什么是被强制要求引入电商平台的“3D Secure 2.0（身份验证）”？详解必要的对策与注意事项

什么是“3D Secure 2.0（EMV 3-D Secure）”？介绍其工作原理与特点

“3D Secure 2.0（EMV 3-D Secure）”是一种用于防止在网络进行信用卡支付时发生盗刷的新型身份确认机制。它取代了以往的“3D Secure 1.0”，成为一种更安全、更便捷的认证方式。

当顾客输入信用卡信息后，屏幕上会弹出身份验证页面，按照提示完成认证后，支付流程即告结束。

在“3D Secure 2.0”中，此身份验证环节使用只有本人才能输入的个人信息，如生物特征识别（指纹或面部识别等）和一次性密码等，因此，可防止冒充他人的非法使用这一点已得到公认。

与“3D Secure 1.0”的区别

传统的认证方式“3D Secure 1.0”是一种在网购时针对信用卡用户进行身份认证，并判断是否存在非法使用风险的机制。

“3D Secure 1.0”基本上要求用户输入预先注册的密码，只有在密码一致的情况下才会完成支付。

但是，如果密码也泄露了，就会导致非法使用；而且由于每次都需要输入密码，也存在因“输入麻烦而放弃购买”导致的购物车放弃风险。

相比之下，“3D Secure 2.0（EMV 3D Secure）”在以下几个方面有了显著进步：

最大的区别在于，采用基于风险的认证方式这一点。

在“3D Secure 1.0”中，每次购买时都必须进行认证；而在“3D Secure 2.0”认证中，如果交易金额较小，或者根据用户过去的支付记录判断不存在欺诈嫌疑等情况，当判断风险较低时，可以省略身份验证手续。

由于不再需要每次输入密码，可以降低购物车放弃的风险。其机制差异如下图所示。

此外，除了传统的固定密码外，为了提高用户便利性，还支持一次性密码和生物识别认证，因此只有本人才能通过认证，从而防止冒充行为。

此外，“3D Secure 1.0”仅适用于Web浏览器上的支付，而2.0版本也将来自智能手机应用的支付纳入范围。

这样，“3D Secure 2.0”在实现更顺畅的支付和防止欺诈利用两个方面都取得了进步。

EC网站强制引入“3D Secure 2.0”

由于EC网站中的信用卡欺诈使用逐年增加，日本经济产业省宣布计划以2025年3月为目标，强制要求EC网站引入“3D Secure 2.0”。

本文将介绍信用卡盗用的现状以及强制引入相关措施的原因等。

EC网站中盗用的实际情况

根据经济产业省于2024年发布的《信用卡安全措施》，2023年信用卡盗用造成的总损失约为541亿日元。

由于2014年的总损失约为114亿日元，在约10年间增长了近5倍。下图展示了信用卡损失金额的变化趋势。

此外，根据该资料，这些损失中大部分是由通过非法访问等手段窃取信用卡号码进行的EC交易造成的。

因此，为了防止信用卡损失金额进一步增加，防止EC网站上的信用卡盗用被视为重中之重。

政府的举措及强制化的背景

如上所述，面对不断扩大的信用卡盗用损失，日本政府于2020年8月设立了“信用卡盗用对策强化月”，并作为对策的一部分决定引入“EMV 3-D Secure（3D Secure 2.0）”。

互联网上的信用卡盗用主要是利用非法获取的卡信息进行交易。因此如果引入“3D Secure 2.0”，仅凭卡信息将无法进行盗用，有望大幅防止损失，对此寄予厚望。

政府希望通过实施该措施，将盗用损失减少至以往水平以下。

EC网站强制实施“3D Secure 2.0”所需的应对措施

虽然已知“3D Secure 2.0”将成为强制要求，但除此之外还需要哪些应对措施？接下来将进行更详细的说明。

各EC运营商需采取的对策及期限

“3D Secure 2.0”的原则上，导入期限为2025年3月底。

此外，不仅包括运营EC网站的EC运营商，发行信用卡的发卡行（Issuer）以及管理信用卡商户的收单行（Acquirer）、代理信用卡商户结算的PSP（支付服务提供商）等也纳入反欺诈措施的适用范围。

2024年3月，日本经济产业省发布的《信用卡安全指南》指出，各企业需具体落实以下应对措施：

电商企业	· 制定“3D Secure 2.0”的实施计划并尽早引入 · 对于盗刷案件频发的店铺，无需等待截止日期，应立即着手引入“3D Secure 2.0”
发卡行（Issuer）	· 采取有力措施，强烈促使自有卡会员注册“3D Secure 2.0”，目标是在2025年3月底前，使基于电商使用会员的注册率达到80% · 目标在2025年3月底时，所有已注册“3D Secure 2.0”的会员均迁移至除“静态（固定）密码”以外的其他认证方式
收单行（Acquirer）/ PSP	· 对于盗刷案件频发的电商企业，促使其立即引入“3D Secure 2.0” · 对其他电商企业，也应优先处理盗刷风险较高的企业，促其在2025年3月底前完成“3D Secure 2.0”的引入 · 与电商企业签订新合同时，需说明截至2025年3月底强制引入“3D Secure 2.0”的规定，在此基础上签订合同。

