2023年4月20日9:11
ビザ・ワールドワイド・ジャパン（Visa）は、2023年4月6日に、決済セキュリティに関するメディア説明会を開催した。当日は、デジタル社会の実現に向けて、安心・安全に日常の決済を行える環境整備を進めるVisaの取り組みを紹介した。
国内のイシュアはほぼ対応が進む
EMV 3-Dセキュアの基準もアップデート
当日は、ビザ・ワールドワイド・ジャパン データ・ソリューションズ ディレクター 田中 俊一氏がEMV 3-Dセキュア、デジタル・ソリューションズ部長 藤森 貴之氏がVisa Token Serviceについて説明した。こちらは、3月に開催された「ペイメントカード・セキュリティフォーラム2023」の内容とほぼ同様なので、そちらを参照してもらいたい。ここでは、質疑応答などから、3-Dセキュア1.0終了後のEMV 3-Dセキュアの現状、Visa Token Serviceの今後の展開について紹介する。
EMV 3-D セキュアの歴史として、EMVCo は、2016 年10 月に3-D セキュアのバージョン2 となるEMV 3-D セキュアの仕様を策定・開示した。最初の仕様は、2016 年10 月24 日に、「Protocol and Core Functions Specification Ver2.0.0」として発行された。この1 年後、2017 年10 月に、SDK（Software Development Kit：ソフトウェア開発キット）仕様が公開されている。
クレジットカード国際ブランドで構成するEMV CoのEMV 3-Dセキュアの仕様書では、イシュア（カード発行会社）とアクワイアラ（加盟店開拓会社）がどのような形でシステムを実装するかを規定している。
EMV 3-Dセキュアでは、カード会員が、加盟店から、Visaの「ダイレクトリーサーバ」を通って、イシュアのコントロールサーバに取引情報を届ける。リスク判定では、大日本印刷やNTTデータ等が担うACS（Access Control Server）を用いて実装するが、より良いリスクベースの戦略を考えるのがイシュアの役割だ。
EMV 3-D セキュアでは、二段階の認証が基本となり、最初の本人確認はリスクベース認証となる。加盟店からの情報をイシュアやACS が取得してリスクベース認証を行うが、イシュア・ACS が独自にカード会員のブラウザから、デバイス情報を取得することもできる。例えば、高リスクであれば追加のチャレンジ認証を実施、低リスクであればフリクションレスで承認することが可能だ。危険性を感知するために用いられるのは、購入商品、金額、クレジットカード番号、シッピング（送り先）といった取引情報のほか、アクセス元のデバイスやブラウザ情報など。ACSでは、多様な情報を活用して総合的に取引の信頼性を検証することによって、ブランドによって若干の差はあるが追加認証が必要となるケースを20％以下にとどめることができ、コンバージョンを高めることが可能だ。
3-Dセキュアは長らく1.0で運用が行われてきたが、2022年10月にVisaをはじめとする各ブランドはサポートを終了した。また、同時期までに各イシュアはEMV 3-Dセキュアへ移行し、「国内もイシュアにおいてはほぼすべての対応が完了しています」と田中氏は話す。
また、Mastercardの担当者も指摘しているように、1.0は長らくバージョンが変わらなかった。それに比べ、EMV 3-Dセキュアでは2.1、2.2、2.3とバージョンが進化していくのも違いだ。例えば、2.3では、World Wide Web Consortium （W3C）やFIDO アライアンスと協力し、WebAuthn （Web Authentication）やSPC（Secure Payment Confirmation）をサポートするなど、基準が順次アップグレードされていく。
かご落ち率は期待通り、現状静的パスワードも可能に
Visa Token Serviceの今後の展開
これまでのVisaのEMV 3-Dセキュア運用の成果として、リスクベース認証によって精度の高いふるい分けができるようになった点、かご落ち率の減少が見られると説明した。
