ここ数年、ネット通販の支払いで急にワンタイムパスワードを求められるようになった、と感じている人は多いと思います。あれがEMV 3-Dセキュアです。カード会社が独自に始めたサービスではなく、経済産業省が公表する「クレジットカード・セキュリティガイドライン」でEC加盟店に導入が求められている対策です。同ガイドラインは、割賦販売法にもとづく監督の基本指針において、法律に規定されたセキュリティ対策義務の「実務上の指針」として位置づけられています。ここでは公表資料をもとに、仕組みと、認証が通らないときの手順を整理します。
先に結論
- EMV 3-Dセキュアはカード決済時に本人認証を行うサービスです。経済産業省の資料でそう説明されています。
- ガイドラインはクレジット取引セキュリティ対策協議会（事務局：一般社団法人日本クレジット協会）が策定し、経済産業省が公表しています。
- 2025年3月4日の第12回本会議で改訂され、現行は6.0版です。
- EC加盟店にはEMV 3-Dセキュアの導入と適切な不正ログイン対策の実施が求められています。
- カード会社・PSPには、EC加盟店に対して導入と運用に関する必要な助言や情報提供を行うことが求められています。
- 認証画面が出ないことがあります。それは登録できていないという意味ではありません。
誰が決めているルールなのか
この仕組みが広がった背景には、法律と、それに紐づくガイドラインがあります。経済産業省の公表資料には、位置づけがはっきり書かれています。
「クレジットカード・セキュリティガイドライン」とは、安全・安心なクレジットカード利用環境を整備するため、クレジットカード会社、加盟店、PSP等のクレジットカード決済に関係する事業者が実施すべきクレジットカード情報の漏えい及び不正利用防止のためのセキュリティ対策の取組を取りまとめたものです。
なお、同ガイドラインは、経済産業省が所管する「割賦販売法（後払い分野）に基づく監督の基本指針」において、同法に規定するセキュリティ対策義務の「実務上の指針」として位置づけられています。
改訂の経緯も同じ資料に書かれています。「3月4日（火曜日）、『クレジット取引セキュリティ対策協議会第12回本会議』が開催され、クレジットカード取引に関わる事業者が実施すべきセキュリティ対策を定めた『クレジットカード・セキュリティガイドライン』が改訂されました」。関連資料として6.0版と改訂ポイントが掲載されています。
主な改訂内容として、EC加盟店の取り組みが2つ挙げられています。1つはクレジットカード情報保護対策で、「EC加盟店は、これまで実施してきたセキュリティ対策に加え、システムやWebサイトの脆弱性対策を実施する」。もう1つが不正利用対策で、「EC加盟店は、不正利用対策としてEMV-3Dセキュア（カード決済時に本人認証を行うサービス）の導入と適切な不正ログイン対策（Webサイトへのログイン時の本人認証等の対策）を実施する」というものです。
カード会社・PSPについては「EC加盟店に対して、上記の脆弱性対策等のクレジットカード情報保護対策、EMV-3Dセキュアの導入、適切な不正ログイン対策等の不正利用対策の導入及び運用に関して必要な助言や情報提供を行う」とされています。つまり、消費者が何かを申し込む制度ではなく、事業者側に課された対策です。
いつ、どこで働くのか
ポイントは、認証を求められるかどうかがその場で判定されることです。毎回パスワードを入れる仕組みではありません。いつもの端末で、いつも通りの買い物であれば、追加操作なしで決済が進むことがあります。
「認証画面が出なかったから登録できていない」とは限りません。逆に、普段は出ないのに高額な買い物のときだけ出る、ということも起こります。判定の基準は公表されていないので、出る・出ないで自分の登録状態を判断するのではなく、カード会社の会員サイトで登録状況を確認するのが確実です。
似ている番号・パスワードを整理する
カードにまつわる数字は種類が多く、問い合わせのときに取り違えが起きます。EMV 3-Dセキュアで使うものと、それ以外を分けておきます。
| 名称 | どこに書かれているか | 使う場面 | EMV 3-Dセキュアとの関係 |
|---|---|---|---|
| カード番号 | カード券面（16桁が一般的） | ネット決済の入力 | これだけでは決済させないための仕組みが3-Dセキュア |
| セキュリティコード | カード裏面などに印字 | ネット決済の入力 | 券面に印字されているため、番号と一緒に漏れることがある |
| 暗証番号（4桁） | どこにも書かれていない | 店頭の端末、ATM | 3-Dセキュアの認証とは別物 |
| 本人認証のパスワード | 自分で設定して控えるもの | 認証画面での入力 | これが3-Dセキュアで使うもの。会員サイトのパスワードとも別に設定されることがある |
| ワンタイムパスワード | その都度SMSやメール、アプリに届く | 認証画面での入力 | 届く先が古い連絡先だと認証できない |
問い合わせのときは、この表のどれについて話しているのかを先に伝えると早く進みます。とくに暗証番号と本人認証のパスワードは、まったく別のものです。
認証が通らないときに見るところ
相談として多いのは「ワンタイムパスワードが届かない」「認証画面から先に進めない」という形です。原因は決済の仕組みそのものより、登録情報が古いことにあります。
