「クレカが使えない！」 16日朝の大規模障害を引き起こした「Cybersource」とは何者か（2/2 ページ）

7月16日朝、全国で「カードが使えない」が相次いだ大規模障害。原因はVisa傘下の決済基盤Cybersourceだったが、なぜVisa以外のブランドまで巻き込まれ、なぜ無傷の事業者もいたのか。カード決済の裏側にある「ゲートウェイ」の役割と、三井住友カードやStripeが取った"迂回ルート"の仕組みを解説する。

[鈴木淳也（Junya Suzuki），ITmedia]

障害の原因と接続ルート

　そして今回の障害だが、詳細は不明なものの、前述のDecision Managerが応答遅延を起こしたことが原因の1つと考えられる。応答遅延がタイムアウトとなり、仕組み上、このタイムアウトは「取り扱い拒否」としてCybersource側から加盟店側（もしくはPSPやアクワイアラ）に返答されることになる。

　この時点でカード決済が拒否される形になるが、決済処理がPSPやアクワイアラのシステム内で“目詰まり”を起こしていくことで連鎖的にシステムの動作全体に不調を起こし、Visa以外の国際ブランドのカードやその他のキャッシュレス決済手段に影響を及ぼすケースが出てくる。

　加えて、Cybersourceは現在でこそVisa傘下の企業ではあるものの、もともとはブランド中立のゲートウェイ事業者であり、Mastercardを含む他のブランドネットワークへの接続代行も担っている。そのため、Cybersource利用を主とする決済ネットワークを構成していたPSPの場合、今回のような障害のケースでは決済自体が止まってしまうことになる。

　以上を踏まえて、決済処理の接続経路と今回の障害の様子をまとめたのが下図だ。かなり簡略化しているが、実際には複数ルートを持つPSPやアクワイアラも多い。実際に筆者の情報源によれば、三井住友カード（イシュア／アクワイアラ）などは比較的早いタイミングで障害の原因をCybersourceと特定し、別ルートへと“迂回”させることで早めの障害対策を行っている。

一般的な加盟店からVisaNetへの接続経路と今回の障害

障害に巻き込まれなかったルートの中身

　VisaNetへの“迂回”ルートは図示していないものも含めて複数存在するが、今回は「DEX（Direct EXchange）」に注目したい。これはPSPやアクワイアラからVisaNetにじかに接続する仕組みで、Cybersouceへの接続を行わないため、今回のケースでは障害に巻き込まれない。

　例えばPSP／アクワイアラである米StripeはDEXでVisaNetに接続しているが、今回は何も問題がなかった。Cybersourceで提供される不正検知にはStripe Radar、トークン化についても独自に仕組みを実装しており、この部分をPSP事業者としての強みにしている。同様にグローバル展開しているPSP／アクワイアラの蘭Adyenのような事業者もDEXを通じてVisaNetや、MastercardのBanknetに直結している。

　なぜグローバル展開でDEXが重要になるかといえば、国や地域ごとに現地のネットワークに接続するよりも（中間業者が存在しないことで）全体としてコストや管理の手間が削減できることが大きいからだ。

　DEXのメリットはネットワークの一元化によるコスト削減に加え、自社ではどうしようもない今回のような外部の障害要因に取引を左右されないこと、そしてレイテンシを低減することで「承認率」の向上につながるという点にある（つまり決済の成功率が上がる）。他方で、VisaのDEXになるには同社のアクワイアリング・ライセンスを取得する必要があるほか、厳しいセキュリティ要件をクリアする必要がある。

　不正検知についてはVisa自身が用意しているソリューションを用いることが可能だが、システム開発のコストや維持費を考えれば大規模なPSPやアクワイアラでない限りは、Cybersourceのようなサービスを使った方が初期コストを含めメリットが大きい。そのため、三井住友カードのような大手事業者であっても用途に応じてCybersourceのシステムを適時組み合わせ活用しているのが実態だ。