3Dセキュア2.0｜科目A-1（応用情報技術者） 令和6年 春期午前試験 問35
出典：令和6年春期 午前 問35
分野：セキュリティ ／ 情報セキュリティ対策
3Dセキュア2.0（EMV 3-Dセキュア）は，オンラインショッピングにおけるクレジットカード決済時に，不正取引を防止するための本人認証サービスである。3Dセキュア2.0で利用される本人認証の特徴はどれか。
- ア：利用者がカード会社による本人認証に用いるパスワードを忘れた場合でも，安全にパスワードを再発行することができる。
- イ：利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に，カード会社が追加の本人認証を行う。
- ウ：利用者の過去の取引履歴や決済に用いているデバイスの情報にかかわらず，カード会社がパスワードと生体認証を併用した本人認証を行う。
- エ：利用者の過去の取引履歴や決済に用いているデバイスの情報に加えて，操作しているのが人間であることを確認した上で，カード会社が追加の本人認証を行う。
TSUNAGARU-ADVICE
まず押さえたいこと
3Dセキュア2.0では、利用者の取引履歴や利用端末、決済時の状況などを基にリスクベース認証を行います。リスクが低い取引では追加認証を省略し、高リスクと判断された場合に追加の本人認証を求める仕組みです。
迷ったときの判断軸
3Dセキュア2.0の特徴は、すべての取引で一律にパスワードや生体認証を要求するのではなく、取引ごとのリスク評価に応じて認証方法を変える点です。「過去の取引履歴やデバイス情報からリスクを判断する」という表現に注目しましょう。
科目Bにつなげるために
特に情報処理安全確保支援士試験合格を目指す方は、3Dセキュア2.0をリスクベース認証・不正利用対策・追加認証と結び付けて理解しましょう。利便性を維持しながら高リスク取引だけ認証を強化する考え方は、適応型認証や不正検知にもつながります。
3Dセキュア2.0（EMV 3-Dセキュア）では、利用者の過去の取引履歴、利用している端末、決済時の情報などを基にリスクを判定する「リスクベース認証」が用いられます。
不正利用の可能性が低いと判断された取引では、追加認証を省略して決済を進められる場合があります。一方で、高リスクと判断された場合には、ワンタイムパスワードや生体認証などによる追加の本人認証を行います。
したがって、イが適切です。
❌他選択肢が誤りの理由ア：利用者がカード会社による本人認証に用いるパスワードを忘れた場合でも，安全にパスワードを再発行することができる。
⇒パスワードの再発行機能は、3Dセキュア2.0の本人認証方式を特徴付けるものではありません。3Dセキュア2.0では、取引情報などを用いたリスクベース認証が重要な特徴です。
ウ：利用者の過去の取引履歴や決済に用いているデバイスの情報にかかわらず，カード会社がパスワードと生体認証を併用した本人認証を行う。
⇒3Dセキュア2.0では、全ての取引で一律に追加認証を行うわけではありません。取引履歴や端末情報などからリスクを評価し、必要に応じて追加認証を行います。
エ：利用者の過去の取引履歴や決済に用いているデバイスの情報に加えて，操作しているのが人間であることを確認した上で，カード会社が追加の本人認証を行う。
⇒CAPTCHAなどによって人間による操作かどうかを確認することは、3Dセキュア2.0の特徴ではありません。3Dセキュア2.0では、取引や端末などの情報を基にリスクを判定し、高リスクの場合に追加認証を行います。