簡単に使えるApple Pay、セキュリティは大丈夫？：半径300メートルのIT（1/2 ページ）

iPhoneをかざすだけで電車に乗ったり、買い物ができるようになる「Apple Pay」。あまりに登録が簡単なので、驚いた人も多いのではないでしょうか。今回は、「簡単すぎてセキュリティが心配になった」人のために、どんなリスクがあるのか調べてみました。

[宮田健，ITmedia]

　2016年10月、待望の「Apple Pay」日本版がスタートしました。かさばるクレジットカードを持たずに買い物ができるようになり、iPhoneケースの裏にSuicaのカードを貼り付けなくても改札を通れるようになりました（そう、最新のiPhone 7ならね）。

　おサイフケータイの便利さを痛感しつつiOSから離れられなかった私は、発売日にiPhone 7を手に入れ、サービスが開始するのを待ち構えていました。そして今、Apple Payを使い始めて約1カ月がたとうとしています。

　この仕組みはとても便利なのですが、登録方法があまりにシンプルなので、「なんとなくセキュリティ面が不安」と思っているiPhoneユーザーもいるのではないでしょうか。

　この世に“全てが完全に安全なもの”などなく、人は「リスクと利便性のバランス」を確認した上で、サービスを使うか否かを選択しています。今回は、このApple Payの仕組みから、リスクと利便性のバランスをてんびんに掛けてみることにしました。

すっごく簡単、クレジットカードの登録

　Apple Payは簡単に言うと、クレジットカードを物理的なものからiPhoneの中に取り込んでしまうというサービス。iPhoneの「Wallet」というアプリを使えば、数ステップで取り込みは完了。iPhoneのカメラでクレジットカードの券面を撮影すると使えるようになります。

Walletにカードを登録するフロー。あっけないくらい簡単にクレジットカードを登録できる

　このように登録の方法はシンプルですが、実はこのサービスの裏には、かなりの「最新技術」が入っています。

　一見すると、カード番号と氏名、有効期限などの情報をそのまま記録しているかのようですが、それでは情報を盗まれたり、盗聴されたりした場合にはクレジットカードの不正利用につながってしまいます。皆さんの中にも、海外でクレジットカードを手渡してしまった瞬間にカード番号をメモされ、不正に利用されたという経験がある人がいるかもしれません。

　ところが、Apple Payは面白い仕組みを取り入れています。まず、クレジットカードの「番号」そのものは保持していないようです。といって、クレジットカード番号を暗号化して保持するわけでもありません。

　“漏れたら困るクレジットカード番号”を、ある特定のルールで数字に置き換えた「固有の番号」を作り、それをiPhoneの「セキュア・エレメント」というチップ内に保管します。

　クレジットカード番号そのものは保管されていないので、番号（トークン番号）が漏えいしても、チップ内のデータをこじ開けられたとしても、取り出した固有の番号を不正利用することは難しいというわけです。この手法は、情報の「トークナイゼーション」（Tokenization）と呼ばれています。

　このような仕組みが実装されているので、私は、スキミングや番号のコピー、流出に関しては、“一定の安全性がある”と、判断しました。