EC用語集・運営・物流・法令・AI

EMV 3-Dセキュアとは？

読み：いーえむぶいすりーでぃーせきゅあ／EMV 3-D Secure

意味: ネットでのカード決済の際に、カード会社がカード会員本人による取引かを確かめる本人認証の仕組み。EC加盟店に導入が求められています。
例: いつもと同じスマートフォンからの買い物では追加の入力なしで決済が終わり、普段と違う環境からの高額な注文ではカード会社からワンタイムパスワードの入力を求められる、といった動きになります。

EMV 3-Dセキュアとは

EMV 3-Dセキュアは、ネットショッピングでカード番号などが盗用されて不正に使われることを防ぐため、国際ブランドが推奨する本人認証サービスです。クレジットカード・セキュリティガイドラインでは、カード会社（イシュアー）がカード会員のデバイス情報などを使って「なりすまし」のリスクを判断し、必要に応じてパスワードの入力などを求める仕組みと説明されています。

仕様を定めるEMVCoは、加盟店とカード会社の間で取引や決済手段、端末に関するデータをやり取りし、カード会社が本人確認に使えるようにするものと説明しています。ブラウザでの購入だけでなく、スマートフォンアプリでの購入にも対応しているとされています。

EMV 3-Dセキュアの認証の流れ

カード会社はリスクベース認証（RBA）でリスクの度合いを判定し、その結果によって次のように流れが分かれるとされています。

リスクが低い：パスワードなどの入力なしで認証が完了する（フリクションレスフロー）
リスクが中程度：ワンタイムパスワードや生体認証などの追加認証を求める（チャレンジフロー）
リスクが高い：認証を拒否する

EC加盟店に求められていること

クレジット取引セキュリティ対策協議会が2025年3月に取りまとめたガイドライン【6.0版】で、EMV 3-Dセキュアの導入はEC加盟店の不正利用対策の「指針対策」に加えられました。このガイドラインは、割賦販売法で義務付けられているカード番号等の適切な管理と不正利用防止の、実務上の指針と位置づけられています。

運用は、原則として決済のたびに認証を行うこととされています。ただし、ほかに講じている不正利用対策の内容や効果に応じて、カード番号の登録時に認証する運用や、加盟店のリスク判断で認証する運用も認められています。導入しなくてもよい取引は「EMV 3-Dセキュア導入ガイド【附属文書14】」で別に定められています。

導入・運用で気をつけたいこと

契約中の決済代行会社やカートサービスが対応しているか、申込みや費用が別に必要かを確認する
リスク判定の精度を上げるため、端末情報などのデータをカード会社へ多く渡せるよう、決済代行会社と連携して設定を見直すことが求められています
カード会社が把握する不正利用金額が3か月連続で50万円を超えた「不正顕在化加盟店」には、リスク判定項目の追加や判定レベルの調整などによる対策の強化も求められています
EMV 3-Dセキュアは「決済時」の対策です。ガイドラインは、決済前の不正ログイン対策や決済後の配送確認と組み合わせる「線の考え方」を基本としています

EMV 3-Dセキュアのよくある質問

EMV 3-Dセキュアを入れると、購入の手間が増えてカゴ落ちしませんか？

リスクが低いと判定された取引は、パスワード入力なしで認証が完了する仕組みです。EMVCoも、購入手続きに不要な手間を増やさずに本人確認を行えるよう設計されていると説明しています。ただし、追加認証が求められる場面もあるため、離脱の状況を見ながら、決済代行会社と設定やデータの渡し方を確認しておくと安心です。

小さなネットショップでも導入が必要ですか？

ガイドラインでは、EC加盟店の不正利用対策としてEMV 3-Dセキュアの導入が指針対策に位置づけられています。導入しなくてもよい取引の範囲は附属文書14で別に定められているため、自社が当てはまるかどうかは、契約中のカード会社や決済代行会社に確認してください。

EMV 3-Dセキュアについて詳しく読む

出典

2026年10月22日に確認した内容です。制度や機能は変わることがあるため、最新は公式の情報をご確認ください。

運営・物流・法令・AIのほかの用語

EC用語集の一覧へ