なぜネット通販で本人確認するのか？Verified by VisaからEMV 3-Dセキュアまで

最終確認：2026年9月21日

ネット通販でカード番号を入力したあと、銀行やカード会社の画面に切り替わってワンタイムパスワードを求められることがあります。一方、同じカードを使っても、別の買い物では何も聞かれずにそのまま決済が進みます。

なぜ、同じオンライン決済なのに本人確認の方法が違うのでしょうか。

その答えをたどると、2001年の3-D Secure、2002年に日本で本格展開されたVerified by Visa、そして2016年にEMVCoが公開したEMV 3-D Secure 2.0へ行き着きます。

この20年以上の歴史は、単なるセキュリティ強化の歴史ではありません。EC事業者とカード会社は、不正を止めたい。しかし本人確認を増やしすぎると、本物の顧客まで買うのをやめてしまうという矛盾に向き合い続けてきました。

前の記事ではAmazon 1-Clickが「購入までの摩擦」をどう削ったか、そしてStored Credentialがその利便性を裏側でどう支えるかを見ました。今回は、その反対側――安全のために、どの摩擦を戻すべきか――を一次資料からたどります。

図1　なぜ「3-D」Secureなのか

Issuer Domain
カード会社とカード会員
本人を認証する側

Acquirer Domain
加盟店とアクワイアラ
購入を受け付ける側

Interoperability Domain
両者をつなぐ
共通メッセージとサービス

3-D Secureの「3-D」：3つのdomainをまたいで、オンライン購入時にカード会員を発行会社が認証できるようにする設計。

2001年――オンラインでは「カードを持っている人」が見えなかった

対面のカード決済なら、店頭にはカードそのものがあります。IC取引なら暗証番号なども使えます。しかし初期のインターネット通販では、加盟店が受け取れるのは主としてカード番号、有効期限などの情報でした。

2001年12月付のVisa International「3-D Secure: System Overview」は、payment authenticationをオンライン購入中にカード口座の所有者を確認することと定義し、Visaが3-D Secureを開発した目的を、発行会社が購入時にカード会員を認証できるようにし、不正利用の可能性を下げながらオンライン取引の性能を改善することだと説明しています。

「3-D」は、Issuer Domain、Acquirer Domain、Interoperability Domainの3つを意味します。加盟店が自分で「この人は本当にカード会員か」を判断するのではなく、本人との関係を持つ発行会社に認証を戻すというのが重要な考え方でした。

Visaの3-D Secure Core Functions specificationのrevision logでは、Version 1.0のinitial issueは2001年5月7日と記録されています。

2002年の日本――「番号と有効期限だけ」で買えていた

この技術が日本へ入ってきた当時の資料は、現在読むとかなり生々しいものです。

2002年7月22日、Visa International Asia Pacificと、三井住友カード、日本信販、ダイエーOMC、クレディセゾン、DCカード、UFJカード、UCカードの7社は、日本でVerified by Visaを本格展開すると共同発表しました。

そのプレスリリースは、当時の一般的なオンライン加盟店について、カード番号と有効期限だけで決済できるため、他人のカードを不正利用できる余地があると率直に説明しています。加盟店独自のパスワードがあっても、加盟店からカード発行会社へ直接本人確認する方法はありませんでした。

Verified by Visaでは、カード会員があらかじめ発行会社へ登録したprivate passwordを、購入時に発行会社側へ入力します。認証は加盟店とは別のwindowで行われ、加盟店にはそのパスワードが渡らない設計でした。

「レジで伝票にサインするくらい簡単」

2002年の共同発表は、Verified by Visaの体験を、店頭で売上票にサインすることになぞらえていました。購入ボタンを押すとpassword入力を求められ、数秒で本人確認が終わる、という説明です。

目標も具体的でした。7社合計で、2003年3月31日までに100万人超のカード会員、1,000店超の加盟店を取り込む計画でした。

しかも日本での試みはこの発表が最初ではありません。同資料によれば、DCカードは2001年8月から3-D Secureのパイロットを行い、securityとsystem integrityを確認していました。米国ではVerified by Visaが2001年12月に正式展開されたと記録されています。

つまり、現在の「ネットショッピングでカード会社に本人確認される」という体験は、20年以上前に始まっています。

図2　初期Verified by Visaの考え方

加盟店
カード番号・有効期限を受け取る

↓

3-D Secure
購入時に発行会社へ本人認証を要求

↓

カード会社の認証画面
カード会員がprivate password等で本人確認

↓

認証結果を加盟店側へ返す
加盟店自身はpasswordを受け取らない

安全になった。しかし今度は「本人確認そのもの」が摩擦になった

3-D Secure 1.xは、オンライン決済に重要な本人認証レイヤーを追加しました。しかし、ECがPCブラウザ中心の世界からスマートフォン、アプリ、さまざまなconnected deviceへ広がるにつれ、初期設計の課題も目立つようになります。

