3Dセキュア

3Dセキュアプロトコルでは、ACS（アクセス制御サーバー）はカード発行会社側にあります。現在、ほとんどのカード発行会社はACSを第三者に委託しています。通常、購入者のウェブブラウザにはカード発行会社のドメイン名ではなく、ACSプロバイダーのドメイン名が表示されますが、これはプロトコルで必須ではありません。ACSプロバイダーによっては、カード発行会社が所有するドメイン名をACSで使用するように指定することも可能です。

3-D Secure バージョン 1 の各トランザクションには、VEReq/VERes と PAReq/PARes という 2 つのインターネット要求/応答ペアが含まれます。^{[ 9 ]} Visa と Mastercard は、加盟店がサーバーに直接要求を送信することを許可していません。加盟店は、代わりに MPI (加盟店プラグイン) プロバイダーを使用する必要があります。

このシステムでは、オンライン取引処理中にポップアップウィンドウまたはインラインフレームが表示され、カード所有者はパスワードを入力する必要があります。取引が正当な場合、カード発行会社はそのパスワードを認証できます。カード所有者にとっての問題は、ポップアップウィンドウまたはフレームが本当にカード発行会社からのものか、それともカード所有者の情報を盗み取ろうとする不正なウェブサイトからのものかを判断することです。このようなポップアップウィンドウやスクリプトベースのフレームはセキュリティ証明書にアクセスできないため、3-Dセキュアの実装の認証情報を確認する手段がありません。

Verified by Visaシステムは、正規のVerified by Visaポップアップウィンドウまたはインラインフレームと不正なフィッシングサイトをユーザーが区別するのが難しいため、批判を受けています。 ^{[ 13 ] [ 14 ] [ 15 ] [ 8 ]}これは、ポップアップウィンドウが次のようなドメインから配信されているためです。

• ユーザーが買い物をしているサイトではない
• カード発行会社ではありません
• visa.comやmastercard.comではありません。

Verified by Visaシステムは、場合によってはユーザーにフィッシング詐欺と誤解され^{[ 16 ]}、また、それ自体がフィッシング詐欺の標的にもなっています^{[ 17 ]} 。ポップアップの代わりにインラインフレーム（iframe）を使用するという新しい推奨事項は、ユーザーの混乱を軽減しましたが、その代償として、ユーザーがページが本物であることを確認することが困難、あるいは不可能になっています。2022年現在ウェブブラウザは、iframe の内容のセキュリティ証明書を確認する方法を提供していません。ただし、Verified by Visa の登録プロセスの現在の実装では、後続の Verified by Visa ポップアップに表示される個人メッセージを入力する必要があるため、ポップアップが本物であることをユーザーに保証するなど、サイトの有効性に関する懸念の一部は軽減されます。^{[ 18 ]}

カード発行会社の中には、購入時に登録されていないカード所有者に購入手続き中に登録を促す（または強制的に登録させる）アクティベーション・デュアリング・ショッピング（ADS）^{[ 19 ]}を使用するところもあります。通常、カード所有者はセキュリティ質問に答えることで本人確認を行うフォームに誘導されますが、その答えはカード発行会社が知っているはずです。ここでも、iframe内で行われるため、情報を提供しているサイトを簡単に確認することはできません。不正なサイトや悪質な業者は、この方法で顧客になりすますために必要なすべての情報を収集する可能性があります。

3-Dセキュア登録を導入すると、多くの場合、ユーザーが3-Dセキュアとその利用規約に同意するまで購入手続きを進めることができず、ページを閉じる以外にページから移動する手段が提供されないため、取引を放棄せざるを得なくなります。

