3Dセキュアは、オンラインでのクレジットカード決済における本人認証の仕組みです。3Dセキュア2.0の特徴、決済エラーの原因と対処法、EC事業者に求められる対応を解説します。
3Dセキュアとは
3Dセキュアとは、オンラインでのクレジットカード決済時に、カード会員が正当な利用者であることを確認する本人認証の仕組みです。カード番号、有効期限、セキュリティコードだけで決済を完了させず、取引のリスクに応じてカード発行会社側が追加認証を求めることで、盗難・漏えいしたカード情報による不正利用の抑止を図ります。
3Dセキュアの「3D」は、カード発行会社側（Issuer Domain）、加盟店・アクワイアラー側（Acquirer Domain）、国際ブランド等が担う相互接続領域（Interoperability Domain）という3つの領域を指し、これらが連携してオンライン決済における本人認証を行います。オンラインショッピングの利用が拡大するにつれて、対面での本人確認ができない非対面決済ならではのリスクへの対応として、3Dセキュアの重要性は年々高まっています。
国際ブランドごとの名称
3Dセキュアは国際ブランドごとに異なる名称で提供されています。Visaでは「Visa Secure」、Mastercardでは「Mastercard Identity Check」、JCBでは「J/Secure」という名称が使われています。仕組みや目的は共通していますが、EC事業者が決済代行会社と契約する際は、対応ブランドごとの名称や設定方法を確認しておくとスムーズです。
3Dセキュアの仕組み
現在主流のEMV 3-Dセキュア（3Dセキュア2.0）での決済は、次のような流れで進みます。利用者がECサイトでカード決済を選ぶと、加盟店、決済代行会社、アクワイアラー、国際ブランド、カード発行会社側の認証システムが連携し、取引に関する情報をもとにリスク評価が行われます。評価に使われる情報は、取引金額、加盟店から送信される端末・ブラウザ情報、配送先、過去の利用状況などです。
カード発行会社側が低リスクと判断した場合は、利用者に追加操作を求めずに認証が進む「フリクションレスフロー」となります。一方、追加確認が必要と判断された場合は、カード発行会社アプリでの承認、ワンタイムパスワードの入力、生体認証などを用いる「チャレンジフロー」に進みます。認証が完了すると、その結果がカード発行会社からECサイト側に通知され、決済が確定します。このように、すべての取引に一律で同じ認証を求めるのではなく、取引ごとのリスクに応じて、利用者に追加操作を求めるかどうかや、追加認証の方法を変える仕組みが、3Dセキュア2.0の大きな特徴です。
3Dセキュア1.0と2.0の主な違い
3Dセキュアには1.0と2.0のバージョンがあり、現在は2.0への移行が進んでいます。
| 項目 | 3Dセキュア1.0 | 3Dセキュア2.0（EMV 3-Dセキュア） |
|---|---|---|
| 認証方式 | すべての取引で固定パスワードなどの入力を一律に要求 | リスクベース認証により、取引ごとに認証の有無を判断 |
| カゴ落ちへの影響 | 認証の手間が多く、離脱（カゴ落ち）のリスクが高い | 低リスク取引は追加認証を省略し、離脱を抑えやすい |
| 主な認証手段 | 固定パスワード（漏洩リスクあり） | ワンタイムパスワード、カード発行会社アプリでの承認、生体認証など（発行会社により異なる） |
| サポート状況 | 主要国際ブランドは2022年10月にサポート終了 | 現在の標準方式 |
| 対応範囲 | 決済のみ | 決済に加え、モバイルアプリ決済、ログイン・会員登録などの非決済分野にも対応拡大 |
3Dセキュア1.0では、固定パスワードなどを利用者に入力させる認証方式が広く用いられていました。追加認証による不正利用対策に役立つ一方、取引ごとに認証画面が表示される運用では、パスワード忘れや入力負荷による購入離脱（カゴ落ち）につながる課題がありました。また、固定パスワードはフィッシング詐欺などで漏洩する危険性もありました。主要な国際ブランドによる3Dセキュア1.0のサポートは2022年10月に終了しており、現在は2.0（EMV 3-Dセキュア）が標準の方式になっています。
