3Dセキュア対応カードでも認証が来るときと来ないとき
3Dセキュア対応カードでも認証が来るときと来ないとき
クレジットカード／デビットカードの不正利用が増え続ける中、
「3Dセキュア（3D Secure）」はオンライン決済における重要な本人認証手段になっています。
しかし、多くの人が疑問に思うのがこれです。
「3Dセキュア対応カードなのに、毎回SMS認証が来るわけじゃないのはなぜ？」
「むしろ、ほとんど認証が出ないこともある…？」
この記事では、
3Dセキュアの仕組みと、認証が“来る/来ない”条件を分かりやすくまとめます。
📌 1. 3Dセキュアとは？（超ざっくり）
3Dセキュアはオンライン決済における追加の本人認証です。
ブランドごとに名称が違います：
- Visa Secure
- Mastercard Identity Check
- JCB J/Secure
- American Express SafeKey
EC（ネット通販）でカードを使うときに
SMSのワンタイムパスワードやアプリ認証が発生する仕組みです。
📌 2. 3Dセキュアは「オンライン決済だけ」で使われる
まず重要な点：
- オンライン決済 → 3DSが発動する可能性あり
- 実店舗（対面決済） → 3DSは一切使われない
実店舗ではICチップ・タッチ決済・Apple Payなどの他の認証方式があるため、
3Dセキュアは使われません。
📌 3. 3Dセキュア対応でも毎回認証が来ない理由
結論：
3Dセキュア2.0（EMV 3DS）では、ほとんどの決済で認証がスキップされるため。
その仕組みは「リスクベース認証（RBA）」と呼ばれます。
カード会社やブランドは決済のリスクを以下の情報から自動判定します：
- 利用端末（iPhone / Android / PC）
- OSとブラウザ情報
- 過去の利用履歴
- 金額・加盟店のカテゴリ
- 利用国
- 不正の兆候
この判定で「安全」と判断されれば、
追加認証なし（frictionless flow） で処理されます。
📌 4. 認証が「来るとき」と「来ないとき」の違い
🔒 認証が 来るとき
以下のような場合は追加認証（SMS / アプリ）が発生：
- 初めて使う端末・ブラウザ
- 海外ECサイトでの利用
- 高額決済
- 不正使用の可能性がある場合
- カード発行銀行がリスク高と判定
- 加盟店側が3DSを“強制”している場合
特に海外EC（東南アジア・中国系サイト）では高確率で出ます。
🔓 認証が 来ないとき
以下の場合は「安全」とみなされ、認証なしで通ります。
- 過去に利用したことのある端末
- 低額のサブスク決済（Netflix, Spotify 等）
- 日本国内の大手EC（Amazon, 楽天）
- 加盟店が3DSを任意設定にしている場合
実は 3Dセキュア対応カードでも 8〜9割は追加認証なし で通ります。
📌 5. 図で理解する：3Dセキュアのフロー
[ユーザー]
│
│ カード情報入力
▼
[加盟店]
│
│ 3DS依頼
▼
[カード会社のリスク判定エンジン]
├─【低リスク】→ 認証無し（frictionless）
└─【高リスク】→ OTPやアプリで追加認証
📌 6. なぜ3Dセキュア対応の有無が重要なのか？
- 3Dセキュア非対応カードは不正利用されやすい
- 特に東南アジアでは 3DS非対応のデビットカードが多い
- フィッシングやカード番号流出だけで決済されてしまう
加盟店側としては3DS対応の有無をBIN単位で知りたいというニーズが強いです。
（JP BIN Lookup でも将来的にデータ項目として持つ価値が大きい）
📌 7. まとめ
| 状況 | 3Dセキュアの挙動 |
|---|---|
| 対面（店舗）決済 | ❌ 発動しない |
| オンライン決済 | ⭕ 発動の可能性 |
| 3DS対応カードでも毎回認証？ | ❌ 来ないことが多い |
| 認証が出るとき | 高リスク・海外・初回デバイス |
| 認証が出ないとき | 低リスク・大手EC・サブスク |
3Dセキュアの仕組みを理解すると、
「認証が来たり来なかったりする理由」が自然と腑に落ちます。
📌 8. 付録：一般の人から3Dセキュア情報を収集するには？
カード面にロゴはほとんど載っていないため、
以下の質問が最も正確です：
- オンライン決済でSMSの認証コードが届きますか？
- 銀行アプリで認証が必要になりますか？
これらを聞くことで、
「そのカードが3DS対応か」をユーザー側から聞き取れます。
最後まで読んでいただきありがとうございました！
3Dセキュアに関する質問があれば、お気軽にどうぞ。
Discussion