購入時にカード登録を行うリスクを避けたいカード所有者は、販売サイトがブラウザをある程度制御する状況では、別のブラウザウィンドウでカード発行会社のウェブサイトにアクセスし、そこから登録することができます。販売サイトに戻って最初からやり直すと、カードが登録されていることが確認できます。登録時に選択した個人保証メッセージ（PAM）がパスワードページに表示されることで、そのページがカード発行会社から送信されていることを確認できます。ただし、カード所有者がパスワードページのTLS/SSLサーバー証明書を検証できない場合、中間者攻撃の可能性は依然として残ります。一部の販売サイトは、セキュリティレベルの低いフレーム（必ずしもiframeとは限りません）を使用する代わりに、認証にブラウザページ全体を使用します。この場合、ブラウザの鍵アイコンには、カード発行会社または検証サイトの運営者のIDが表示されます。カード所有者は、これがカード発行会社のドメインでない場合、カード登録時にアクセスしたドメインと同じドメインであることを確認できます。

モバイルブラウザは、フレームやポップアップなどの特定の機能が一般的に欠如しているため、3Dセキュアにとって特に問題となります。販売者がモバイルウェブサイトを所有していても、発行者もモバイル対応をしていない限り、認証ページが正しく表示されない、あるいは全く表示されない可能性があります。結局、多くのアナリストは、ショッピング中のアクティベーション（ADS）プロトコルは、リスクを軽減するよりもむしろリスクを高め、さらにそのリスクを消費者に転嫁するという結論に至っています。

場合によっては、3-D Secure はカード所有者にほとんどセキュリティを提供せず、不正取引の責任をカード発行者や小売業者からカード所有者に転嫁する手段となることがあります。3-D Secure サービスに適用される法的条件は、カード所有者が不正取引の責任を免れることを困難にするような表現になっている場合があります。^{[ 8 ]}

カード発行会社と加盟店は、複数の地域でカードを発行するカード発行会社に関して、3-D Secure システムを不均等に使用する可能性があり、たとえば、米国国内発行のカードと米国以外で発行されたカードの間で差別が生じます。たとえば、Visa と Mastercard は、米国の非法人地域であるプエルトリコを米国国内ではなく、米国以外の国際地域として扱っているため、プエルトリコのカード所有者は、50 州のカード所有者よりも 3-D Secure の照会をより頻繁に受ける可能性があります。プエルトリコ消費者局の「平等な扱い」経済差別に関する苦情が寄せられています。^{[ 20 ]}

ワンタイムパスコードを取り入れた3-Dセキュアのバージョン2は、EUの決済サービスに関する改訂指令（PSD2）で定義されている、ソフトウェアベースの強力な顧客認証の一形態です。以前のバージョンでは静的パスワードが使用されていましたが、これは指令の要件を満たすには不十分でした。

3-Dセキュアは、発行会社が積極的に関与し、発行されたカードがカード所有者によって登録されることを保証することを前提としています。そのため、アクワイアラーは、強力な顧客認証を行わずに未登録のカードを受け入れるか、3-Dセキュアを実装していない小規模なカード会社からの取引を含め、そのような取引を拒否する必要があります。

代替アプローチでは、発行者への事前登録を必要とせずに、取得側で認証を実行します。たとえば、PayPal の特許取得済みの「検証」^{[ 21 ]}では、1 つ以上のダミー取引がクレジットカードに向けられ、カード所有者はこれらの取引の金額を確認する必要がありますが、結果として得られる認証は、加盟店とカード所有者間の特定の取引に直接関連付けることはできません。iSignthis と呼ばれる特許取得済みの^{[ 22 ]}システムでは、合意された取引金額を 2 つ (またはそれ以上) のランダムな金額に分割し、カード所有者は明細書の金額を確認することで、自分がアカウントの所有者であることを証明します。^{[ 23 ]}

オーストラリアで3-Dセキュアを義務化する提案は、多数の異議申し立てや欠陥に関する提出書類が寄せられた後、オーストラリア競争・消費者委員会（ACCC）によって阻止された。 ^{[ 24 ]} 2025年9月、ACCCは強化システムへの移行を承認した。^{[ 25 ]}

インドなどの一部の国では、CVV2だけでなく、3-D Secureも必須としています。これは、カード発行会社から送信されるSMSコードで、「購入」をクリックして決済システムまたはカード発行会社のシステムサイトにリダイレクトされたときにブラウザに入力し、そこでコードを入力して初めて操作が承認されます。それでも、Amazonは3-D Secureが有効になっている他の国からの取引も引き続き行うことができます。^{[ 26 ]}