日本のクレジットカードセキュリティ対策の変遷｜EMV 3-Dセキュアと不正利用被害

最終確認：2026年9月21日

日本のクレジットカード不正対策は、IC化だけでなく、EC加盟店の脆弱性対策、EMV 3-Dセキュア、不正ログイン対策へと重点が広がっています。最新のクレジットカード・セキュリティガイドラインは、2026年3月公表の6.1版です。

2025年のクレジットカード不正利用被害額は510.5億円で、過去最高だった2024年の555.0億円から44.5億円、約8%減少しました。日本クレジット協会は、番号盗用被害について2025年4月以降、前年同期比で減少が続いたと整理しています。

ただし、被害額の減少をEMV 3-Dセキュアなど単一の対策の効果と断定することはできません。不正手口、加盟店・カード会社の不正検知、取扱高、利用者行動など複数の要因が同時に動くためです。本稿では、セキュリティ対策の改訂履歴と被害統計を同じ時間軸で整理し、因果ではなく対応関係として追跡します。

なぜオーソリだけではEC不正を防げなかったのか

クレジットカードのオーソリは、「この取引を通してよいか」をイシュアが判断する仕組みです。しかし、ネット通販ではカードそのものを加盟店が目の前で確認できません。正しいカード番号、有効期限、利用可能枠がそろっていても、入力している人が本当のカード会員かどうかは別問題です。

この違いは、オーソリの歴史をたどると分かりやすくなります。1970年代に電子オーソリが整備されたことで、カードの状態や与信をリアルタイムで確認できるようになりました。しかしECの普及によって、今度はAuthorization（取引承認）の前にAuthentication（本人認証）が必要という新しい課題が生まれました。

3-D Secureの「3-D」は三つのドメイン

Visaが開発した初期の3-D Secureは、オンライン購入時にカード会員を発行会社側で認証するための共通プロトコルでした。Visaの2011年版Verified by Visa実装ガイドでは、3-D SecureをIssuer Domain、Acquirer Domain、Interoperability Domainという三つの領域に分けています。これが「3-D」の由来です。

当時のVerified by Visaでは、パスワード登録や購入時のパスワード入力画面が実装ガイドに組み込まれていました。これは本人確認を追加できる一方、購入途中に新しい画面や入力を挟むため、不正を減らすことと購入体験を悪化させないことの両立が次の課題になります。

「本人確認を増やす」から「必要な時だけ確認する」へ

2012年、Visaは3-D Secureを支援するVisa Consumer Authentication Serviceを発表し、端末情報、取引情報、過去の利用パターンなどを使ったリアルタイムのリスクベース認証を打ち出しました。目的は、不正リスクを判断しながら、正当な利用者には不要な摩擦をできるだけ与えないことでした。

そして2016年10月24日、EMVCoはEMV 3-D Secure 2.0仕様を公開しました。EMVCoはその目的を、ECやリモート取引で消費者認証を可能にしつつ、チェックアウトに「不要な摩擦」を加えないことと説明しています。Visaが開発・保有していた3-D Secure 1.0から、業界共通のEMV 3DSへ発展した大きな転換点です。

現在のEMV 3DSでは、加盟店・発行会社間でより多くのデータを交換し、リスクが低い取引はfrictionless flow、追加確認が必要な取引だけchallenge flowへ進める考え方が中心です。つまり進化の方向は、「全員にパスワードを入力させる」ことではなく、本人確認を必要な場面へ絞り込むことでした。

2023年から2026年までの主な流れ

大きな転換点は2025年の6.0版

6.0版では、EC加盟店におけるカード情報保護対策としてシステム・Webサイトの脆弱性対策が指針対策に追加されました。不正利用対策では、EMV 3-Dセキュアと適切な不正ログイン対策が明示的な指針対策になっています。

重要なのは、カード決済時の本人認証だけではなく、カード情報が盗まれる前段階や、アカウントへ不正ログインされる段階まで対策範囲が広がったことです。EC不正を一つの認証機能だけで防ぐのではなく、サイト、アカウント、決済の複数層で対策する考え方が強くなっています。

こうした対策の役割は、カード提示の有無によって組み合わせが変わります。対面決済と非対面決済の不正対策を7層で整理すると、本人認証・Authorization・credential保護・責任分担を見渡せます。

