パスワードは設定した？ 「3-Dセキュア」というクレジットカードの新常識（1/3 ページ）

[宮田健，Business Media 誠]

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。アイティメディアのONETOPIでは「ディズニー」や「博物館／美術館」などのキュレーターをこなしつつ、自分の生活を変える新しいデジタルガジェットを求め日々試行錯誤中。

　昨今、クレジットカードに関する事件が多く報道されている。クレジットカードを使ってネットショッピングを楽しむというスタイルは一般化したとはいえ、いまも「何となく怖い」という理由で使いたくない、持ちたくないと考える人も多い。

　2013年5月に判明したエクスコムグローバルの情報漏えい事件（参考記事）では、クレジットカード番号だけではなく、本来サーバ上に保管してはいけないはずのセキュリティコードまで漏えいしたため、多くの不正利用被害が発生した。被害がなかったとしてもカード番号を切り替えなくてはならず、該当した利用者からは不満の声が上がった。

“あなたである”ということを証明する「3-Dセキュア」

カードブランド3社の本人認証サービス

カードブランド	サービス名称
Visa	VISA認証サービス
マスターカード	MasterCard SecureCode
JCB	JCB J/Secure

　実はネット決済においては、クレジットカード番号／有効期限／セキュリティコードを入力させるだけでなく、“本人しか知り得ない情報”をつかって認証をする仕組みが存在している。各カード発行会社が「本人認証サービス」と呼んでいるものだ。

　カードブランドやカード発行会社によって呼び方は異なるが、実は元となる技術はVisaが提唱した「3-Dセキュア」という仕組みである。3-Dセキュアでは、ネット上でのカード決済時にカード番号／有効期限のほかに、利用者本人があらかじめ登録しておいたパスワードも使って本人確認を行う。

　もし悪意ある利用者が何らかの方法でカード番号を入手したとしても、3-Dセキュアのパスワードが分からなければ決済は不可能だ（もちろん、実物のカードが手元にないのでリアル店舗での決済もできない）。また、3-Dセキュアのパスワード入力画面には、利用者本人が「パーソナルメッセージ」を登録できるため、詐欺サイトが偽物の3-Dセキュアパスワード入力画面を作ったとしても偽サイトだと判断できる。

まず、通常どおりカード番号を入力する

その後、3-Dセキュアのパスワードを入力することで決済が行われる。パーソナルメッセージが表示されていることに注目