。加盟店とカード発行会社の間で取引情報を交換し、購入者がそのカードを使用する正当な権限を持っているかどうかを確認できるようにします。
この名称は、認証プロセスに関わる次の3つのドメインに由来しています。
-
アクワイアラードメイン（Acquirer Domain）： 加盟店、アクワイアリング銀行、および関連する決済処理システムを含みます。
-
イシュアードメイン（Issuer Domain）： カードを発行した銀行または金融機関が関与します。
-
相互運用ドメイン（Interoperability Domain）： 参加者を接続し、認証メッセージの交換を支えるインフラを提供します。
主な3D Secure認証サービス
主要なカードネットワークは、3DSプロトコルに基づく独自の認証サービスを提供しています。
-
Visa Secure： オンラインカード取引に対応するVisaの認証サービスです。
-
Mastercard Identity Check： オンライン決済時にカード名義人を確認するためのMastercardのソリューションです。
これらのサービスは名称こそ異なりますが、カード発行会社によるカード名義人の確認を支援し、不正なオンライン取引を減らすという共通の目的を持っています。
EMV 3-D Secure 2.xとは？
EMV 3DSは、セキュリティを強化しながら、チェックアウト時の手続きによる中断を減らすために開発された最新バージョンのプロトコルです。
従来のバージョンと比較して、3DS 2.xでは、次のようなより詳細な情報を交換できます。
-
取引金額と決済の詳細情報
-
カード名義人およびアカウント情報
-
デバイスとブラウザの情報
-
加盟店および過去の取引データ
カード発行会社は、これらの情報を使ってリスクを評価し、追加認証が必要かどうかを判断できます。その結果、多くの正当な決済は、顧客がOTPを入力したり通知を承認したりすることなく、バックグラウンドで認証を完了できます。
3D Secureの仕組み
顧客がオンラインで支払いを行うと、加盟店の決済システムは、関連する取引情報を3DSインフラを通じて送信します。カード発行会社はその情報を確認し、顧客の操作なしで認証できるか、追加認証が必要かを判断します。
3D Secureの認証プロセス
一般的な取引は、次の手順で進みます。
-
決済の開始： 顧客がカード情報を入力し、購入を確定します。
-
情報の交換： 加盟店が3DSインフラを通じて、取引情報とデバイス情報を送信します。
-
リスク評価： カード発行会社が利用可能な情報を確認し、取引を評価します。
-
認証： 取引は、フリクションレスフローまたはチャレンジフローのいずれかで処理されます。
-
認証結果： 認証結果が、関連する決済参加者に返されます。
-
決済の承認： 取引は承認プロセスに進み、カード発行会社が決済を承認するか拒否するかを判断します。
2つの認証フローの主な違いは、顧客による追加操作が必要かどうかです。
フリクションレスフロー：追加操作なしの認証
フリクションレスフローでは、顧客に追加認証を求めることなく、カード発行会社が取引を認証できます。
例えば、顧客が使い慣れたデバイスから通常の買い物をする場合、OTPの入力要求や銀行アプリからの通知が表示されないことがあります。
バックグラウンドでは、次の処理が行われています。
-
加盟店が取引情報とデバイス情報を送信します。
-
カード発行会社がリスク評価システムを使って、利用可能なデータを分析します。
-
取引がカード発行会社の認証要件を満たしていれば、顧客による追加操作なしで認証を完了できます。
顧客はそのままチェックアウトを続けるだけです。追加の認証画面は必要ありません。
チャレンジフロー：追加認証が必要な場合
カード発行会社が取引を確認するためにさらに情報が必要な場合、追加認証を要求することがあります。
例えば、見慣れないデバイスから購入が行われた場合や、通常とは異なる取引内容、その他のリスク要因が検出された場合などです。
一般的な認証方法には、次のようなものがあります。
-
ワンタイムパスワード（OTP）： 対応する認証チャネルを通じて送信される一時的なコードです。
-
銀行アプリによる認証： 顧客が通知を受け取り、銀行アプリから取引を承認します。
-
生体認証： 対応するシステムでは、指紋認証や顔認証によってカード名義人を確認できます。
顧客が要求された確認手続きを完了すると、カード発行会社が認証結果を評価します。
認証と承認は区別することが重要です。3DS認証に成功しても、決済が承認されるとは限りません。 カード発行会社は引き続き、利用可能な残高、カードのステータス、その他の取引管理条件などを含めて、承認リクエストを評価します。
3D Secureのメリットとは？
3D Secureは、カード発行会社により多くの情報と、オンライン取引を確認するための追加手段を提供します。主なメリットは次のとおりです。
オンライン決済詐欺の削減
オンラインカード決済ではカードを物理的に提示する必要がないため、加盟店が購入者の本人確認を行うことは容易ではありません。
3DSは、カード発行会社が取引の詳細、アカウント情報、デバイスデータを評価できるようにすることで、この問題への対応を支援します。決済に不審な点がある場合、追加認証によって、盗まれたカード情報を使用した第三者が購入を完了することを難しくできます。
3DSは詐欺を完全に防止するものではありませんが、カードが物理的に提示されない取引を評価する際に、カード発行会社へ追加の保護手段を提供します。
