結論――ECサイトはEMV 3-Dセキュアの導入が「原則必須」になりました
クレジットカード決済を扱うECサイトの担当者にとって、いま避けて通れないのがEMV 3-Dセキュア（本人認証）への対応です。
日本では、クレジット取引セキュリティ対策協議会が策定する「クレジットカード・セキュリティガイドライン」により、2025年3月末までにEC加盟店はEMV 3-Dセキュアを原則導入することが求められました。これはカードの不正利用（なりすまし決済）を防ぐための業界全体の取り組みで、決済代行事業者（PSP）やカード会社との契約条件にも組み込まれています。
「決済を入れようとしたら本人認証の対応を求められた」「3Dセキュアの義務化と言われたが何をすればいいのかわからない」――この記事では、EMV 3-Dセキュアとは何か、なぜ義務化されたのか、そして事業者が具体的に何をすればよいのかを整理して解説します。
本記事は制度・技術の一般的な解説を目的としたものです。実際の導入要件・対応期限は契約する決済代行事業者・アクワイアラによって異なります。個別の対応可否は契約先の案内に従ってご確認ください。
EMV 3-Dセキュアとは何か
EMV 3-Dセキュア（3-D Secure 2.0）は、オンラインでのクレジットカード決済時に、カード名義人本人であることを追加で確認する「本人認証」の仕組みです。決済のタイミングで、カード会社が発行したワンタイムパスワード（SMS・アプリ通知）や生体認証などを用いて、「カードを使っているのが本当に本人か」を確認します。
これにより、カード番号だけを盗んだ第三者による不正決済（なりすまし）を防ぎます。「3-D」は「Three-Domain（3つのドメイン）」に由来し、加盟店（EC事業者）・カード会社・国際ブランドの3者が連携して認証を行う構造を指します。
従来の3-Dセキュア1.0との違い
EMV 3-Dセキュア（2.0）は、旧来の「3-Dセキュア1.0」の課題を解決するために設計された新しい規格です。主な違いは次のとおりです。
項目 | 3-Dセキュア1.0（旧） | EMV 3-Dセキュア2.0（新） |
|---|---|---|
認証方式 | 固定パスワード入力が中心 | ワンタイムパスワード・生体認証・リスクベース認証 |
リスクベース認証 | 非対応 | 対応（低リスク取引は認証を省略しスムーズに通過） |
かご落ち（離脱） | 起きやすい | リスクベース認証で軽減 |
スマホ・アプリ対応 | 弱い | ネイティブ対応 |
提供状況 | 2022年10月に国際ブランドがサポート終了 | 現行の標準 |
特に重要なのがリスクベース認証です。EMV 3-Dセキュアは、取引の金額・端末・購入履歴などの情報から不正リスクを判定し、低リスクと判断した取引では追加認証を求めずにそのまま決済を通すことができます。これにより「全取引でパスワード入力を求めて離脱（かご落ち）が増える」という1.0の弱点を大きく改善しています。
なぜ2025年に「義務化」されたのか
EMV 3-Dセキュアの導入が求められるようになった背景には、クレジットカードの不正利用被害の深刻化があります。日本クレジット協会の統計では、クレジットカードの不正利用被害額は年々増加し、その大半が「番号盗用」によるEC上のなりすまし決済です。
この状況を受け、クレジット取引セキュリティ対策協議会は「クレジットカード・セキュリティガイドライン」を改訂し、EC加盟店に対して2025年3月末を期限としたEMV 3-Dセキュアの原則導入を求めました。これは前回の記事で解説したセキュリティ・チェックリストの「不正利用対策」の中核に位置づけられる要件です。
つまり、EMV 3-Dセキュアへの対応は「推奨」ではなく、決済を継続・開始するための実質的な前提条件になっています。対応していない場合、PSP・カード会社との契約更新や新規契約に影響が出る可能性があります。
EC事業者がやるべきこと――導入方法
では、具体的に何をすればよいのでしょうか。多くのEC事業者にとって、EMV 3-Dセキュアの導入は決済代行事業者（PSP）経由での設定作業が中心になります。
ステップ1：現在の決済環境の確認
まず、自社が利用している決済代行サービス（Stripe、GMOペイメントゲートウェイ、Square、PayPalなど）がEMV 3-Dセキュアに対応しているかを確認します。主要なPSPはすでに対応済みで、多くの場合は管理画面での設定や申し込みで有効化できます。
ステップ2：EMV 3-Dセキュアの有効化
PSPの管理画面またはサポートを通じて、EMV 3-Dセキュアを有効化します。この際、次の点を確認します。
- リスクベース認証（低リスク取引の自動通過）が有効になっているか
- 認証失敗時の決済フローがどうなるか（エラー表示・再試行の挙動）
- 対応しているカードブランドの範囲
ステップ3：決済フローの実装・改修
自社でカスタムの決済フローを実装している場合は、EMV 3-Dセキュアの認証ステップを組み込む改修が必要です。PSPが提供するSDK・APIを用いて、認証チャレンジ（本人確認画面）の表示と結果のハンドリングを実装します。
