2026年10月18日8:30（JST）
【日本】Mastercardが推進するMDES（エムデス：Mastercard Digital Enablement Service）、Click to Pay（クリック決済）、Passkey（パスキー）を軸として、利便性とセキュリティを両立する次世代決済の方向性について紹介します。（2026年９月25日開催「ペイメント・セキュリティフォーラム2026 Fall」の講演より）
Mastercardプロダクト＆ソリューションズデジタルペイメント ディレクター 田中正一氏
eコマース市場が拡大 オンライン決済は不正の件に直面
Mastercardの田中正一です。本日は「カード番号を守る時代からなくす時代へ」というテーマでお話しさせていただきます。オンライン決済でカード番号をそのまま使ったり、保持したりせず、基本的にはトークン化、Passkey、生体認証を進めていきましょうというお話になります。
トークン化は10年以上前からある技術なので、今更と思われる方もいるかもしれません。しかしながら、大切さは変わりませんし、ますます重要になってきています。本日はなぜ重要なのかをご説明させていただきます。
まず前提として、日本、世界も同様にeコマースの市場規模は拡大を続けています。こ経済産業省のデータによると、BtoCのeコマース市場は2014年で12. 7兆円、2024年は26兆円と、過去10年間で2倍以上の成長を遂げています。オンライン決済の安全性や利便性は、今も、そしてこれまで以上に重要になってきます。
こうした中、オンライン決済は対面決済よりも7倍ほど不正利用が多い課題を抱えており、カードホルダーはセキュリティ上の懸念からカード番号を登録するのには不安を感じます。漏洩するかもしれないし、そもそも不正加盟店かもしれないと思う方が半分以上います。それでは、セキュリティをガチガチにすればいいかというと、そういうこともなくて、今度はチェックアウトが複雑で時間がかかってしまい、3-DS（3-Dセキュア）のワンタイムパスワードではカゴ落ちしてしまう懸念があります。
これに対してMastercardでは、コンタクトレス決済、タッチ決済を提供しており、対面決済で安全性と利便性を提供しています。日常のインフラになっているオンライン決済に関しても、安全性と利便性を備えたソリューションが求められています。
オンライン決済には、いまだに課題があります。カード情報の入力、パスワード、不正利用への不安。それらがスムーズな決済を妨げています。Mastercardと決済業界は、オンライン決済が、対面のタッチ決済のように、速く、シンプルで、安全であることの実現に取り組んでいます。
ネットワークトークン（Secure Card on File）化、生体認証、シームレスなゲストチェックアウトなどを組み合わせ、現代の消費者に合った新しいスタンダードをつくっています。
私たちが目指すのは、カード発行時から、すべてのカードをトークン化し、不正利用から守ることです。さらに、更新・再発行時も、保存情報を自動更新し、常に安全を保ちます。パスワード入力の手間をなくし、Mastercard Payment Passkey Serviceによるワンクリックの生体認証を実現します。さらに、すべてのカードを自動でClick to Payに登録します。そして、加盟店のチェックアウトにClick to Payを組み込み、世界中の利用者に、より速い決済体験を提供します。これが、新しい業界標準です。デジタル決済時に、利用者を認識し、希望する支払い方法を表示し、生体認証で本人確認を行う。カード情報入力も、パスワードも不要です。必要なのは、シンプルで安全なオンライン決済体験をいつでも、どこでも、好きな方法で実現することです。
100%トークン化かつ 100%本人認証 トークナイゼーションで不正削減へ
Mastercardはこれに関して、「Vision2030」を掲げており、2030年までに、100%トークン化、100%本人認証手入力無しのオンライン取引の実現を目指しています。そのために必要なのがトークナイゼーションとPasskeyです。柱としては３つの技術が必要です。1つ目は、カード番号を取引で使ったり、保持しないネットワークのトークン化です。2つ目がシームレスなチェックアウトであるClick to Payです。3つ目は生体認証で、ワンタイムパスワードの手入力無しでできるようにします。
この３つを推進していくことによって、素晴らしい決済の世界を作っていこうとしています。
