「3Dセキュアを導入したら、カゴ落ちが増えた」。EC担当者からこうした声を聞くことは珍しくありません。「不正対策として正しい判断をしたはずなのに、結果として売り上げに悪影響が出た」という経験から、3Dセキュアにネガティブな印象を持つ担当者も少なくないでしょう。ただ、その「買いにくさ」の原因は3Dセキュアそのものではなく、問題の多くは旧来の仕様（3Dセキュア1.0）が持っていた設計上の限界にあります。普及が進む「EMV 3-DS（3Dセキュア2.0）」は、その限界を解消するために設計された仕様で、中核にあるのが「リスクベース認証（RBA）」という考え方です。これによって不正対策と購買体験のトレードオフは大きく変わりつつあります。1.0と2.0の違いを整理した上で、EC担当者が実務で判断するために必要なことを解説します。
「3Dセキュア1.0」の限界と「EMV 3-DS」への進化 「3Dセキュア1.0」は1999年にVisaが開発し、2001年に「Verified by Visa」として提供を開始した認証の仕組みが起源です。その後、Mastercardは「SecureCode」、JCBは「J/Secure」、American Expressは「SafeKey」として各カードブランドが独自に展開。オンライン決済時に、カード会社が用意した認証画面へ消費者をリダイレクトし、事前に登録したパスワードを入力させることで本人確認を行う設計でした。
「3Dセキュア1.0」と「EMV 3-DS（3Dセキュア2.0）」の仕組み この仕組みには、構造的な問題が2つありました。1つ目は、購買体験への悪影響です。リスクの高低にかかわらず、すべての取引に追加認証を要求する設計のため、正規の消費者にとっても手続きが煩雑になり、離脱の原因となっていました 。特にスマートフォンでの購買が主流になるにつれ、PC向けに設計されたリダイレクト型の認証画面はスマートフォンでは使いにくく、購買離脱の大きな要因になっていきました。
2つ目は、セキュリティ効果の限界です。フィッシングなどの手口でパスワード自体を入手した不正者には、追加認証も有効に機能しません。「消費者に何かを入力させる」という設計そのものが、高度化する不正手口に対して脆弱（ぜいじゃく） でした。
これらの限界を踏まえて策定されたのが、EMVCo（イーエムブイコ、クレジットカード業界における標準化団体）による標準仕様「EMV 3-DS」、いわゆる「3Dセキュア2.0」です。1.0との最大の違いは、認証の判断基準にあります。1.0が「全員に認証を求める」設計だったのに対し、2.0は取引に関するデータを収集・分析した上で、リスクの高い取引にだけ追加認証を行う設計に刷新 されました。
送信できるデータ量も大きく異なります。1.0では十数項目程度だったのに対し、2.0ではデバイス情報・購買履歴・接続環境など100項目以上のデータ要素をイシュアー（カード発行会社）に送れるようになりました 。このデータを元にリスクスコアを算出し、認証が必要かどうかを判断する仕組みが、後述で解説する「リスクベース認証（RBA）」です。
「リスクベース認証（RBA）」の仕組み 「リスクベース認証（RBA）」とは、取引ごとのリスクスコアに基づいて、追加認証を行うかどうかを動的に判断する仕組みです。「全員を疑う」から「疑わしい取引だけ確認する」への発想の転換 が、「3Dセキュア2.0」の核心にあります。
判断材料は、取引時に収集される多様なシグナルです。具体的には、使用デバイスの識別情報、過去の購買履歴、接続IPアドレスや地理情報、取引金額、カード利用頻度などを組み合わせ、イシュアー側でリスクスコアを算出します。
このスコアに基づき、取引は大きく2つのフローに振り分けられます。リスクが低いと判定された取引は、消費者に追加の操作を求めることなく認証が完了する「フリクションレスフロー」を通過 します。消費者側からは、認証が行われていることすら意識されません。一方、リスクが高いと判定された取引には、ワンタイムパスワード（OTP）などによる追加認証が要求される「チャレンジフロー」が適用 されます。
リスクベース認証の2つのフロー 重要なのは、「チャレンジフロー」が適用されるのはあくまで一部の取引に限られる という点です。適切に実装された環境では、大多数の取引が「フリクションレスフロー」で処理されます。これが、「3Dセキュア2.0」が「不正対策を強化しながらCVRへの悪影響を抑えられる」と言われる理由です。
