3Dセキュア(スリードゥーセキュア)とは | 意味や読み方など丁寧でわかりやすい用語解説

3Dセキュアは、インターネット上でのクレジットカード決済における不正利用を防止するために設計された、本人認証サービスである。このサービスの主要な目的は、オンラインショップでのクレジットカード情報の盗用やなりすましによる不正利用から消費者を保護し、安心してオンライン取引を行える環境を確立することにある。

従来のオンライン決済システムでは、クレジットカード番号、有効期限、セキュリティコードといったカードに記載された情報だけで決済が完了してしまうという内在的な脆弱性があった。これは、これらのカード情報がサイバー攻撃やフィッシング詐欺などによって第三者に不正に入手された場合、その情報が悪用されて不正なオンライン決済が容易に行われてしまうリスクを意味した。このような背景から、カード情報の漏洩や不正利用の増加に対応するため、より強固なセキュリティメカニズムとして3Dセキュアが導入されたのである。

3Dセキュアという名称は、Visaが提供する「Visa Secure（旧Verified by Visa）」、Mastercardが提供する「Mastercard Identity Check（旧Mastercard SecureCode）」、JCBが提供する「J/Secure」、American Expressが提供する「American Express SafeKey」など、主要な国際ブランドが共通の技術プロトコルに基づいて提供している本人認証サービスの総称として用いられている。

詳細について説明する。3Dセキュアが導入されることで、オンラインでのクレジットカード決済プロセスは根本的に変化する。まず、消費者がオンラインショップで商品やサービスを購入する際、通常のクレジットカード情報（カード番号、有効期限、セキュリティコードなど）を入力する初期段階は変わらない。しかし、決済を確定する直前の段階で、消費者は自身がクレジットカードを発行しているカード会社（イシュア）が提供する専用の本人認証画面へと遷移することになる。この認証画面において、消費者は事前にカード会社に登録しておいたパスワードや、スマートフォンなどのデバイスに送信されるワンタイムパスワード、あるいは指紋認証や顔認証といった生体認証情報を用いて、本人であることを証明する。

この認証プロセスの重要な特徴は、オンラインショップ（ECサイト）が消費者の認証情報（パスワードなど）に直接アクセスすることなく、カード会社と消費者との間で認証が完結する点にある。認証が成功した場合、その旨の認証結果がECサイトに通知され、ECサイトはこの認証結果を確認した上で決済処理を続行する。もし認証が失敗したり、拒否されたりした場合には、決済は成立せず中止される。

この仕組みにより、たとえクレジットカード番号や有効期限、セキュリティコードなどの情報が何らかの経路で第三者に盗まれてしまったとしても、その第三者が3Dセキュアの本人認証情報を持ち合わせていなければ、オンラインでの不正利用を効果的に防ぐことが可能となる。消費者にとっては、自身で設定・管理する認証情報によって、より確実に本人であることを証明できるようになるため、オンライン決済における安全性が向上し、安心して取引を行えるというメリットがある。

ECサイト（加盟店）側にとっても、3Dセキュアの導入は大きなメリットをもたらす。3Dセキュアによる本人認証が行われた決済については、不正利用が発生した場合のチャージバック（カード会社から決済が取り消され、売上代金がECサイトからカード会社に返金されること）のリスクが、原則としてECサイトからカード会社に移転される。これにより、ECサイトは不正利用による金銭的損失のリスクを軽減し、より安定したオンラインビジネスの運営が可能となる。

初期の3Dセキュア（一般的に「3Dセキュア1.0」と呼ばれる）は、セキュリティ強化に貢献した一方で、いくつかの課題も抱えていた。全ての決済でパスワード入力が求められるため、消費者にとっては手間が増え、パスワード忘れなどによる「カゴ落ち」（決済の途中で購入を諦めてしまうこと）が発生しやすくなるという問題があった。また、一部の古いブラウザ環境やモバイルデバイスでは認証画面が正常に表示されないなどの技術的な互換性の問題も散見された。

これらの課題に対処し、ユーザー体験とセキュリティの両立を目指して開発されたのが、「EMV 3-D Secure」、通称「3Dセキュア2.0」である。EMV 3-D Secureの最大の特徴は、「リスクベース認証」という概念の導入にある。これは、カード会社が決済処理の際に、利用者のデバイス情報（種類、OSなど）、IPアドレス、購入履歴、過去の取引パターンなど、多岐にわたる情報をリアルタイムで分析し、不正利用のリスクレベルを評価する仕組みである。

リスクが低いと判断された決済については、利用者はパスワード入力などの追加認証なしでスムーズに決済を完了できる。このプロセスは「フリクションレスフロー」と呼ばれ、ユーザーは3Dセキュアが適用されていることを意識することなく、簡潔に決済を終えることが可能となるため、カゴ落ちの抑制に大きく貢献する。一方で、リスクが高いと判断された場合や、高額決済など特定の条件が満たされた場合には、追加の本人認証が求められる。このプロセスは「チャレンジフロー」と呼ばれ、従来の3Dセキュアと同様にパスワード、ワンタイムパスワード、生体認証といった方法を用いて本人確認が行われる。このリスクベース認証の導入により、セキュリティレベルを維持しつつ、ユーザーの利便性を大幅に向上させることが実現された。

システムエンジニアを目指す者として、ECサイトの決済システムを構築する際には、3Dセキュアへの対応が必須であることを認識しておくべきである。特にEMV 3-D Secureに対応する場合、決済ゲートウェイとの連携において、リスクベース認証に必要な様々なデバイス情報や取引に関する詳細情報を収集し、それらを決済リクエストに含めてカード会社側へ送信する実装が求められることがある。また、認証フローにおけるリダイレクト処理、カード会社からの認証結果を受け取るコールバック処理、そして認証結果に基づいた適切な決済処理の制御など、クライアントサイドとサーバーサイドの両面で技術的な知識と実装スキルが不可欠となる。これらの理解と適切な実装を通じて、安全かつ利用者にストレスのないオンライン決済システムの実現に貢献することができる。