なお、本人認証（authentication）と、取引を通すかを判断するオーソリゼーション（authorization）は別の工程です。オーソリそのものの成り立ちと、電話承認からオンライン化までの歴史は、昔のクレジットカードはどう承認していた？オーソリが生まれた理由とBASE Iの歴史で詳しく解説しています。

6.1版は「新しい対策を追加した版」ではない

2026年3月の6.1版について、クレジット取引セキュリティ対策協議会は、現時点で実施すべき指針対策は6.0版で示されているとして、6.0版から指針対策の追加・変更はないと説明しています。

6.1版の中心は、既存対策を各事業者が着実に実施し、理解を深めることです。一方、附属文書では非接触IC取引の本人確認方法の明確化、磁気フォールバック取引の禁止、不正利用を抑止した加盟店の事例集など、運用面の具体化が進んでいます。磁気からICへ移った技術的背景はEMVが生まれた理由と世界標準化の歴史、非接触ICの系譜はSuica・FeliCaとEMVタッチ決済の違いで整理しています。

被害額は2024年555.0億円から2025年510.5億円へ

2025年は総額が減少しましたが、不正利用の中心が番号盗用である構図は変わっていません。2025年は番号盗用が全体の93.1%を占めました。

最新の被害額・不正利用発生率・内訳は、クレジットカード不正利用被害額の推移で継続更新しています。直近四半期の規模・番号盗用比率・国内／海外構成をまとめて見る場合は、Fraud Monitorをご覧ください。

2026年Q1から統計の調査方法が変わった

セキュリティ対策の効果を長期で見る際には、統計の系列ブレークにも注意が必要です。日本クレジット協会は2026年から不正利用被害実態調査を見直し、四半期調査の対象を40社から48社へ拡大しました。さらに、登録包括信用購入あっせん業者全社を対象とする年次調査も新設しています。

このため、2026年Q1以降の四半期値を2025年以前と単純に前年同期比較し、対策効果を評価することはしません。Otakuwalletでは、1997〜2025年の旧年次系列と、2026年以降の新しい調査系列を分けて管理します。

次の課題はWebスキミングとリアルタイムフィッシング

2026年度の協議会活動計画では、非対面取引における新たな課題として、高度なIT技術によるWebスキミングやリアルタイムフィッシングが挙げられています。

これらは6.1版で新しい指針対策として追加されたものではなく、2026年度に対応方針を検討する次の論点です。現行対策の効果検証を続けながら、新しい攻撃手口への短期対応と中長期のシステム・運用対応を検討する段階に入っています。

Otakuwalletで今後追う指標

• クレジットカード・セキュリティガイドラインの版と改訂内容
• EMV 3-Dセキュア、脆弱性対策、不正ログイン対策の位置づけ
• 不正利用被害額・不正利用発生率
• 番号盗用・偽造・その他の被害内訳
• 統計調査対象や定義の変更
• Webスキミング、リアルタイムフィッシング等の新しい攻撃手口

対策導入と統計変化は同じ時間軸で表示しますが、相関と因果は分けて扱います。被害額が減少した場合も「EMV 3-Dセキュア導入だけで減った」とは結論づけません。

主な一次資料

• クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン 6.1版」
• 同「6.1版 改訂について」
• 同「6.0版 主な改訂ポイント」
• 経済産業省「クレジットカード・セキュリティガイドライン5.0版」
• クレジット取引セキュリティ対策協議会「2026年度 取組体制及び取組内容」
• 日本クレジット協会「不正利用被害実態調査方法の見直し及び2026年第1四半期集計結果」
• Visa「Verified by Visa Acquirer and Merchant Implementation Guide」（2011年5月、3-D Secureの三つのドメイン・旧来の認証フロー、取得日2026年9月21日）
• Visa「New Visa Consumer Authentication Service Combats eCommerce Fraud」（2012年11月26日、リスクベース認証、取得日2026年9月21日）
• EMVCo「Why EMV?」（2016年のEMV 3-D Secure仕様公開の位置づけ、取得日2026年9月21日）
• EMVCo「EMV 3-D Secure」（現行仕様・frictionless / challengeの考え方、取得日2026年9月21日）