まず1つ目のネットワークのトークン化です。日本のクレジットカード不正利用被害の発生推移をみると、特に2020年以降顕著で、ほとんどの不正が番号盗用によるオンライン取引で、実に90%以上となります。不正利用被害額も右肩上がりで、3-DSの必須化で少し下がっていますが、依然として大きい金額です。一方で、2000年頃、偽造カードの被害の割合は右肩上がりでしたが、カードのIC化によって、偽造カード被害の割合も一気に下がりました。その後、タッチ決済になって利便性が高まりました。生体認証で安全性も向上して、１万5,000円以上の買い物でもタッチで支払えるようになり、利便性も向上しています。
それに対して増えてきているのがオンライン取引、番号盗用の被害です。オンライン取引で16桁のカード番号を入力して、かつ、それでオーソリを投げて使っていくのは対面取引でいうと磁気ストライプの時代と同じで、隠す必要があります。
決済のトークン化はプラスチックカードの16桁の番号、いわゆるPANをユニークな代替する16桁のカード番号、いわゆるトークンと呼ばれるものに置き換えていくプロセスです。単純に置き換えるだけではなくて、会員情報、加盟店やデバイス取引に一意に紐付いて作成されます。その情報をオーソリ取引に投げる時には暗号化して送られます。例えば、番号も変更されるため、加盟店 A で盗んだトークンを加盟店 B で使おうとしても動きません。また、タイムスタンプも入れて送られるため、トークンを作る時に、今日取ったものを2カ月後に使えません。クレマスアタックで番号を奪って攻撃するようなことがそもそも意味をなさなくなり、不正が減ります。
MDESトークンとは？ APAC地域で急速に普及
PSP（ペイメント・サービス・プロバイダ）のトークン化と、Mastercardのトークンとは何が違うのか？ PSP のトークンは、基本的に加盟店とPSPの間だけトークン化して、そこから先は通常のカード番号（PAN）の取引をします。一方、MastercardのMDESの場合、決済フロー全体にわたってカード情報を保護します。アクセプタンス側、アクワイアラに至るまで１回トークン化すると、一度もPANは触れずトークンだけで扱います。MastercardがPANに変換してイシュアに一意の情報について、検証した上で流しますので、決済フロー全体にわたってカード情報が保護され、不正も削減でき、承認率も向上するのがトークンの効果です。
アジア太平洋地域のオンライン取引の承認率は89.6%であり、日本ではもう少し高いですが、トークンにすることで、実に96.1%と6％ほど上がります。また、本人認証まですると97.6%まで高まります。PAN取引で本人認証を3-DSにするよりも、本人認証しなくても、トークン取引の方がアップ率は大きいです。イシュアも安心して承認ができますし、攻撃者も攻撃しづらいので、不正の取引がそもそも少ないのが主原因だと考えています。
承認率がアップしている原因の1つとして、ライフサイクル管理がトークンは優れていることもあります。ライフサイクル管理は、要するに日本語でいう“洗い替え”のことです。有効期限が切れた時に、継続課金でエラーにならないように、カード番号の情報をアップデートします。
日本の伝統的なライフサイクル管理は、アクワイアラとイシュアが相対契約を結んで、個別にPAN情報を定期的に更新しています。相対契約だと、海外イシュアのカードは洗い替えできなかったり、新しいイシュアだと追いついていないケースもありますので、カバー率が完璧にはなりません。
トークン化すると、アクワイアラがトークンを投げて、MastercardがPANに戻してイシュアに渡します。ここでカード会員のPANが、変わったとします。現在、世界中のMastercardのルールで、イシュアはこの変更自体はMastercardの管理、ABU（Automatic Billing Updater：自動請求更新機能）に更新させられます。ABUはMastercardのマッピング表をリアルタイムで変更しに行きます。そうすると、アクワイアラも何もせず、全く同じトークンを使い続けるだけで、イシュアに届くPAN情報はエラーにならず変更されます。
かつ世界中で動いているので、国内イシュア、海外イシュアの両方のカード情報が自動的に同期されますし、アクワイアラのアクションは不要です。強調したいのは、PAN情報は変わっていますが、アクワイアラはPANが変わったことすら気づく必要がないです。カード会員もPANに関しては何のアクションも不要です。
このようにトークン化していただくと、不正を防ぎ、承認率は向上し、かつライフサイクルでできるので、売り上げの損失を減らしながら手間も減らせます。
アジア太平洋地域のオンライン取引に占めるMastercard取引のトークンの割合として、約半分ぐらいがトークンになっています。一部の国では７割、８割ほどあります。日本でも２割から３割ほどは、裏側でトークンに変わっています。このまま進んでいくと、裏側でほとんどトークン化されて、継続課金で決済されないケースも減っていくと考えます。
