クレジットカード3Dセキュア2.0はなぜ義務化？認証の仕組みと対処法

2025年3月末を期限に、クレジットカードのネット決済で3Dセキュア2.0(EMV 3-Dセキュア)の導入が原則義務化されました。普段と違う買い方をした途端に認証画面が増えた、ワンタイムパスワードが届かず決済が止まったという声も目立ちます。この記事では、経済産業省のガイドライン改訂の経緯と現在の到達点、カード利用者が押さえておくべき設定のポイントを一次情報つきで解説します。

3Dセキュア2.0(EMV 3-Dセキュア)とは 仕組みをわかりやすく解説

3Dセキュア2.0とは、ネット通販でクレジットカード決済をするときに、カード番号や有効期限に加えて本人確認を行う仕組みです。カード発行会社(イシュア)が取引のリスクを判定し、不正の疑いがある決済にだけワンタイムパスワードやアプリ認証などの追加認証を求めます。ブランドごとの呼び名はVisa Secure、Mastercard ID Check、J/Secureなどさまざまですが、仕組みは共通です。

旧来の3Dセキュア1.0との違い

初代の3Dセキュア1.0は、ネット決済のたびに毎回固定パスワードの入力を求める方式でした。入力の手間がかかるうえ、パスワードを忘れて決済を諦める利用者も多く、普及が進みませんでした。2.0では固定パスワードをやめ、取引ごとのリスク判定に基づいて必要な時だけ認証を求める方式に切り替わり、安全性と利便性を両立しやすくなっています。

旧方式の3Dセキュア1.0は国際ブランド側のサポートが段階的に終了しており、現在新しく導入が進んでいるのはすべて2.0(EMV 3-Dセキュア)です。本記事で扱う「義務化」も、この2.0方式を指しています。

リスクベース認証とは 追加認証が出たり出なかったりする理由

リスクベース認証とは、決済のたびにカード会員の情報と取引情報を照らし合わせ、不正の可能性が高い取引にだけ追加の本人認証を求める仕組みです。判定にはアクセス元のデバイス情報、普段の購入パターンとの違い、配送先住所、金額の大きさなどが使われます。いつも使っている端末からいつもどおりの金額で買い物をした場合は、追加認証なしで決済が完了することも珍しくありません。

• いつもと違う端末やブラウザからアクセスしている
• 普段より高額な決済をしている
• 配送先が初めての住所になっている
• 短時間に複数回の決済を試みている
• 海外からのアクセスになっている

なぜ「義務化」と言われるのか クレジットカード・セキュリティガイドラインの変遷

「3Dセキュア2.0の義務化」という言い方は、経済産業省を所管とするクレジット取引セキュリティ対策協議会がまとめる「クレジットカード・セキュリティガイドライン」の改訂に由来します。このガイドラインで、原則すべてのEC加盟店に対し2025年3月末までにEMV 3-Dセキュアの導入を計画的に進めるよう求めたことが発端です。ガイドライン自体はその後も改訂が続いており、内容は版を追うごとに更新されています。

ガイドラインの版数の推移(4.0版から6.1版まで)

2025年3月末の期限を定めたのは2024年3月に取りまとめられた5.0版です。その後2025年3月の改訂で6.0版となり、不正利用被害の9割を占めるEC加盟店向けに、サイト改ざんやウイルス感染への脆弱性対策、不正ログイン対策が追加されました。2026年度の改訂では新しい対策の追加はなく、6.0版の内容をより分かりやすい記載にした6.1版が最新版です。「5.0版」の情報のまま止まっているサイトも多いため、確認する際は版数に注意してください。

「義務化」の実態 EC加盟店への要請と罰則の有無

このガイドラインは法律ではなく、業界の自主的な取り組みを促す指針という位置づけです。導入しなかった場合に法的な罰則が科されるわけではありません。ただし、国際ブランドの加盟店規約や決済代行会社との契約で、ガイドラインへの準拠が事実上の条件になっている場合があり、対応していないとチャージバック(不正利用時の決済取消)の負担を加盟店側が負うリスクが高まります。

つまり「義務化」という表現は正確には「原則対応の強い要請」であり、罰則つきの法令ではない点を押さえておくと、報道や記事ごとの表現の違いに惑わされずに済みます。

2025年3月末の期限後 対応はどこまで進んだか

ガイドラインは、カード発行会社に対しても2025年3月末までにEC利用会員ベースで80%の本人認証サービス登録率を目指す目標を示しました。導入から1年半ほど経った現在、業界団体の報告では対応はおおむね順調に進んだとされ、不正利用の被害額にも変化が表れています。被害額は2025年1〜3月を境に増減の流れが変わり、一方で決済の手間が増えたという指摘も出ています。

