いまさら聞けない「3Dセキュア2.0」とは？ 「リスクベース認証（RBA）」の仕組みやEC事業者が押さえるべきポイント

「3Dセキュア1.0」の限界と「EMV 3-DS」への進化

「3Dセキュア1.0」は1999年にVisaが開発し、2001年に「Verified by Visa」として提供を開始した認証の仕組みが起源です。その後、Mastercardは「SecureCode」、JCBは「J/Secure」、American Expressは「SafeKey」として各カードブランドが独自に展開。オンライン決済時に、カード会社が用意した認証画面へ消費者をリダイレクトし、事前に登録したパスワードを入力させることで本人確認を行う設計でした。

この仕組みには、構造的な問題が2つありました。1つ目は、購買体験への悪影響です。リスクの高低にかかわらず、すべての取引に追加認証を要求する設計のため、正規の消費者にとっても手続きが煩雑になり、離脱の原因となっていました。特にスマートフォンでの購買が主流になるにつれ、PC向けに設計されたリダイレクト型の認証画面はスマートフォンでは使いにくく、購買離脱の大きな要因になっていきました。

2つ目は、セキュリティ効果の限界です。フィッシングなどの手口でパスワード自体を入手した不正者には、追加認証も有効に機能しません。「消費者に何かを入力させる」という設計そのものが、高度化する不正手口に対して脆弱（ぜいじゃく）でした。

これらの限界を踏まえて策定されたのが、EMVCo（イーエムブイコ、クレジットカード業界における標準化団体）による標準仕様「EMV 3-DS」、いわゆる「3Dセキュア2.0」です。1.0との最大の違いは、認証の判断基準にあります。1.0が「全員に認証を求める」設計だったのに対し、2.0は取引に関するデータを収集・分析した上で、リスクの高い取引にだけ追加認証を行う設計に刷新されました。

送信できるデータ量も大きく異なります。1.0では十数項目程度だったのに対し、2.0ではデバイス情報・購買履歴・接続環境など100項目以上のデータ要素をイシュアー（カード発行会社）に送れるようになりました。このデータを元にリスクスコアを算出し、認証が必要かどうかを判断する仕組みが、後述で解説する「リスクベース認証（RBA）」です。

「リスクベース認証（RBA）」の仕組み

「リスクベース認証（RBA）」とは、取引ごとのリスクスコアに基づいて、追加認証を行うかどうかを動的に判断する仕組みです。「全員を疑う」から「疑わしい取引だけ確認する」への発想の転換が、「3Dセキュア2.0」の核心にあります。

判断材料は、取引時に収集される多様なシグナルです。具体的には、使用デバイスの識別情報、過去の購買履歴、接続IPアドレスや地理情報、取引金額、カード利用頻度などを組み合わせ、イシュアー側でリスクスコアを算出します。

このスコアに基づき、取引は大きく2つのフローに振り分けられます。リスクが低いと判定された取引は、消費者に追加の操作を求めることなく認証が完了する「フリクションレスフロー」を通過します。消費者側からは、認証が行われていることすら意識されません。一方、リスクが高いと判定された取引には、ワンタイムパスワード（OTP）などによる追加認証が要求される「チャレンジフロー」が適用されます。

重要なのは、「チャレンジフロー」が適用されるのはあくまで一部の取引に限られるという点です。適切に実装された環境では、大多数の取引が「フリクションレスフロー」で処理されます。これが、「3Dセキュア2.0」が「不正対策を強化しながらCVRへの悪影響を抑えられる」と言われる理由です。

リスクスコアの算出はイシュアーが主体となって行いますが、EC事業者側の実装品質も結果に影響します。送信できるデータ項目が少ない、あるいは不正確であれば、イシュアーは判断材料が少ないためリスクを高めに見積もるので、「チャレンジフロー」が発生しやすくなります。フリクションレス率を高めるうえで、EC事業者側の実装が無関係ではない点は押さえておく必要があります。

EC担当者が押さえるべきポイントとトレードオフの実態

「3Dセキュア2.0」と「リスクベース認証」の仕組みを理解した上で、EC担当者が実務で判断するために押さえておくべきポイントと、解消されないトレードオフについて整理します。

① 「3Dセキュア 2.0」に移行すれば、1.0より承認率は上がるのか

「3Dセキュア2.0」の導入が承認率やCVRの改善につながるケースは実際にあります。ただし、それは「導入した」という事実ではなく、「フリクションレス率が十分に確保された実装ができているか」に依存します。

実装品質が低いと「チャレンジフロー」が多発し、1.0と変わらない購買体験になります。決済代行会社を通じて導入している場合でも、自社のフリクションレス率がどの水準にあるかを定期的に確認しましょう。まずは担当ベンダーに「フリクションレス率のレポートを共有してほしい」と依頼することが、現状把握の第一歩になります。

② 承認判断はイシュアーとの連携が重要

リスクスコアの最終判断はイシュアー側が行います。そのため、EC事業者がデータ送信の品質を高めることが、イシュアーの正確な判断を支える重要な役割を果たします。送信できるデータ項目が充実しているほど、イシュアーはより精度の高いリスク評価を行いやすくなります。

一方で、同じ取引でもイシュアーによって判断が異なるケースがあります。これは各イシュアーが自社の保有データと判断基準でリスク評価を行う仕様によるものです。EC事業者にできることは、送信データの品質を高め、イシュアーが正しく判断できる環境を整えることです。

③ トレードオフは緩和されるが、消滅はしない

「リスクベース認証」の導入で不正対策と購買体験のトレードオフは大きく緩和されますが、ゼロになるわけではありません。高額取引、新規デバイスからのアクセス、海外IPからの購買など、リスクシグナルが重なる取引では「チャレンジフロー」が発生しやすい状況は続きます。

こうした取引が自社の顧客層に多い場合、「3Dセキュア2.0」を導入しても一定の離脱は残ります。自社の顧客属性や購買パターンを踏まえた上で、期待値を適切に設定しておくことが重要です。

不正対策と購買体験は、本当にトレードオフなのか

「3Dセキュア1.0」が抱えていた「全員に認証を求める」という設計上の限界は、「3Dセキュア2.0」と「リスクベース認証」によって大きく改善しました。不正対策と購買体験はトレードオフの関係にあるという前提は、2.0の登場によって見直すべき段階にきています。

一方で、導入すれば課題が解決するわけではありません。フリクションレス率は実装品質とイシュアーのスコアリング精度に左右されるため、「導入済み」で思考を止めず、継続的にモニタリングする姿勢が求められます。

この記事を読んでいるEC担当者の皆さん、ぜひ次の3点を確認してみてください。

1点目は、自社の「3Dセキュア」実装が義務化要件を満たしているかどうかです。「3Dセキュア1.0」は2022年10月にカードブランド各社のサポートが完全に終了しており、現在はPSP（決済代行会社）側でも提供されていません。現時点で未対応または実装状況が不明な場合は、利用中の決済代行会社に確認することをオススメします。

2点目は、フリクションレス率の現状把握です。担当ベンダーにレポートを依頼し、「チャレンジフロー」がどの程度発生しているかを数値で把握することが、改善の出発点になります。

3点目は、決済承認率・CVRとの相関確認です。「3Dセキュア2.0」導入前後、あるいは設定変更前後のデータを比較し、購買体験への影響を定量的に評価する習慣をつけることが重要です。

「3Dセキュア2.0」は「導入して終わり」の施策ではなく、継続的に設定と効果を見直すべき仕組みです。不正対策と売上改善を両立するための手段として、改めて自社の現状を点検するきっかけにしてみてください。