リスクスコアの算出はイシュアーが主体となって行いますが、EC事業者側の実装品質も結果に影響します。送信できるデータ項目が少ない、あるいは不正確であれば、イシュアーは判断材料が少ないためリスクを高めに見積もるので、「チャレンジフロー」が発生しやすくなります。フリクションレス率を高めるうえで、EC事業者側の実装が無関係ではない点は押さえておく必要があります。
EC担当者が押さえるべきポイントとトレードオフの実態 「3Dセキュア2.0」と「リスクベース認証」の仕組みを理解した上で、EC担当者が実務で判断するために押さえておくべきポイントと、解消されないトレードオフについて整理します。
① 「3Dセキュア 2.0」に移行すれば、1.0より承認率は上がるのか 「3Dセキュア2.0」の導入が承認率やCVRの改善につながるケースは実際にあります。ただし、それは「導入した」という事実ではなく、「フリクションレス率が十分に確保された実装ができているか 」に依存します。
実装品質が低いと「チャレンジフロー」が多発し、1.0と変わらない購買体験になります。決済代行会社を通じて導入している場合でも、自社のフリクションレス率がどの水準にあるかを定期的に確認 しましょう。まずは担当ベンダーに「フリクションレス率のレポートを共有してほしい」と依頼することが、現状把握の第一歩になります。
② 承認判断はイシュアーとの連携が重要 リスクスコアの最終判断はイシュアー側が行います。そのため、EC事業者がデータ送信の品質を高めることが、イシュアーの正確な判断を支える重要な役割を果たします 。送信できるデータ項目が充実しているほど、イシュアーはより精度の高いリスク評価を行いやすくなります。
一方で、同じ取引でもイシュアーによって判断が異なるケースがあります。これは各イシュアーが自社の保有データと判断基準でリスク評価を行う仕様によるものです。EC事業者にできることは、送信データの品質を高め、イシュアーが正しく判断できる環境を整えること です。
③ トレードオフは緩和されるが、消滅はしない 「リスクベース認証」の導入で不正対策と購買体験のトレードオフは大きく緩和されますが、ゼロになるわけではありません。高額取引、新規デバイスからのアクセス、海外IPからの購買など、リスクシグナルが重なる取引では「チャレンジフロー」が発生しやすい状況は続きます。
こうした取引が自社の顧客層に多い場合、「3Dセキュア2.0」を導入しても一定の離脱は残ります。自社の顧客属性や購買パターンを踏まえた上で、期待値を適切に設定しておくことが重要 です。
不正対策と購買体験は、本当にトレードオフなのか 「3Dセキュア1.0」が抱えていた「全員に認証を求める」という設計上の限界は、「3Dセキュア2.0」と「リスクベース認証」によって大きく改善しました。不正対策と購買体験はトレードオフの関係にあるという前提は、2.0の登場によって見直すべき段階にきています。
一方で、導入すれば課題が解決するわけではありません。フリクションレス率は実装品質とイシュアーのスコアリング精度に左右されるため、「導入済み」で思考を止めず、継続的にモニタリングする姿勢が求められます 。
この記事を読んでいるEC担当者の皆さん、ぜひ次の3点を確認してみてください。
1点目は、自社の「3Dセキュア」実装が義務化要件を満たしているかどうか です。「3Dセキュア1.0」は2022年10月にカードブランド各社のサポートが完全に終了しており、現在はPSP（決済代行会社）側でも提供されていません。現時点で未対応または実装状況が不明な場合は、利用中の決済代行会社に確認することをオススメします。
2点目は、フリクションレス率の現状把握です。担当ベンダーにレポートを依頼し、「チャレンジフロー」がどの程度発生しているかを数値で把握することが、改善の出発点 になります。
3点目は、決済承認率・CVRとの相関確認です。「3Dセキュア2.0」導入前後、あるいは設定変更前後のデータを比較し、購買体験への影響を定量的に評価する習慣をつけることが重要 です。
「3Dセキュア2.0」は「導入して終わり」の施策ではなく、継続的に設定と効果を見直すべき仕組みです。不正対策と売上改善を両立するための手段として、改めて自社の現状を点検するきっかけにしてみてください。
ネッタヌ
石田氏
酒匂氏
中林氏
公文が売っているのは、教材だけではないんですよね。「教室を成功させる仕組み」そのものを提供している。だから、本部は「店舗運営」ではなく、教材開発やブラン作りにより集中することができる。
ECでも、毎月ゼロから売り上げを積み上げるのではなく、利益が積み上がる仕組みを作ることができれば非常に強いわけです。
商品や広告だけを見るのではなく、「どんな構造で利益を生み出しているのか」。成功企業を見るときは、そこに注目したいですね。