因此，开展信用卡业务的相关企业也应推动其加盟的电商企业在2025年3月底前尽可能引入“3D Secure 2.0”。此外，对于已经频繁发生欺诈交易的店铺，必须迅速采取应对措施。

除了引入3D Secure外，还需加强卡片信息保护措施

日本经济产业省发布的《信用卡安全指南》中规定必须引入“3D Secure 2.0”，但不仅如此，还必须采取保护卡片信息本身的措施。

在电商网站中，由于网站本身存在漏洞或设备管理基本安全措施不足等原因，经常发生卡片信息泄露或遭受恶意网络攻击等事故。

因此，在电商网站上必须持续实施基本的安全措施已成为必要要求。

此外，从原则上避免将卡片信息保存在公司设备和网络中等做法，采用避免不必要存储的运行方式（即非存储化）也很重要。

安全措施需要综合实施，仅引入“3D Secure 2.0”是不够的。

从保护包含卡信息在内的所有个人信息的角度来看，运营EC网站需要采取各种安全措施，例如实施由专家进行的网络安全诊断。

如果EC网站未支持“3D Secure 2.0”的影响

根据《信用卡安全指南》，“3D Secure 2.0”已成为强制要求。如果不遵守，将会产生什么影响？以下将介绍三种可能的影响。

盗用风险及损失（拒付）的发生

如果EC网站未支持“3D Secure 2.0”，盗用风险将增加，具体可能导致以下损失：

当信用卡被非法使用时，持卡人发现异常并提出申请后，系统会启动拒付机制，退还被盗用的金额。拒付对持卡人而言是一种救济措施，但商家即使退还了销售额，也无法收回商品，因此会造成重大损失。

此外，除了销售额和商品的损失外，还会产生与盗用相关的处理和手续等人工成本。如上所述，盗用可能会对商家造成损益影响。

品牌形象下降

如果不采取反盗用措施，而盗用行为持续发生，用户对该商店的信任（对品牌的安心感）将逐渐丧失。

一旦声誉受损，商店很可能面临以下风险：

由此可见，多年来精心建立的良好声誉，可能因盗用受害而轻易崩塌。

尤其是近年来，用户通过SNS或评论栏等平台可以轻松发布信息，因此关于某店铺盗用事件频发的信息很容易迅速传播。为了维护公司信誉并防止损失，引入“3D Secure 2.0”已成为必不可少的应对措施。

支付公司的制裁措施

随着“3D Secure 2.0”引入义务化的推进，发卡行、管理商户的企业以及支付公司等也被要求推动电商店铺进行引入。

因此，即使推动引入，对于尚未对应的电商网站，支付公司可能会暂时停止入金处理，最坏的情况下甚至可能解除合约等制裁措施。如果合约被解除，将会对业务连续性造成障碍。

支付公司重视客户保护，预计会对安全措施不足的电商网站采取严厉态度。

此外，截至2024年，尚未公布针对电商网站未引入“3D Secure 2.0”的处罚等措施，但未来若未对应，可能会采取法律措施。

由于欺诈使用会给店铺方带来各种损害，因此请采取包括“3D Secure 2.0”在内的对策。

电商网站引入“3D Secure 2.0”时的注意事项

以下介绍在电商网站引入“3D Secure 2.0”时希望了解到的注意事项。

考虑用户体验

虽然“3D Secure 2.0”有时可以省略认证手续，但如果之前从未引入过3D Secure，结算页面的操作步骤会增加。

随着认证步骤的增加，购买流程变得复杂，可能会出现感到压力的用户。

因此，在引入“3D Secure 2.0”时，也需要充分考虑以下要点：

重要的是要在事前进行用户测试，并在引入后对EC网站进行分析，始终掌握对用户体验的影响，如果发现问题则加以改进。

并不能完全防止欺诈行为

由于“3D Secure 2.0”是用于互联网信用卡购买时的身份验证系统，即使引入了它，也无法100%防止欺诈行为。

除了针对未知漏洞的网络攻击或内部人员的不当行为外，导致非法访问和非法使用等因素还有很多。

因此，正如“信用卡安全指南”中所指出的那样，必须持续采取各种安全措施。例如，除了引入“3D Secure 2.0”之外，还可以考虑引入能够检测非法访问和非法订单的服务等。

关于EC网站的安全措施，《EC网站构建与运营安全指南》这一内容由日本经济产业省发布，请一并参考。

总结

具有防止信用卡盗刷效果的“3D Secure 2.0”，计划于2025年3月底前强制要求EC网站引入已正式实施。如果反欺诈措施不充分，可能会面临经济损失、品牌形象下降以及支付公司制裁等风险，因此务必采取应对措施。

然而，“3D Secure 2.0”并非万能，因此需要同时实施多种安全措施。既然在互联网上进行商业活动，就不应懈怠安全防护工作，认真执行安全措施是长期经营店铺所必需的。