強固顧客認証 (SCA)

強固顧客認証（SCA）とは、電子決済において本人確認を二要素以上で行うことを義務付けるセキュリティ基準である。

概要

SCAはEUの第二回支払サービス指令（PSD2）が導入した規制枠組みの一部として策定された。従来、パスワードのみで本人確認を完結させる方式が主流だったが、フィッシングや不正利用の増加に対応するため、より高い認証レベルを求められるようになった。SCAは「知識要素」「所持要素」「生体要素」のうち少なくとも二つを組み合わせることを定義し、リスクベースの認証（RBA）や動的認証情報（OTP）の利用を促進した。これにより、オンラインショッピング、モバイル決済、オープンバンキングAPI経由の取引など、多様なデジタル金融サービスでの本人確認プロセスが統一されるようになった。

役割と機能

SCAは電子決済における不正アクセス防止を主目的としている。具体的には、次の場面で活用される。
- カード決済：POS端末やオンラインショップでの購入時に、パスワード＋SMSコードや生体認証を要求する。
- APIベースの金融サービス：オープンバンキングで第三者が口座情報へアクセスする際に、トークナイゼーションとSCAを組み合わせて安全性を確保。
- eウォレット・モバイル決済：QRコードやNFC決済時に、デバイス内の生体認証とアプリ側のPINで二要素化。

これらの機能は、不正利用が検知されるリスクを低減し、顧客の信頼性を向上させる役割を果たす。

特徴

• 多要素認証（MFA）：知識・所持・生体のうち二つ以上を必須とする点。
• リスクベース認証：取引金額や場所、デバイス情報に応じて必要な要素が変動。
• トークン化との併用：実際のカード番号や個人情報を送信せず、トークンで代替することで漏洩リスクを低減。

SCAは単なる認証手段ではなく、取引環境全体のセキュリティレベルを底上げし、規制遵守と顧客保護を両立させる枠組みである。

現在の位置づけ

SCAはEU圏内のみならず、英国、オーストラリア、日本など多くの国で類似規制が導入されつつある。特にモバイル決済やeウォレット市場では、ユーザー体験と安全性の両立が競争優位となるため、多くのフィンテック企業がSCA対応を標準化している。また、PCI DSSとの併合でカード情報保護レベルも向上し、トークナイゼーション技術の普及が進む。近年はAIベースのリスク評価や行動認証といった高度な認証手法が研究・実装されており、SCAはその基盤として位置付けられている。これにより、デジタル金融サービス全体で「安全かつスムーズな決済」が求められる現代の金融環境に不可欠な要素となっている。