この改修は決済まわりのコードに手を入れるため、セキュリティ上の欠陥（認証結果の検証漏れ、エラーハンドリングの不備など）が混入しやすい箇所でもあります。実装後は動作確認だけでなく、セキュリティの観点での検証も重要です。
ステップ4：テスト決済での動作確認
本番公開前に、PSPが提供するテスト環境で認証フローを検証します。正常系（認証成功）だけでなく、認証失敗・タイムアウト・キャンセルといった異常系の挙動も必ず確認します。
導入時の注意点――かご落ちとUXのバランス
EMV 3-Dセキュアの導入で最も懸念されるのが、認証ステップの追加による「かご落ち」（購入離脱）です。ここを軽減するためのポイントを整理します。
リスクベース認証を正しく活用する
前述のとおり、EMV 3-Dセキュアの強みはリスクベース認証にあります。低リスク取引で不要な認証を求めない設定になっているかを確認しましょう。設定次第で「全取引に認証を強制」してしまい、離脱を招くケースがあります。
認証画面での離脱を減らす工夫
- 認証が発生する旨を事前に案内し、ユーザーを驚かせない
- SMSやアプリ通知が届かない場合の案内・再送導線を用意する
- 決済エラー時に「何が起きたか」「どうすればよいか」を明確に表示する
決済フロー全体のセキュリティも確認する
本人認証を導入しても、決済フローを支えるWebアプリケーション自体に脆弱性があれば、情報漏洩のリスクは残ります。EMV 3-Dセキュアは「なりすまし決済」への対策であり、SQLインジェクションやクロスサイト・スクリプティングといったWebアプリの脆弱性対策は別途必要です。決済導入の前後で、Webアプリ脆弱性診断をあわせて実施することをおすすめします。
よくある質問（FAQ）
Q1. すべてのECサイトがEMV 3-Dセキュアを導入しないといけないのですか？
クレジットカード・セキュリティガイドラインでは、EC加盟店に対して原則導入が求められています。事業規模にかかわらず対応が基本ですが、具体的な適用範囲・期限は契約する決済代行事業者やカード会社によって案内が異なるため、必ず契約先に確認してください。
Q2. EMV 3-Dセキュアを導入するとかご落ちが増えませんか？
旧来の3-Dセキュア1.0では全取引でパスワード入力を求めるため離脱が起きやすい問題がありました。EMV 3-Dセキュア（2.0）はリスクベース認証により、低リスクと判定した取引では追加認証を省略できるため、適切に設定すればかご落ちへの影響を大きく抑えられます。
Q3. 決済代行（PSP）を使っていれば自動的に対応されますか？
多くのPSPはEMV 3-Dセキュアに対応していますが、有効化の設定や申し込みが必要な場合があります。また、カスタムの決済フローを自社実装している場合は、認証ステップを組み込む改修が必要です。利用中のPSPの案内を確認しましょう。
Q4. EMV 3-Dセキュアを入れれば、他のセキュリティ対策は不要ですか？
いいえ。EMV 3-Dセキュアは「なりすまし決済（不正利用）」への対策です。カード情報の適切な管理（非保持化・PCI DSS準拠）や、Webアプリケーションの脆弱性対策（SQLインジェクション・XSS対策、脆弱性診断）は、それぞれ別に求められる対策です。
Q5. 認証の実装を自社で行う場合、気をつけることは何ですか？
認証結果の検証漏れ（本人認証が成立していないのに決済を通してしまう等）や、エラーハンドリングの不備がセキュリティ上の欠陥につながります。決済まわりのコードは特に慎重な実装が求められるため、実装後に第三者によるセキュリティ診断を受けることを推奨します。
まとめ
この記事では、EMV 3-Dセキュア（本人認証）について解説しました。
- EMV 3-Dセキュアとは：決済時にカード名義人本人かを確認し、なりすまし決済を防ぐ本人認証の仕組み
- 1.0との違い：リスクベース認証により、低リスク取引の認証を省略してかご落ちを軽減
- 2025年の義務化：クレジットカード・セキュリティガイドラインにより、EC加盟店へ2025年3月末を期限に原則導入が求められた
- やるべきこと：PSPでの有効化、決済フローの改修、テスト決済での検証
- 注意点：リスクベース認証の活用でかご落ちを抑えつつ、Webアプリ自体の脆弱性対策も別途実施する
EMV 3-Dセキュアは「不正利用対策」の要ですが、決済セキュリティ全体の一部にすぎません。カード情報の管理・Webアプリの脆弱性対策とあわせて、総合的に整えることが重要です。
関連記事
AEVUSに相談する
「EMV 3-Dセキュアを実装したが、決済フローのセキュリティが不安」「決済導入前にWebアプリを診てほしい」という方は、AEVUSにご相談ください。
AEVUSでは、決済フローや会員機能を含むWebアプリケーションの脆弱性を網羅的に検査するWebアプリケーション脆弱性診断を提供しています。本人認証の実装後に残りがちな検証漏れやエラーハンドリングの不備、SQLインジェクション・XSSといった脆弱性を洗い出します。
まずはお気軽にお問い合わせください。決済導入の状況をヒアリングしたうえで、最適な診断プランをご提案します。