3Dセキュア2.0では、取引ごとにリスクを評価する「リスクベース認証」が採用され、低リスクと判断された取引では追加認証をスキップできるようになりました。これにより、利用者の負担を抑えながら不正利用の防止と両立できる設計になっています。追加認証では、ワンタイムパスワード、カード発行会社アプリでの承認、端末の生体認証などが用いられ、具体的な認証方法はカード発行会社によって異なります。固定パスワード中心の方式と比べ、取引リスクに応じた認証や、よりフィッシング耐性を意識した認証手段を利用しやすくなりました。パソコンでの決済だけでなく、モバイルアプリ内でのカード決済にも対応しやすくなっており、2.0への移行はEC事業者にとって大きな意味を持ちます。
3Dセキュア2.0のリスクベース認証
3Dセキュア2.0とリスクベース認証
3Dセキュア2.0では、取引金額、加盟店から送信される端末・ブラウザ情報、配送先、過去の利用状況といった複数の情報から、取引ごとのリスクを判断します。
3Dセキュア2.0と生体認証
リスクが中〜高と判定された場合には、ワンタイムパスワードやカード発行会社アプリでの承認、指紋や顔などによる生体認証を含む追加認証（チャレンジフロー）が求められることがあります。具体的な認証方法はカード発行会社によって異なります。
3Dセキュアのメリット
3Dセキュアを導入することで、EC事業者・利用者・カード会社それぞれにメリットがあります。
EC事業者にとっては、なりすまし決済のような不正利用を抑止できる点が最大のメリットです。3Dセキュア2.0ではリスクベース認証により、低リスクな取引では追加認証が省略されるため、1.0で課題だったカゴ落ち率の低下も期待できます。また、EMV 3-Dセキュアで認証を実施した取引では、一定の条件を満たす場合に、不正利用に関するチャージバックの責任が加盟店側からカード発行会社側へ移る「ライアビリティシフト」が適用されることがあります。ただし、適用条件や対象外取引は国際ブランド、アクワイアラー、決済代行会社との契約によって異なるため、導入時には対象ブランドや認証結果別の扱い、免責事項を必ず確認する必要があります。なお、商品未着や商品不良、返品といった異議は、不正利用とは別のチャージバック理由として扱われ、ライアビリティシフトの対象にはなりません。
利用者にとっては、自分のカードが不正に使われるリスクを下げられる安心感が得られます。カード発行会社にとっては、不正利用によるチャージバックの件数を抑えられるという利点があります。このように、3Dセキュアは加盟店・利用者・カード会社の三者それぞれに利点がある仕組みとして設計されており、業界全体で導入が進められている背景にもなっています。
3Dセキュアのデメリット・注意点
3Dセキュアには、導入・運用にあたって知っておくべき注意点もあります。
リスクが中〜高と判定された取引では、追加の認証ステップが挟まるため、決済にかかる時間が長くなります。またカード発行会社によっては、3Dセキュアの利用に事前登録が必要な場合があり、登録状況によっては認証が完了しないケースもあります。すべての利用者が設定を完了しているわけではないため、3Dセキュアだけで不正利用を完全に防ぐことは難しく、リスクベース認証をすり抜けるタイプの不正も存在します。そのため、他の対策と組み合わせた多層的な防御が必要です。
3Dセキュアのエラー原因と対処法【購入者向け】
3Dセキュア導入後、購入者から「決済画面でエラーになって買い物ができない」という問い合わせを受けることがあります。以下の原因と対処法をあらかじめ把握しておくと、購入者自身で解決できるケースも増え、EC事業者側の機会損失（カゴ落ち）や問い合わせ対応の負荷を抑えられます。
ブラウザや端末側の設定によるエラー
認証画面の表示方法は、決済サービスやカード発行会社、利用端末によって異なります。ブラウザのポップアップブロック、広告ブロック、Cookie・JavaScriptの制限、古いブラウザなどが原因で認証画面が正しく表示されず、決済が完了しないことがあります。認証コードや承認依頼には有効期限があるため、画面を閉じずに処理完了まで待つことも重要です。改善しない場合は、ブラウザを最新化する、別のブラウザや端末で試す、といった対応が有効です。
カード発行会社側の設定によるエラー