Visa自身も現在、初期3-D Secureについて、static passwordに依存した方式がcheckoutに摩擦を加えることがあったと振り返っています。

これは難しいトレードオフです。

本人確認をしなければ不正利用を見逃しやすくなる。しかし、すべての購入者に毎回追加操作を求めれば、正規のカード会員にも「面倒な決済」になります。

Amazon 1-ClickなどEC全体が「クリック数を減らす」方向へ進んでいた時代に、セキュリティだけが「毎回もう一つ操作を増やす」方向へ進めば、両者は衝突します。

この問題への答えが、本人確認をなくすことではなく、必要な取引だけ本人に追加確認するという発想でした。

2016年――EMVCoが3-D Secureを作り直した

2016年10月24日、EMVCoはEMV 3-D Secure Protocol and Core Functions Specification Version 2.0.0を公開しました。

EMVCoはその目的を、e-commerceやremote purchaseで消費者を認証しながら、checkoutにunnecessary frictionを追加しないことと説明しています。

Version 2.0では、単に「パスワード画面を新しくする」のではなく、加盟店から発行会社へ、端末、取引、加盟店、カード会員に関するより多くの情報を送れるようにしました。

Visaの3-D Secure 2.0説明では、1.0と比較して10倍のデータをrisk-based decisioningに利用できること、さまざまなdeviceをサポートすること、消費者のfrictionを減らすことが改善点として挙げられています。

ここで本人確認の考え方が変わります。

Frictionless Flow――本人確認するが、本人には何もさせない

EMV 3-D Secureには、大きくFrictionless FlowとChallenge Flowがあります。

Frictionless Flowでは、加盟店などから送られた取引情報を発行会社側がリアルタイムで評価し、追加の本人操作を求めなくても十分に低リスクだと判断できれば、カード会員に画面操作をさせずに認証します。

EMVCoはリスク評価の例として、取引金額・通貨・加盟店、継続取引かどうか、端末情報、カード会員に関する情報などを挙げています。

利用者から見ると「3-Dセキュアが動いていない」ように見えることがあります。しかし実際には、裏側で3DS認証が成立している場合があります。

Challenge Flow――怪しいときだけ摩擦を戻す

一方、発行会社が追加確認を必要と判断した場合はChallenge Flowになります。

EMVCoの現在の説明では、high-riskと判断された場合や、規制上カード会員認証が必要な場合などにchallengeが発生します。方法には、ワンタイムパスコード、銀行アプリを使うOut-of-Band authenticationなどがあります。

図3　EMV 3-D Secureが変えた「摩擦」の置き方

加盟店から認証データを送信
取引・端末・加盟店・カード会員に関する情報

↓

発行会社がリアルタイムでリスク評価

低リスク

Frictionless Flow

カード会員の追加操作なしで認証。

追加確認が必要

Challenge Flow

OTP、銀行アプリ、生体認証等でstep-up。

設計思想：「全員に本人確認させる」から、「全取引を評価し、必要な人だけに追加操作を求める」へ。

3-Dセキュアとオーソリは同じではない

ここも混同しやすいポイントです。

3-D Secureの主な役割は、そのオンライン取引を行っている人が正当なカード会員かを認証することです。

一方、オーソリ（authorization）は、カード利用可能額、カード状態、不正リスクなどを踏まえて、その取引を承認するかを判断する処理です。

本人認証に成功したからといって、必ずオーソリが承認されるわけではありません。逆にFrictionless Flowで利用者が何も操作しなくても、3DSの認証処理を経た上でオーソリへ進むことがあります。

カード決済が「本人か」と「払ってよいか」を別々に判断している点は、オンライン決済を理解するうえで重要です。

3-D Secureは非対面決済の本人認証を担う一層です。Card-presentとCNPの不正対策を7層で比較すると、ICチップによる取引証明、Tokenization、Authorizationとの役割の違いも確認できます。

日本では「番号盗用」が急増した

日本でEMV 3-Dセキュア導入が強く求められるようになった背景には、不正利用被害の構造変化があります。

日本クレジット協会の継続調査では、カード番号盗用被害額は2014年の67.3億円から、2024年には513.5億円へ増加しました。

2024年のクレジットカード不正利用被害総額は過去最高の555.0億円。そのうち番号盗用は92.5％を占めています。

注意すべきなのは、日本クレジット協会の統計には取引形態（対面・非対面）の内訳がないことです。したがって「番号盗用被害＝すべてネット通販」とは書けません。ただし、協会自身も2026年度活動計画で、非対面取引におけるWebスキミングやリアルタイムフィッシングなどを課題として挙げています。

2023年、日本は「原則すべてのEC加盟店」を目標にした

2023年3月に公表されたクレジットカード・セキュリティガイドライン4.0版では、原則すべてのEC加盟店に2025年3月末までのEMV 3-Dセキュア導入を求める方針が明確になりました。

