正解：ウ
各選択肢の解説
アすべての取引で、カード会員が事前に登録した固定のパスワードを入力させる。
誤り。毎回あらかじめ登録したパスワードを求めるのは、従来の3-Dセキュア（1.0）で 多かった方式です。入力の手間で購入をやめる利用者が出ることが課題でした。 EMV 3-Dセキュアは、毎回ではなく必要な取引だけで追加の確認を求めます。
イカード番号を別の値に置き換え、加盟店のシステムにカード番号を保持しない。
誤り。これはトークナイゼーション（カード情報の非保持化）で、加盟店から カード情報が漏えいするのを防ぐ対策です。購入者が本人かどうかは確かめないので、 すでに盗まれたカード情報によるなりすましは防げません。
ウカード発行会社が端末や取引の情報からリスクを判定し、高い取引だけ追加認証する。
正解。EMV 3-Dセキュアはリスクベース認証です。カード発行会社が端末の情報や 取引の内容から不正の可能性を判定し、高いと判断したときだけワンタイムパスワードなどで 本人確認を求めます。普段どおりの買い物は追加の操作なしで通ります。
エ券面の裏にあるセキュリティコードの入力を必須にし、カードの所持を確かめる。
誤り。セキュリティコードも券面に書かれた情報なので、フィッシングなどで カード番号と一緒に盗まれていれば入力できてしまいます。券面の情報だけでは、 入力している人がカード会員本人かは確かめられません。
理解を深めるために
「怪しいときだけ」本人に確かめる
EMV 3-Dセキュア（3Dセキュア2.0）は、ネットでのカード決済で、入力している人が カード会員本人かを確かめる仕組みです。特徴は、本人確認を毎回は求めないことです。 カード発行会社が、購入に使われた端末の情報やアクセス元の地域、取引の内容などから 不正のリスクを判定し、リスクが高いと判断したときだけワンタイムパスワードなどの 追加認証を求めます。これがリスクベース認証です。
なぜこの仕組みがなりすましに効くのか
- 盗まれたカード情報（番号・有効期限・セキュリティコード）は、券面に書かれた情報で、 そろっていれば誰でも入力できる
- EMV 3-Dセキュアは、券面の情報に加えて、カード会員本人だけが受け取れる ワンタイムパスワードなどで確かめるので、券面の情報だけを持つ攻撃者は通れない
- 普段どおりの取引では追加の操作がないので、従来方式で課題だった購入の途中離脱が起きにくい
本人確認をするのは加盟店ではなく、カード会員の情報を持つカード発行会社です。 加盟店は自社サイトの決済をこの仕組みにつなぐ役割を担います。
混同しやすいものとの違い
| 対策 | 何を防ぐか |
|---|---|
| EMV 3-Dセキュア | 盗まれたカード情報による、なりすまし購入 |
| 従来の3-Dセキュア（固定パスワード） | なりすまし購入。ただし毎回の入力が負担 |
| トークナイゼーション（非保持化） | 加盟店からのカード情報の漏えい |
| セキュリティコードの入力 | 番号だけを入手した者の利用（券面ごと盗まれると無効） |
「カード情報が漏れないようにする」対策と「漏れた情報を使わせない」対策を分けて 考えると、選択肢を見分けやすくなります。