オンライン決済のセキュリティ設計
3Dセキュア2.0とは？
リスクに応じた本人認証を決済の流れで理解する
クレジットカード決済の不正利用を防ぐため、取引履歴や利用端末などの情報からリスクを評価し、必要に応じて追加の本人認証を行う仕組みを、利用者とシステム双方の視点から解説します。
結局、何を防ぐための仕組み？
ネット通販ではカード番号・有効期限・セキュリティコードを入力すれば、カードそのものを見せずに決済できます。しかし、それらの情報は盗まれたり漏れたりする可能性があります。つまり「カード情報を知っている人＝正しい持ち主」とは限らないのです。
3Dセキュア（3-D Secure）は、オンラインのカード決済でカードを使おうとしている人が正当な利用者かをカード発行会社側で確認する本人認証の仕組みです。暗号化通信そのものや、カード番号を秘密にする仕組みとは目的が異なります。
なぜ『全員に毎回パスワード』ではないのか
購入のたびに認証画面を表示。覚えているパスワードの入力などが負担になり、途中で買い物をやめる原因にもなりました。
端末・取引履歴・配送先などの情報を利用してリスクを判断し、必要なときに追加認証。安全性と購入のしやすさを両立させます。
追加認証なしに進む場合をフリクションレス（frictionless）、ワンタイムパスワードやアプリ認証などの追加確認を求める場合をチャレンジ（challenge）と呼びます。具体的な認証手段はカード発行会社や環境によって異なります。
誰が何をする？決済フローを図解
普段の端末、普段の買い方。追加操作なしで認証が進む場合がある。
通常と大きく違う利用。追加の本人認証を求める場合がある。
認証は決済の承認（支払えるかどうか）と別の役割です。本人認証に成功しても、必ず決済が承認されるわけではありません。
操作ラボ：どんなときに追加認証が必要？
仮想のオンラインストアで、端末・購入金額・配送先の変化を切り替えてください。あくまで説明用の簡略モデルですが、「取引情報を見て認証方法を変える」仕組みを体験できます。
仮想ECショップ：本人認証の分岐を体験
下のモデルは学習専用です。実際のEMV 3-Dセキュアの判定条件・閾値・動作を表すものではありません。
初めての端末 +2点、高額購入 +2点、配送先変更 +1点／2点以上を高リスクとする架空のルールです。
カード会社側がリスクを評価した結果、本人に追加操作を要求せず進める場合があります。本人確認の仕組みが「存在しない」という意味ではありません。
似た仕組みとの違い
カード裏面などに印字されたコードを知っていることと、カード発行会社側で本人認証を行うことは別です。
リスクが低い取引では追加の本人操作が不要な場合があり、高リスクではカード発行会社が指定する追加認証を求めます。常に「パスワードと生体認証の両方」が必須ということではありません。
人間かボットかの判定は別の対策です。3Dセキュア2.0の本質はカードの正当な利用者であるかのリスクに応じた認証です。
カード発行側、加盟店・決済側、相互運用の領域という3つのドメイン（領域）を連携させる考え方です。
導入・運用で考慮したいこと
追加認証を必要な場面に絞ることで、入力負担や購入途中の離脱を抑えられます。ただし利用者が認証画面を途中で閉じるケースへの対処も必要です。
認証失敗、タイムアウト、通信エラーなどは区別して扱い、認証未完了のまま成功として処理しない設計が重要です。
端末や取引に関する情報は、目的を限定し、安全に送受信・取り扱う必要があります。
3Dセキュア単独に依存せず、不正検知・アカウント保護・監視を組み合わせます。
リスクベース認証の限界と設計上の注意
リスクベース認証は、利用者の操作を減らす一方、リスク判定が誤る可能性を伴います。低リスクだと判断した不正取引を見逃すことも、高リスクと判断して正当な利用者に不要な操作を求めることもあります。
したがって、3Dセキュアは不正利用を完全にゼロにする魔法ではありません。加盟店側の不正検知、カード発行会社の監視、アカウント保護など他の対策と組み合わせて考えることが重要です。
参考：EMVCo「EMV 3-D Secure」。本文の決済シナリオとラボの判定モデルは仕組みを説明するための架空の例です。