| 症状 | 確認するところ | 対処 |
|---|---|---|
| ワンタイムパスワードが届かない | カード会社に登録している携帯電話番号・メールアドレス | 会員サイトで現在の連絡先に更新する |
| 認証アプリが開かない | カード会社のアプリの通知設定とログイン状態 | アプリを最新版にし、通知を許可してログインし直す |
| パスワードが分からない | 本人認証サービスのパスワード（カードの暗証番号とは別） | 会員サイトから再設定する |
| メールが迷惑メールに入る | 受信設定とドメイン指定 | カード会社の案内するドメインを受信できるようにする |
| 海外のサイトで止まる | 加盟店側の対応状況 | 別の決済手段を検討する。加盟店側の仕組みは利用者では変えられない |
| 何度も失敗して止まった | 一時的な利用制限がかかっている可能性 | カード裏面の番号へ連絡し、状況を確認する |
連絡先が古いままだと、認証だけでなく、不正利用を知らせる通知も届きません。利用通知が来ない場合の確認手順はクレジットカード利用通知が来ない理由にまとめています。
なぜ「支払う直前の本人確認」なのか
対策の重心がここに置かれているのは、被害の中身が変わったからです。カードそのものを盗まれる形より、番号だけを使われる形が主流になっています。当サイトでも不正利用の内訳と5つの対策で扱っていますが、番号が漏れた後でも決済を止められる場所が、この認証の段階です。
番号・有効期限・セキュリティコードがそろっていても、本人認証を突破できなければ決済は成立しません。
ガイドラインは加盟店に導入を求めています。導入している加盟店とそうでない加盟店では、不正利用が起きたときの扱いが変わり得ます。
改訂内容では、EMV 3-Dセキュアと「適切な不正ログイン対策」が並んで挙げられています。会員アカウントの乗っ取りも同じ土俵の問題だからです。
EC加盟店には、システムやWebサイトの脆弱性対策の実施も求められています。入口をふさぐ対策と、決済時に止める対策の両方です。
利用者としてやっておくこと
携帯電話番号とメールアドレス。ここが古いと認証も通知も届きません。カードを複数持っているなら、全部確認します。
ワンタイムパスワードをアプリで受け取る方式に対応しているカード会社があります。メールより確実に届きます。
本人認証サービスのパスワードは、カードの暗証番号とも会員サイトのパスワードとも別に設定されていることがあります。
決済のたびに通知が来る設定にしておくと、身に覚えのない決済にその場で気づけます。
本物の認証画面に見せかけた偽サイトがあります。決済の途中で不自然にカード情報を再入力させる画面が出たら、いったん止めます。
登録情報の管理が追いつかない枚数を持つと、更新漏れが起きます。2枚目以降の選び方はクレジットカード2枚目の選び方で扱っています。
よくある質問
EMV 3-Dセキュアは自分で申し込むものですか
経済産業省の資料では、EC加盟店が導入する不正利用対策として位置づけられています。利用者側では、カード会社の会員サイトで本人認証サービスの登録状況と連絡先を確認しておくことになります。カード会社によって案内の名称は異なります。
認証画面が出ないのはなぜですか
追加の認証が必要かどうかは決済ごとに判定されます。判定の基準は公表されていません。認証画面が出ないこと自体は、登録できていないことを意味しません。
いつから義務になったのですか
ガイドラインは複数回にわたり改訂されています。2025年3月4日の第12回本会議での改訂により6.0版となり、EC加盟店の取り組みとしてEMV 3-Dセキュアの導入と適切な不正ログイン対策の実施が記載されています。ガイドライン自体は法律そのものではなく、割賦販売法にもとづく監督の基本指針において実務上の指針として位置づけられているものです。
ガイドラインを守らない加盟店はどうなりますか
本記事では、経済産業省が公表している位置づけの説明までを確認しました。個別の加盟店に対する監督や処分の実際については、公表資料の範囲では確認していません。
デビットカードやプリペイドカードも対象ですか
ガイドラインはクレジットカード決済に関係する事業者の対策を取りまとめたものです。デビットカードの本人認証の扱いは発行元によって異なるため、カード発行会社の案内で確認してください。
ワンタイムパスワードを人に教えてもいいですか
教えないでください。電話やメールでワンタイムパスワードを聞き出そうとするのは、典型的な手口です。カード会社が利用者に対して、電話でワンタイムパスワードを尋ねることはありません。
認証があれば不正利用は起きませんか
そうとは言えません。ガイドラインでも、EMV 3-Dセキュアと並んで不正ログイン対策や脆弱性対策が挙げられています。1つの対策ですべてを防ぐという建て付けにはなっていません。
参照した公的資料
- 経済産業省「「クレジットカード・セキュリティガイドライン」が改訂されました」（2025年3月5日）
- 一般社団法人日本クレジット協会「関連資料｜安全・安心なクレジットカード取引への取組」
ガイドラインは改訂されます。最新の版と内容は経済産業省と日本クレジット協会の公表資料で確認してください。認証方式の呼び方や手続きはカード会社ごとに異なります。
楽天カード
三井住友カード
Orico Card THE POINT
コメントを残す
コメントを投稿するにはログインしてください。