PCI DSS 3D Secureとは、オンライン決済におけるカード情報の安全性を高めるために設計された認証プロトコルである。PCI DSS（Payment Card Industry Data Security Standard）という業界標準と、3-D Secure（Three‑Domain Secure）という二段階認証機構が統合されている。
概要
1990年代末から2000年代初頭にかけて発生したクレジットカード詐欺の増加を受け、国際的な決済業界はデータ保護と取引安全性を強化する必要があった。EMVCoという組織が策定した3-D Secure 1.0 は、発行銀行（Issuer）と加盟店（Acquirer）の二つのドメインに加え、カードネットワーク（Network）を介してカード保有者（Cardholder）を認証する仕組みである。PCI DSS と統合された「PCI DSS 3D Secure」は、決済処理全体に対して一貫したセキュリティ要件を課し、オンライン取引のリスク管理を体系化したものだ。
役割と機能
- カード保有者認証（CAV）：購入時に追加情報（パスワード、SMSコード等）を入力させることで本人確認を行う。
- 取引のリスク評価：トランザクションデータや環境情報をもとに自動的にリスク判定し、必要に応じてチャレンジフローへ遷移する。
- 認証結果の伝達：発行銀行から取得した認証結果（Approved/Denied/Challenge）を決済ゲートウェイへ返却し、承認プロセスを完結させる。
- APIベースの統合：RESTful APIやSDKを通じて、モバイルアプリ・Webサイト・eウォレットなど多様なチャネルに組み込むことができる。
これらは、オンライン決済で発生し得る不正利用リスク（カード情報の盗用・偽造）を低減し、加盟店や発行銀行の負担を軽減する役割を果たしている。
特徴
- 二段階認証：カード番号と共に別途送付されるワンタイムパスワード（OTP）等で本人確認。
- ドメイン分離：Issuer、Acquirer、Network の三つの独立したドメインが連携し、情報漏洩時の影響範囲を限定。
- リスクベース認証：取引ごとにリスクスコアを算出し、チャレンジフローへの遷移を動的に決定。
- トークナイゼーション併用可：カード番号の代わりにトークンを使用することで、データ漏洩時の被害拡大を防止。
- 規制適合性：PSD2やSCA（Strong Customer Authentication）等のEU規制と整合しており、跨境取引での法令遵守が容易になる。
これらは従来の単純なパスワード認証よりも高度なセキュリティを提供し、かつ業務フローへの統合性を保ったまま実装できる点が大きな差別化要因である。
現在の位置づけ
近年、オンライン決済はモバイルウォレットやQRコード決済へと拡大している。PCI DSS 3D Secure はその中核技術として、特にSCA 要件を満たすための主要手段となっている。多くのカードネットワーク（Visa, Mastercard, JCB 等）が 3-D Secure 2.0 (3DS2) を標準化し、APIベースの統合やリスクベース認証が普及している。また、トークナイゼーションとの併用により、カード情報を直接扱わない「ノンカスタディ」型決済サービス（BaaS, eウォレット）でも安全性を確保できるようになっている。
規制面では、PCI DSS の要件が強化されつつあり、データ保護と取引認証の両立が求められる環境下で PCI DSS 3D Secure は不可欠な技術基盤となっている。今後は AI を活用したリスク評価や、ブロックチェーンベースの認証手法との統合も進むと予想されるため、金融機関・フィンテック企業にとって継続的なアップデートが重要である。
続きを読むには確認が必要です