カード発行会社側で本人認証の設定が未完了である、登録済みの電話番号・メールアドレスが古い、認証アプリを利用できないなどの理由で、認証が完了しない場合があります。この場合はECサイト側で解決できないため、カード裏面に記載された発行会社の窓口に、本人認証設定や登録連絡先の確認を問い合わせる必要があります。
EC事業者が整備すべき3Dセキュアのエラー対応FAQ
EC事業者は、購入者からの問い合わせに備えて、あらかじめFAQの整備やカスタマーサポートのフローを整えておくことが重要です。
購入者向けFAQに含めておきたい項目
カード会社の認証画面を閉じずに処理完了まで待つこと、認証コードや承認依頼の有効期限を確認すること、ブラウザを最新化してCookie・JavaScriptを有効にすること、広告ブロックやポップアップブロックを一時的に無効化すること、別のブラウザや端末で試すこと、カード発行会社へ本人認証設定・利用制限・登録連絡先を確認すること、別の支払い手段を選ぶこと、といった案内を用意しておくと、問い合わせの多くを自己解決に導けます。
決済システム・API連携によるエラー
購入者起因ではなく、自社システムと決済代行会社間の通信エラーや、設定ミスによってエラーコードが返ってくるケースもあります。特定のエラーコードが頻発する場合は、速やかに決済代行会社の管理画面でログを確認し、サポート窓口へ原因調査を依頼する体制を構築しておきましょう。
EC加盟店に求められるEMV 3-Dセキュア対応
EC加盟店に求められるEMV 3-Dセキュア対応
クレジットカード・セキュリティガイドラインでは、原則としてすべてのEC加盟店に対し、2025年3月末までのEMV 3-Dセキュア導入が求められました。2026年3月改訂のガイドライン（6.1版）でも、EC加盟店はEMV 3-Dセキュアの導入、適切な不正ログイン対策、被害状況に応じた追加の不正利用対策を実施することとされています。未導入のまま不正利用が発生した場合、ライアビリティシフトの対象外となり、チャージバックによる損失をEC事業者側が負うリスクが高まります。ガイドラインの内容は改訂が重ねられているため、最新版の要求事項を随時確認することが望まれます。
※出典：クレジット取引セキュリティ対策協議会「クレジットカード・セキュリティガイドライン【6.1版】改訂ポイント」 https://www.j-credit.or.jp/security/pdf/Creditcardsecurityguidelines_6.1_revisionpoint.pdf
JADMA「クレジットカード・セキュリティガイドライン【6.1版】」を公表 https://jadma.or.jp/news/j-credit61_0312
システム連携と個人情報の取り扱い
導入にあたっては、まず契約している決済代行会社に対応状況や設定方法を確認する必要があります。既存の決済フローとの連携作業が発生するため、システム担当者や決済代行会社と事前にスケジュールを調整しておくとスムーズです。EMV 3-Dセキュアでは、本人認証や不正利用防止のため、取引金額、配送先、端末・ブラウザ情報などが認証処理に利用される場合があります。氏名や配送先住所は個人情報に該当し、Cookie等の端末識別子や行動情報も個人関連情報に該当し得ます。導入時には、決済代行会社・アクワイアラーとのデータフローを確認し、プライバシーポリシー、利用目的、委託・第三者提供等の整理が自社の運用と個人情報保護法に適合しているかを確認することが求められます。
まとめ
3Dセキュアは、オンライン決済時にカード情報だけでは完了しない追加の本人認証を挟むことで、なりすまし決済のリスクを抑える仕組みです。2.0への移行によりリスクベース認証が導入され、利用者の負担と不正防止の両立が図られていますが、登録状況のばらつきやリスクベース認証をすり抜ける不正の存在など、3Dセキュアだけでは防ぎきれない課題も残っています。クレジットカード・セキュリティガイドラインでも導入が求められている以上、不正検知システムなど他の対策と組み合わせた多層的な防御を検討することが重要です。
EMV 3-Dセキュアは、不正利用対策の基盤となる仕組みですが、導入だけで不正を完全に防げるものではありません。認証結果、承認率、チャレンジ発生率、認証失敗率、決済失敗率、チャージバックの発生状況を継続的に確認し、自社の商材や不正傾向に応じて、不正検知・ログイン対策・注文審査などを組み合わせることが重要です。