カード名義人認証の強化
カード番号と有効期限だけでは、購入者が正当なカード名義人であることを必ずしも確認できません。
3DSでは、カード発行会社の導入状況に応じて、追加の認証方法を利用できます。例えば、次のような方法があります。
-
ワンタイムパスワード
-
銀行アプリによる承認
-
対応する生体認証方式
これにより、特に取引で追加確認が必要な場合に、カード発行会社はより多くの方法でカード名義人を確認できます。
チャージバック責任の移転
一定の条件を満たす3DS取引の重要な特徴の1つに、チャージバック責任が移転する可能性があります。
適用されるカードネットワークのルールに基づき、所定の認証条件を満たした場合、一部の対象となる不正利用関連のチャージバックについて、責任が加盟店からカード発行会社へ移転することがあります。
ただし、この保護は自動的に適用されるものではありません。カードネットワーク、取引の種類、認証結果、適用されるルールによって異なります。3DSを通じて処理されたすべての取引が、責任保護の対象になると加盟店が考えるべきではありません。
3D Secureのデメリットとは？
追加認証は決済の安全性を高める一方で、必ずしもチェックアウトを簡単にするとは限りません。企業は、正当な顧客への影響も考慮する必要があります。
チェックアウト時の手間が増える
購入を完了しようとしている顧客が、チェックアウトページを離れて銀行アプリを開いたり、認証コードを入力したりしなければならない場合があります。
こうした追加手順は、特にモバイルデバイスでは不便に感じられることがあります。手続きに時間がかかりすぎたり、内容が分かりにくかったりすると、購入を途中でやめてしまう顧客もいます。
認証エラー
すべての顧客が認証リクエストを正常に完了できるわけではありません。よくある問題には、次のようなものがあります。
-
OTPメッセージの到着が遅れる、または届かない。
-
銀行アプリが利用できない、またはアクセスしにくい。
-
認証情報の入力ミス。
-
認証処理中にタイムアウトが発生する。
顧客が有効なカード情報と十分な残高を持っていても、認証手続きを完了できなければ、決済に失敗する可能性があります。
導入・統合コスト
加盟店は3DSに対応するため、決済インフラ、技術的な統合、テスト、継続的なメンテナンスにも投資する必要がある場合があります。
必要な作業量は、決済プロバイダーや既存のチェックアウトシステムによって異なります。複数の市場で事業を展開する企業は、カードネットワークごとの要件や認証設定の違いも考慮する必要があります。
3D Secureとバーチャルカード決済の関係
バーチャルカードは3D Secureに対応していますか？
はい。バーチャルカードも、3D Secure認証が必要な取引に利用できます。
バーチャルカードには物理的な形状がありませんが、カード決済ネットワークを通じて利用されます。そのため、オンライン取引では、物理カードと同じ認証要件が適用される場合があります。
バーチャルカードでの決済時に3DS認証が必要になるかどうかは、いくつかの要因によって決まります。
-
カード発行会社とその認証機能
-
加盟店の決済要件
-
取引の詳細とリスク評価
-
カードプログラムが対応している認証方法
追加認証が必要な場合、カード名義人はOTPによる確認を完了するか、対応する認証チャネルを通じて取引を承認する必要があります。
バーチャルカードだからといって、3DSを自動的に回避できるわけではありません。また、カード情報が有効であるという理由だけで、取引の承認が保証されるわけでもありません。
バーチャルカードとオンライン決済のセキュリティ
バーチャルカードは、企業がオンライン決済を整理・管理するためのもう1つの方法です。3D Secureがカード名義人の認証に重点を置くのに対し、バーチャルカードの管理機能は、決済手段を分け、さまざまなサービスでの支出を管理するのに役立ちます。
BUVEIは、さまざまなオンライン決済のニーズに対応する機能を備えた、VisaおよびMastercardのバーチャルカードを提供しています。
-
複数のBINに対応： 発行地域ごとに異なるBINの選択肢を用意しており、対応する決済シーンで柔軟に利用できます。
-
幅広い決済サービスとの互換性： 加盟店およびカード発行会社の要件に応じて、Google Ads、Meta Ads、TikTok Ads、Microsoft Ads、ChatGPT、Canvaなどの決済に利用できます。
-
複数カードの管理： 1つのアカウントで複数のカードを発行し、それぞれを異なるサービスやプロジェクトに割り当て、個別の利用限度額を設定できます。必要に応じてカードを一時停止したり、解約したりすることも可能です。
これらの機能は、企業がオンライン経費を整理し、それぞれの決済手段をより効率的に管理するのに役立ちます。3D Secureなどの決済セキュリティ対策を補完するものであり、認証プロセスに取って代わるものではありません。
まとめ
3D Secureは、カード発行会社に取引を評価し、カード名義人を確認するための追加情報を提供することで、オンラインカード決済の安全性を高めます。フリクションレスフローとチャレンジフローによって、各決済の状況に応じた異なるレベルの認証が可能になります。
広告プラットフォームやSaaSサービスでバーチャルカードを利用する企業にとって、認証要件を理解することは、オンライン決済を管理するうえでの重要な要素の1つです。それと同じくらい、適切なカードを選び、支出を整理して管理することも重要です。