さらにイシュアーには、本人認証方法をstatic passwordから、ワンタイムパスワード等のdynamicな方法へ移行する環境を整えることも求められました。

2024年の5.0版では、2025年3月末に向けたロードマップが具体化され、イシュアーについては、EMV 3-Dセキュアに必要なカード会員情報をEC利用会員ベースで80％登録、登録会員ベースでは固定パスワード以外の認証方法へ100％移行することを目標として示しました。

2025年3月の6.0版では、EC加盟店の対策として、Webサイト等の脆弱性対策、適切な不正ログイン対策と並んで、EMV 3-Dセキュア導入が指針対策に加えられました。

このガイドラインは、経済産業省所管の割賦販売法に基づく監督の基本指針で、セキュリティ対策義務の実務上の指針に位置付けられています。「3DSという一つの製品だけで不正を防ぐ」という考えではなく、サイト防御、ログイン対策、決済時認証を重ねる設計です。

2026年――対策は「入れたか」から「どう運用するか」へ

2026年3月にはガイドライン6.1版が公表されました。

協議会は、2025年4月以降、不正利用被害額が前年同期比で減少する状況が続き、2025年の被害総額が510.5億円となったと整理しています。ただし、この減少をEMV 3-Dセキュア単独の効果と断定することはできません。脆弱性対策、不正ログイン対策、加盟店・カード会社側のモニタリングなど複数施策が同時に進んでいるためです。

6.1版では新たな指針対策を大量に追加するのではなく、既存対策を着実に実施するための理解促進に重点が置かれました。

一方で、Webスキミングやリアルタイムフィッシングなど、新しい攻撃も課題として挙げられています。本人認証が高度化すれば、不正者もその認証を回避・中継する方法を探します。

セキュリティは一度完成すれば終わるものではありません。

図4　Verified by Visaから日本の全面展開まで

2001年5月　3-D Secure v1.0 initial issue

↓

2001年8月　DCカードが日本でpilot

↓

2001年12月　米国でVerified by Visa正式展開

↓

2002年7月　日本の大手7社が本格展開を発表
private passwordで発行会社が本人確認。

↓

2016年10月　EMV 3-D Secure 2.0
rich data、mobile/app対応、risk-based authentication。

↓

2023年3月　日本：2025年3月末までの原則全EC加盟店導入方針

↓

2025年3月　ガイドライン6.0
EMV 3-Dセキュア、脆弱性対策、不正ログイン対策を指針対策へ。

↓

2026年3月　ガイドライン6.1
既存対策の着実な実施と、新たな攻撃への検討を継続。

「摩擦をなくす」と「摩擦を戻す」は矛盾しない

Amazon 1-Clickは、住所や支払情報を何度も入力する摩擦を消しました。Stored CredentialとTokenisationは、その便利さを継続して使えるようにしました。

しかし、摩擦を消すほど「本当に本人なのか」を別の方法で判断する必要が高まります。

初期のVerified by Visaは、購入時に明示的なpassword入力という摩擦を加えました。EMV 3-D Secureは、その考え方をさらに進め、リスクが低い取引では摩擦を見せず、高い取引にだけ摩擦を戻す方向へ進化しています。

だから、現在のネット通販では「昨日は何も聞かれなかったのに、今日はOTPを求められた」ということが起こります。

それは必ずしも仕組みが不安定だからではありません。取引ごとにリスクを評価し、必要な場合だけstep-upするという、現在の認証設計そのものでもあります。

決済UXの歴史は「何秒削るか」だけではない

ECの進化を「速く買えるようになった歴史」とだけ見ると、半分しか見えません。

Amazon 1-Clickは、利用者から見える入力の摩擦を削りました。Stored Credentialとカードオンファイルは、その状態を次の購入や継続課金まで維持します。

そして3-D Secureは、利便性を壊さずに「本当に本人か」を確かめる方法を進化させてきました。

不正利用被害と日本のガイドラインの最新版については、日本のクレジットカードセキュリティ対策の変遷で継続追跡しています。

決済のUXとは、摩擦をゼロにすることではありません。不要な摩擦を消し、必要な瞬間にだけ適切な摩擦を置くことです。

Featured photo: Onur Binay / Unsplash

主な出典

シリーズ全体：決済の歴史としくみ｜カード・EC・タッチ・認証の進化をたどる

関連記事

• なぜ「1クリック」で買えるようになったのか？Amazonの特許戦争と「支払いの痛み」
• カードを再発行してもサブスクが続くのはなぜ？Stored Credentialとカードオンファイルの仕組み
• 日本のクレジットカードセキュリティ対策の変遷｜EMV 3-Dセキュアと不正利用被害
• カード決済のチャージバックとは何か？Dispute・再提示・Arbitrationの仕組み
• なぜカード番号そのものを使わなくなっているのか？PANからApple Pay、Network Tokenまで