不正利用被害額は年単位でどう動いたか

日本クレジット協会の集計では、2025年通年のクレジットカード不正利用被害額は510億5000万円で、前年比8.0%減となりました。内訳では、カード番号が盗まれて使われる番号盗用被害が475億4000万円と全体の9割超を占めています。

注目したいのは2025年1〜3月だけ前年同期比55.7%増と突出して多く、EMV 3-Dセキュアの導入が広がった4月以降に減少へ転じている点です。導入の進捗と被害額の推移が時期的に重なっており、業界団体もこの効果に言及しています。もっとも、被害額の増減には他の要因も影響するため、3Dセキュア2.0だけが理由と断定はできません。

認証の手間が増えたことによる決済離脱という副作用

安全性が高まった一方で、EC事業者側からは副作用も報告されています。業界メディアの分析では、2025年4月以降、EMV 3-Dセキュアの適用が広がったことに伴い、決済の取引成功率(コンバージョン率)がわずかに低下する傾向が一部の決済事業者のデータで確認されています。認証のステップが増えることで、購入の途中で離脱する「カゴ落ち」が増える懸念です。

カード利用者の決済画面はどう変わったか 設定の要点

EMV 3-Dセキュアの導入が進んだことで、カード利用者が最初に行うべきことは「本人認証サービス」の登録です。多くのカード会社では会員専用サイトからメールアドレスや携帯電話番号を登録するだけで設定が完了し、追加の書類やアプリのインストールが必須になるケースは多くありません。登録していないと、加盟店によっては決済そのものを受け付けない場合があります。

主要カード会社の本人認証サービス名称と登録窓口

本人認証サービスの名称はカード会社や国際ブランドによって異なります。登録先の会員サイトも別々なので、自分のカードがどこに該当するかを事前に確認しておくとスムーズです。

国際ブランドで見ると、Visaは「Visa Secure」、Mastercardは「Mastercard ID Check」という名称で本人認証サービスを提供しています。同じ国際ブランドのカードでも発行会社によって登録先の会員サイトが異なるため、名称だけで判断せず、自分のカードを発行した会社のサイトで確認してください。

2026年7月以降のPayPayでの取り扱い変更

制度変更が実際の決済に波及した例として、PayPayは2026年7月以降、本人認証サービス(3Dセキュア2.0)の登録が完了していないクレジットカードではPayPayへの登録や決済ができない仕様に変更しました。これまで設定を後回しにしていた人も、特定のサービスを使うタイミングで設定を迫られるケースが今後も増えていくと見られます。

• 利用中のクレジットカードの発行会社を確認する
• 会員専用サイト(Vpass、楽天e-NAVIなど)にログインする
• 本人認証サービスのメニューから登録状況を確認する
• 未登録ならメールアドレスか携帯電話番号を登録する
• テストとして少額のネット決済で認証画面が出るか確認する

ワンタイムパスワードが届かない・認証が終わらないときの初動対応

本人認証サービスを設定した後でも、ワンタイムパスワードが届かずに決済が完了できないという相談は少なくありません。原因の多くは登録情報の誤りや受信設定にあり、その場で確認できることがほとんどです。慌てて何度も操作を繰り返す前に、登録情報とスマートフォン側の受信設定を順番に確認するほうが早く解決します。

まず確認したい3つの原因

届かない原因としてよくあるのは、会員サイトに登録した電話番号やメールアドレスが古いままになっている、迷惑メールフォルダに振り分けられている、スマートフォンのSMS受信拒否設定がオンになっている、の3つです。会員専用サイトにログインできる場合は、本人認証サービスのメニューから登録先情報を確認し、必要なら修正してから決済をやり直してみてください。

• 会員サイトに登録した電話番号・メールアドレスが最新か確認する
• 迷惑メールフォルダとSMSの受信拒否設定を確認する
• パスワード入力画面の「再送信」ボタンを試す
• 別の通信回線(Wi-Fiからモバイル回線など)に切り替えて試す

それでも解決しないときの相談先

登録情報を見直しても改善しない場合は、カード会社のサポート窓口に問い合わせるのが確実です。カード会社別の設定手順や、SMS・メール・認証アプリといった受け取り方法ごとの特徴、解除した場合のリスクについては、ワンタイムパスワードが届かないときの対処法で手順を詳しくまとめているので、あわせて確認してください。

