支払いカード番号

決済カード番号 、プライマリアカウント番号( PAN )、または単にカード番号は、クレジットカードやデビットカードなどの決済カードのほか、ストアードバリューカード、ギフトカード、その他の同様のカードに記載されているカード識別子です。状況によっては、カード番号は銀行カード番号と呼ばれます。カード番号は主にカード識別子であり、発行者がカードをリンクしている銀行口座番号を直接識別するものではありません。カード番号のプレフィックスはカードの発行者を識別し、それに続く数字は発行者がカード保有者を顧客として識別するために使用され、発行者はそれを顧客の指定銀行口座に関連付けます。ストアードバリュータイプのカードの場合、特定の顧客との関連付けは、プリペイドカードが再チャージ可能である場合にのみ行われます。カード番号はISO/IEC 7812に従って割り当てられます。カード番号は通常、決済カードの表面にエンボス加工されており、磁気ストライプとチップにエンコードされていますが、カードの裏面に刻印されている場合もあります。

決済カード番号は、ビジネス識別コード(BIC/ISO 9362、標準化されたコード、ビジネス識別コード、銀行国際コード、またはSWIFTコードとも呼ばれる) とは異なります。また、米国の銀行口座の別の識別子である ユニバーサル決済識別コードとも異なります。

決済カード番号は8桁から19桁の数字で構成され、^[1]先頭の6桁または8桁は発行者識別番号(IIN) で、銀行識別番号(BIN)と呼ばれることもあります。^{[2] : 33  [3]}最後の桁を除く残りの数字は、個人口座識別番号です。最後の桁は Luhn チェックディジットです。IIN と PAN には一定レベルの内部構造があり、ISO/IEC 7812 で設定された共通の番号体系を共有しています。番号の各部は次のとおりです。

• 6桁または8桁の発行者識別番号（IIN）^[a] 、最初の桁は主要産業識別子（MII）
• 可変長（最大12桁）の個別アカウント識別子
• ルーンアルゴリズム^[5]を使用して計算された単一のチェックディジット

カード番号の最初の 6 桁または 8 桁 (最初の MII 桁を含む) は、発行者識別番号 (IIN) と呼ばれます。これらは、カード所有者にカードを発行したカード発行機関を識別します。番号の残りの部分は、カード発行者によって割り当てられます。カード番号の長さは、その桁数です。多くのカード発行者は、IIN とアカウント番号全体をカードに印刷しています。

状況によっては、発行者識別番号 (IIN) または銀行識別番号 (BIN) が発行ネットワーク (Mastercard や Visa など) から直接ライセンスされない場合があります。IIN/BIN 番号の取得にはコストと時間がかかり、社内の規制およびコンプライアンス チームに大きな運用上の負担がかかる可能性があります。このため、一部の新しいカード プログラムでは「BIN スポンサー」を使用することがあります。この場合、IIN/BIN 番号は実質的にスキーム規制対象エンティティからサブライセンスされます。これは BIN スポンサーシップとして知られており、金融機関が市場へのアクセスを迅速に行うための一般的な方法です。^[6]

米国では、IIN はNCPDP薬局請求でプロセッサを識別するためにも使用され、すべての薬局保険カードに印刷されています。IIN は、リアルタイム請求の主なルーティング メカニズムです。

ISO 発行者識別番号登録データベースは、米国銀行協会によって管理されています。ABA はこの標準の登録機関であり、発行者に IIN を割り当てる責任を負っています。

オンライン マーチャントは、取引の検証に IIN 検索を使用する場合があります。たとえば、カードの IIN が 1 つの国の銀行を示し、顧客の請求先住所が別の国にある場合、取引には追加の精査が必要になる場合があります。

2004年11月8日、マスターカードとダイナースクラブは提携を結んだ。カナダと米国で発行されるダイナースクラブカードは54または55で始まり、世界中でマスターカードとして扱われる。国際カードは36のプレフィックスを使用し、カナダと米国ではマスターカードとして扱われるが、それ以外の地域ではダイナースクラブカードとして扱われる。ダイナースクラブインターナショナルのウェブサイトでは、古い38のプレフィックス番号については言及されておらず、55または36のIINプレフィックスで再発行されたものと推定される。2009年10月16日以降、30、36、38、または39で始まるダイナースクラブカードはディスカバーカードで処理されるようになった。^[20]

2014 年 11 月 3 日、Mastercard は「2」で始まる新しい BIN 範囲シリーズ (222100～272099) を導入すると発表しました。「2」シリーズの BIN は、現在の「51～55」シリーズの BIN と同じように処理されます。これらは 2016 年 10 月 14 日に有効になりました。

2014 年 7 月 23 日、ロシア連邦に JSC NSPK が設立されました。株式会社 National System of Payment Cards (NSPK) は、Mir National Payment System の運営者です。NSPK の主な取り組みは、国家決済システム インフラストラクチャの構築と、国家決済カード Mir の発行です。

2006 年 10 月 1 日より、Discover は 650 だけでなく、65 プレフィックス全体を使い始めました。また、Mastercard/Diners 契約と同様に、China UnionPay カードは現在 Discover カードとして扱われ、Discover ネットワークで受け入れられています。

Visa のアカウント範囲の大部分は 16 桁のカード番号を説明していますが、13 桁の PAN 専用のアカウント範囲 (2013 年 12 月 11 日時点で 40) がまだいくつかあり、発行者が 13 桁と 16 桁のカード番号を混在させることができるアカウント範囲もいくつかあります (2013 年 12 月 11 日時点で 439)。Visa の VPay ブランドは 13 桁から 19 桁の PAN の長さを指定できるため、16 桁を超えるカード番号が見られるようになりました。

Switchは2007年半ばにMaestroとしてブランド名が変更されました。^[21] 2011年に、英国国内のMaestro（旧Switch）は、いくつかの国固有のルールを残しつつ、標準的な国際Maestroの提案に準拠しました。

EMV 認証には、19 桁の Visa カード (ADVT 6.1.1 テスト ケース 2) と Discover カード (E2E テスト プラン v1.3、テスト ケース 06) の受け入れが必要です。

カナダの銀行が発行する銀行カード番号も、そのシステムのパターンに従います。

クレジットカード詐欺のリスクを軽減するために、銀行カード番号の流出を防ぐためのさまざまな技術が使用されています。これには以下が含まれます。

• フォーマット保持暗号化: アカウント番号が、最初の 6 桁と最後の 4 桁などのフィールドの非機密部分を含むカード データのフォーマットを保持する強力に暗号化されたバージョンに置き換えられます。これにより、支払い IT システムとアプリケーションを変更することなく、データ フィールドを保護できます。一般的な用途は、安全なリーダーでのキャプチャ ポイントから支払い処理ホストまでエンドツーエンドでカード データを保護し、販売時点管理 (POS) などのシステムでのデータ侵害のリスクを軽減することです。AES-FF1 フォーマット保持暗号化は、NIST 仕様 SP800-38G で定義されています。
• PAN の切り捨て: カードの一部の数字のみがレシートに表示または印刷されます。PCI DSS 標準では、業務上完全な PAN が必要な場合を除き、レシートに印刷または表示できるのは PAN の最初の 6 桁と最後の 4 桁のみと規定されています。米国連邦法 ( FACTA ) では、最後の 5 桁のみの表示が許可されています。PCI DSS 要件と米国連邦法の両方に準拠するため、通常、個人が使用したカードを識別できるように、他の場所では最後の 4 桁のみが提供されます。
• トークン化: 実際の口座番号の代わりに人工の口座番号 (トークン) を印刷、保存、または送信します。