「3-D Secure本人認証サービス」にリスクベース認証機能を導入

株式会社NTTデータ（以下：NTTデータ）は、ネットショッピングにおける非対面クレジットカード決済の本人認証を行う「3-D Secure本人認証サービス」^注1として提供する「CAFIS BlueGate^®ユーザー認証サービス」に対し、クレジットカード利用者が使用するデバイス情報とクレジットカード決済の取引情報から、不正使用のリスク度合いをオンラインリアルタイムで判定する機能（リスクベース認証）を新たに開発し、2017年11月13日より提供を開始します。「3-D Secure本人認証サービス」におけるリスクベース認証の導入は、国内では初めてとなります。このリスクベース認証の導入により、カード利用者の利便性を損なわず、成りすましによる不正使用被害のさらなる抑制が期待されます。

なお本サービスは、三井住友カード株式会社（本社：東京都港区、代表取締役社長：久保 健、以下：三井住友カード）での採用が決定しています。

今後は他のクレジットカード会社への展開も計画しており、クレジットカード利用者へのより安心・安全な利用環境の提供を進めていきます。

近年、クレジットカード取引における不正使用の手法は多様化・高度化してきています。2017年1月から6月のクレジットカード不正使用被害は118.2億円にまで上り、うちクレジットカード情報の番号盗用による被害額は85.2億円と全体の7割以上を占めています。2016年（1月～12月）の番号盗用被害額が87.9億円であり、2017年の不正使用被害は、昨年の倍のペースで増加をしています。^注2

経済産業省が主導している「クレジット取引セキュリティ対策協議会」において実行計画書が公表されており^注3、決済代行事業者やカード会社がEC加盟店に対し、3-D Secure等の不正使用対策について多面的・重層的に実現することを促進するものとすると明記されています。

現行の3-D Secureは、クレジットカード利用者がクレジットカード会社に事前登録した本人確認用のパスワードを用いることで実現していますが、近年のクレジットカード犯罪の多様化・高度化に対しさらに精度高く本人確認を行う手段が必要とされています。このような中、NTTデータは三井住友カードと協力し、2015年よりクレジットカード取引環境におけるリスクベース認証のトライアル検証を実施し、リスク判定スコアリングモデルおよびオンラインリアルタイム処理システムに必要となるアプリケーション開発の検討を進めてきました。その結果、トライアル検証の成果を具現化、反映してサービス提供を行うことになりました。リスクベース認証とパスワード認証を併用することで、成りすましによる不正使用の被害抑制と、クレジットカードの不正使用に伴う加盟店・カード会社双方におけるクレジット信用管理・チャージバック業務の効率化が期待されます。

クレジットカード利用者を対象とし、リスクベース認証に必要となるクレジットカード決済利用デバイスの情報を取得し、取得したデバイス情報と決済情報を用いて不正判定のスコアリング処理を行います。

デバイスの情報と決済情報は、3D-Secureプロトコルで本人認証処理をおこなうACS（Access Control Server）が取得しています。この機能はNTTデータの「CAFIS BlueGateユーザー認証サービス」として提供しています。不正判定のスコアリング処理は、NTTデータの「CAFIS Brain^®注4」のルールエンジンを用いて不正判定を行います。

リスクベース認証では、ACS（CAFIS BlueGateユーザー認証サービス）にて、クレジットカード会員が使用するデバイスの設定情報を取得し、取引情報とあわせて不正リスクを判定し認証を行います。不正リスク判定の処理結果において危険な取引（リスク高）と判定された場合には、決済に入らないよう、3-D Secureの認証失敗の結果を加盟店に返却します。クレジットカード会社では、不正使用取引の実態（ネガティブ/ポジティブデータ）をリスク判定エンジンに登録することにより、運用においてリスク判定スコアリングモデルのチューニングを行います。

3-D Secureは、2016年10月にEMVCo.^注5より次期バージョン（3-D Secure2.0）の仕様が公開されており、2019年の初頭にグローバルでレギュレーションの導入がスタートする計画となっています。3-D Secure2.0では、今回のサービス提供で用いるリスクベース認証の概念が標準機能として取り入れられ、クレジットカード決済の大多数がパスワードを求めない取引とすることで、カード会員の利便性を向上させることが定義されています。今回の三井住友カードとの取り組みは、3-D Secure2.0への移行を見据えた先行導入の位置付けも有しており、リスクベース認証における不正使用の検知精度向上と運用管理ノウハウを蓄積し、早期に3-D Secure2.0の安定稼動に入ることにより、クレジットカード利用者へより安心・安全な利用環境の提供を進めます。また、本サービスについて、他のクレジットカード会社への展開を計画しています。

さらに、本サービスで蓄積された不正使用情報については、不正検知サービス「CAFIS Brain」との共有を計画しており、クレジットカード取引だけでなく、インターネット取引におけるさまざまな不正使用情報を共有することで、一般消費者にとってインターネット取引が安心して利用できる環境を築いていきます。