不正利用された場合の補償 義務化で何が変わり、何が変わらないか

3Dセキュア2.0の義務化は不正利用対策の強化を目的としていますが、万一不正利用が起きた場合の補償ルール自体を直接変えるものではありません。補償を受けられるかどうかは、これまでどおり各カード会社の会員規約に基づいて個別に判断されます。認証を設定していれば必ず全額補償されるという話ではない点に注意してください。

補償を受けるための基本条件

多くのカード会社では、不正利用に気づいた時点で速やかに届け出ることを補償の前提としており、被害の届出日から遡って60日以内を対象期間とする例が一般的です。60日を過ぎてからの届出は補償の対象外になりやすいため、身に覚えのない請求を見つけたら早めにカード会社へ連絡してください。

• 利用明細を定期的に確認し、身に覚えのない請求が無いかチェックする
• 不審な請求に気づいたらすぐカード会社の紛失盗難窓口に連絡する
• カードを一時的に利用停止にしてもらう
• 必要に応じて警察に被害届を提出する

3Dセキュア未設定は過失と判断されるのか

本人認証サービスを設定していなかったこと自体が、直ちに「管理上の過失」として補償を制限する理由になるとは限りません。過失が問題になりやすいのは、暗証番号やパスワードを他人に教えていた場合や、推測されやすい番号を設定していた場合です。ただし、対応状況はカード会社ごとに判断が分かれるため、補償条件の詳細は不正利用の補償条件を解説した記事であわせて確認しておくと安心です。

よくある質問

3Dセキュア2.0はすべてのクレジットカードで使えますか

Visa、Mastercard、JCB、アメリカン・エキスプレス、ダイナースクラブの主要国際ブランドはいずれもEMV 3-Dセキュアに対応しています。ただし実際に利用できるかどうかは、カードを発行した会社が本人認証サービスを提供しているか、利用者自身が会員サイトで登録を済ませているかによって決まります。古いカードや一部の提携カードでは対応が遅れている場合もあるため、不明な場合は発行会社のサイトで確認してください。ブランドごとの本人認証サービスの名称は次のとおりです。

• Visa Secure(三井住友カード・楽天カードなど多くのVisaブランド発行会社)
• Mastercard ID Check(Mastercardブランドの発行会社)
• J/Secure(JCBブランドの発行会社)
• American Express SafeKey(アメリカン・エキスプレス)
• 本人認証サービス(ダイナースクラブ。クラブ・オンラインで登録)

本人認証サービスを設定していないとオンラインショッピングができなくなりますか

加盟店やカード会社の判断により、本人認証サービスが未登録のカードでは決済を受け付けないケースが増えています。PayPayのように2026年7月から未登録カードでの決済を停止したサービスもあり、今後こうした対応はさらに広がると見られます。トラブルを避けるためにも、ネット決済をよく使う人は早めに会員サイトから登録を済ませておくことをおすすめします。

3Dセキュア2.0を導入していても不正利用される可能性はありますか

EMV 3-Dセキュアはリスクの高い取引に絞って追加認証を行う仕組みのため、不正利用を完全にゼロにするものではありません。実際、日本クレジット協会の統計でも不正利用被害は残っており、2025年通年でも510億円を超える被害が発生しています。認証を設定したうえで、利用明細のこまめな確認を続けることが被害の早期発見につながります。

ワンタイムパスワードの代わりに生体認証は使えますか

一部のカード会社やクレジットカードアプリでは、スマートフォンの指紋認証や顔認証をワンタイムパスワードの代わりに使える認証アプリを提供しています。対応しているかどうかはカード会社ごとに異なるため、会員専用サイトのお知らせやアプリの設定画面で、利用できる認証方法を確認してみてください。

まとめ

3Dセキュア2.0の義務化は、経済産業省系の協議会がまとめたガイドラインの改訂によって進み、2025年3月末の期限を経て現在は6.0版・6.1版まで版が重ねられています。罰則つきの法令ではないものの、EC加盟店の事実上の標準対応になりつつあり、PayPayのように未登録カードでの決済を止めるサービスも出てきました。

カード利用者としては、まず会員専用サイトで本人認証サービスの登録状況を確認し、未登録なら早めに済ませておくことが実務的な対応になります。ワンタイムパスワードが届かないときの対処法や不正利用の補償条件については、それぞれの専門記事もあわせて確認し、制度の変化に合わせて設定を見直してください。

クレジットカードのセキュリティや使いこなしに関する記事は、Credit Kingsの記事一覧でも随時更新しています。