セキュリティガイドライン【6.0版】の改訂ポイントを探る

不正ログイン対策が必要とされた背景

EMV3DSと共に「不正ログイン対策」が求められるようになったのは、以下のような実態を踏まえたものだ。

EC加盟店には利用者があらかじめ属性情報やカード番号等を登録してアカウント（ID）とパスワードを作成し、ログインした上で商品購入の申込みとカード決済を行う「会員登録型」と、商品購入の申込時にカード番号等を入力して決済する「ゲスト型」があるが、会員登録型のEC加盟店が主流になってきている。このため、窃取した情報を悪用する不正利用が増えている状況にある。

不正利用には大きく二つのパターンがある。一つは窃取された属性情報とカード情報を悪用し、不正なアカウント登録を行った上で、換金性の高い商材を購入したりする「不正アカウント作成」。もう一つはフィッシング等により窃取したID・パスワードでログインして真正の利用者になりすましてカードを不正利用する「アカウント乗っ取り」だ。

こうした状況を踏まえ、新GLはEC加盟店に対し、不正利用発生のリスクに応じて、決済前の「会員登録時」「会員ログイン時」「属性情報変更時」のそれぞれの場面を考慮した適切な対策を「セキュリティ対策導入ガイド【附属文書20】」（略）に記載の対策から、1つ以上導入する」（39ページ）ことを求めた。

図表3は、新GLが効果的な対策を導入するという観点から、優先的に導入することが望ましいと位置付けた対策だ。

新GLはアクワイアラーとPSPに対しては、相互に連携してEC加盟店の導入・運用をサポートすることを求めている。

不正顕在化加盟店に求められる不正利用対策

第三の改訂ポイントは、不正顕在化加盟店と高リスク商材取扱加盟店における指針対策の変更だ。5.0版では①本人認証（EMV3DS、認証アシスト）、②券面認証（セキュリティコード）、③属性・行動分析（不正検知システム）、④配送先情報の四つの方策を示した上で、不正顕在化加盟店は2方策以上、高リスク商材取扱加盟店は1方策以上を導入することを求めていた。

これに対し、新GLは不正顕在化加盟店については、「類似の不正利用の発生を防止するために、不正利用の発生状況や取扱商品（略）、スキーム等によって異なる不正利用の手口に応じて『適切な対策の追加導入』や既に導入している対策の設定項目の追加・変更や不正判定レベルのチューニングによる『対策の強化』を行う」（39～40ページ）ことを指針対策とした。

適切な対策の追加導入と既存の対策の強化を求めているわけだが、追加導入すべき対策は附属文書20（セキュリティ対策導入ガイド）に記載の不正利用対策の中から適切な対策を選択することになる。附属文書20には、カード決済前・決済時・決済後に分けて、対策が列挙されているので、その中から発生原因や手口に対応した対策、例えば属性・行動分析や配送先情報のチェック、配送停止・配送保留等の対策を実施することが求められる。既存の対策の強化では、すでに導入済みのEMV3DSや属性・行動分析について、リスク判定項目の追加・変更や不正判定レベルのチューニングが求められる。

アクワイアラーとPSPは互いに連携し、不正顕在化加盟店をサポートすることが求められる。

なお、附属文書20に記載の対策と同等以上の性能を満たしている不正利用対策であれば、その対策を導入することも認められる。

相対的にリスクの高い商材はリスクベースで適切な対応を

一方、高リスク商材取扱加盟店については、高リスク商材を取り扱う加盟店という概念を見直し、他の商材に比べ不正利用の発生リスクが高い商材を「相対的にリスクの高い商材」と定義した上で、それを取り扱う場合に求められる不正利用対策を附属文書20に示す形に改めている。

附属文書20には「追加導入する対策や既に導入している対策の設定項目の追加・変更、チューニング（不正判定レベルの最適化）においては、リスクを認識した上での対応が必要である」としており、リスクベースによる適切な対応を求める形にした。指針対策として4方策を掲げる枠組みはなくなった。

相対的にリスクの高い商材とは①デジタルコンテンツ（オンラインゲームを含む）、②家電（家電量販店）、③電子マネー（コード決済等に紐付けたクレジットカードでチャージするものは除く）、④チケット、⑤宿泊予約サービスが想定されるが、これらに限定されるわけではない。同様にMO・TO加盟店についても、4方策の指針対策を見直し、リスクベースの適切な対策の導入を求める形に改訂されている。

新GLは既定路線ともいえる脆弱性対策とEMV3DSを指針対策に追加するだけでなく、「線の考え方」をより徹底し、不正ログイン対策も指針対策に追加した上でそれぞれの指針対策について詳細な導入ガイドを整備し、対策を導入・実施しやすくしたといえそうだ。

月刊消費者信用2025年4月号掲載