3Dセキュアとは?ネット決済の本人認証の仕組みと、認証できない時の対処

結論: 3Dセキュアは、ネットでクレジットカードを使う時に、カード会社が「本人かどうか」を確認する仕組みです。現在の主流は**EMV 3-Dセキュア(3Dセキュア2.0)**で、リスクが低ければ入力なしで承認され、高い時だけワンタイムコードなどの追加認証が求められます。覚えのない認証コードが届いたら、誰かがカード情報を使おうとしているおそれがあるため、入力せず、カード会社に連絡してください。

3Dセキュアとは

店頭では、暗証番号やサインで、本人確認ができます。ネット決済では、カードが手元になくても、カード番号などの情報さえあれば買い物ができてしまいます。そこで、カード番号とは別の方法で、本人かどうかを確認する仕組みが、3Dセキュアです。

ネット決済では、買い物のサイト(加盟店)、カード会社、利用者が、安全にやり取りします。3Dセキュアでは、その途中で、カード会社が、本人の確認をします。

流れ:EMV 3-Dセキュア(3Dセキュア2.0)

1. 買い物のサイトで、カード情報を入力する
2. カード会社が、取引のリスクを判断する(いつもの端末か、金額、買う場所など)
3. リスクが低ければ、入力なしでそのまま承認される。高ければ、追加の本人認証を求められる
4. 認証が済むと、決済が完了する

追加の本人認証の例

カード会社によって、方法は異なります。

ワンタイムとは、1回しか使えず、短時間で無効になることです。毎回変わるため、盗まれても、使い回されにくくなります。

従来の3Dセキュアとの違い

固定パスワードは、フィッシングなどで盗まれると、繰り返し悪用されるおそれがあります。そのため、クレジット取引セキュリティ対策協議会の「クレジットカード・セキュリティガイドライン」では、固定パスワードのみの認証から、ワンタイムパスワードなどの動的な認証への移行が進められています。ネットショップ側にも、2025年3月末までに、原則として、すべてのEC加盟店でEMV 3-Dセキュアを導入することが求められました。

認証できない時の確認

SMSが届かない時

• 電波の状況を確認する
• 迷惑SMSを拒否する設定や、ドメイン・番号の指定受信で、止まっていないか確認する
• 機種変更や番号変更のあと、登録の電話番号を更新していないことが、よくある原因
• 再送を何度も繰り返さない(制限がかかることがあります)

登録の変更は、公式から

電話番号やメールアドレスの変更は、カード会社の公式サイトやアプリ、カード裏面の連絡先から行います。メールやSMSのリンクから、登録情報を入力しないでください。

注意したい2つの場面

① 覚えのない認証コードが届いた

自分が買い物をしていないのに、認証コードが届いたり、アプリに承認の通知が出たりした時は、誰かが、あなたのカード情報で決済を試している可能性があります。

• コードは、入力しない・誰にも教えない
• アプリの承認は、押さない
• カード会社に連絡して、カードの停止や再発行を相談する
• 利用明細に、覚えのない請求がないか確認する

② 「登録しないと使えなくなる」と届いた

本人認証の登録や更新を装う偽のメール・SMSは、フィッシングで使われる手口です。

• メールやSMSのリンクは開かない
• 公式アプリや、ブックマークした公式サイトを、自分で開いて確認する
• カード裏面の電話番号にかけて、確認する
• 偽のサイトに、カード番号・コードを入力しない

見分け方は、フィッシングとはと、フィッシングメールを開かないための仕組みで解説しています。

本物の認証は、自分が買い物をしている途中に出るものです。あとから届いたメールで、コードの入力を求められるものではありません。

3Dセキュアで防げること・防げないこと

守りを固める基本は、次のとおりです。

• コードや承認は、自分が買い物をしている時だけ使う
• 利用明細を、こまめに確認する
• 重要なサービスには、二段階認証を設定する(二段階認証の方式の比較、二段階認証とパスキー)
• カード情報の漏えいがあった時の動きは、自分の個人情報が流出したか確認する方法を参考にする

ブランドごとの名称

カードの国際ブランドによって、本人認証サービスの名前が異なります。名称は、変わることがあるため、詳細はカード会社の案内を確認してください。

まとめ

• 3Dセキュアは、ネット決済で、カード会社が本人かどうかを確認する仕組み
• 現在の主流はEMV 3-Dセキュア(3Dセキュア2.0)。リスクに応じて、入力なしで承認するか、追加認証を求める
• 認証できない時は、登録の電話番号やアプリを確認し、再入力を繰り返さない
• 覚えのない認証コードや承認は、入力・承認せず、カード会社に連絡する
• 「登録しないと使えなくなる」と届いても、メールのリンクは開かず、公式から確認する

関連記事:フィッシングとは、二段階認証の方式の比較、二段階認証とパスキー、パスワード管理の基本、自分の個人情報が流出したか確認する方法

参考にした情報源

• クレジット取引セキュリティ対策協議会・日本クレジット協会「クレジットカード・セキュリティガイドライン【5.0版】」の改訂ポイント(2024年3月)
• DGフィナンシャルテクノロジー「EMV3-Dセキュア(3Dセキュア2.0)とは?変更点や必須化された内容を徹底解説」