支払いカード番号

決済カード番号、プライマリアカウント番号（PAN）、または単にカード番号は、クレジットカードやデビットカードなどの決済カード、プリペイドカード、ギフトカード、その他の類似カードに記載されているカード識別子です。場合によっては、カード番号は銀行カード番号と呼ばれます。カード番号は主にカード識別子であり、発行機関によってカードがリンクされている銀行口座番号を直接識別するものではありません。カード番号の接頭辞はカードの発行者を識別し、それに続く数字は発行機関がカード所有者を顧客として識別するために使用し、その後、発行機関によって顧客の指定された銀行口座に関連付けられます。プリペイドタイプのカードの場合、特定の顧客との関連付けは、プリペイドカードが再チャージ可能な場合にのみ行われます。カード番号は、ISO/IEC 7812に従って割り当てられます。カード番号は通常、決済カードの表面にエンボス加工されており、磁気ストライプとICチップにも記録されていますが、カードの裏面に印字されている場合もあります。

決済カード番号は、ビジネス識別コード（BIC/ISO 9362、標準化されたコード。ビジネス識別コード、銀行国際コード、またはSWIFTコードとも呼ばれる）とは異なります。また、米国の銀行口座を識別するための別のコードであるユニバーサル決済識別コードとも異なります。

決済カード番号は 8 ～ 19 桁で構成されます。^{[ 1 ]}先頭の 6 桁または 8 桁は発行者識別番号( IIN ) であり、銀行識別番号( BIN )と呼ばれることもあります。^{[ 2 ] : 33 [ 3 ]}最後の桁を除く残りの数字は、個人口座識別番号です。最後の桁は Luhn チェックデジットです。IIN と PAN には一定の内部構造があり、ISO/IEC 7812 で設定された共通の番号体系を共有しています。番号の構成要素は次のとおりです。

• 6桁または8桁の発行者識別番号（IIN）^{[ a ]} 、その最初の桁は主要産業識別子（MII）です
• 可変長（最大12桁）の個人アカウント識別子
• Luhnアルゴリズム^{[ 5 ]}を使用して計算された単一のチェックデジット

カード番号の最初の6桁または8桁（最初のMII番号を含む）は、発行者識別番号（IIN）と呼ばれます。これは、カード所有者にカードを発行した発行機関を識別する番号です。残りの番号は、カード発行機関によって割り当てられます。カード番号の長さは、その桁数です。多くのカード発行機関は、カードにIINと口座番号全体を印刷しています。

状況によっては、発行者識別番号（IIN）または銀行識別番号（BIN）が発行ネットワーク（MastercardやVisaなど）から直接ライセンスされない場合があります。BIN/IIN番号の取得は、コストがかかり、時間がかかり、社内の規制およびコンプライアンスチームに多大な運用上の負担をかける可能性があります。このため、一部の新しいカードプログラムでは「BINスポンサー」を使用することがあり、その場合、IIN/BIN番号は実質的にスキーム規制対象事業体からサブライセンスされます。これはBINスポンサーシップとして知られており、金融機関が市場へのアクセスを迅速化するための一般的な方法です。^{[ 6 ]}

米国では、IINはNCPDP薬局請求において処理業者を識別するために使用され、すべての薬局保険カードに印刷されています。IINはリアルタイム請求における主要なルーティングメカニズムです。

ISO発行者識別番号登録データベースは、米国銀行協会（ ABA）によって管理されています。ABAはこの規格の登録機関であり、発行者へのIINの割り当てを担当しています。

オンライン販売業者は、取引の妥当性を検証するためにIIN（納税者識別番号）の照会を利用する場合があります。例えば、カードのIINが特定の国の銀行を示しているにもかかわらず、顧客の請求先住所が別の国にある場合、その取引はより詳細な審査が必要となる可能性があります。

2004 年 11 月 8 日、マスターカードとダイナースクラブは提携を結びました。カナダと米国で発行されたダイナースクラブ カードは 54 または 55 で始まり、世界中でマスターカードとして扱われます。国際カードは 36 のプレフィックスを使用し、カナダと米国ではマスターカードとして扱われますが、それ以外の地域ではダイナースクラブ カードとして扱われます。ダイナースクラブ インターナショナルの Web サイトには、古い 38 プレフィックス番号への言及はなく、55 または 36 IIN プレフィックスで再発行されたと推測されます。2009 年 10 月 16 日以降、30、36、38、または 39 で始まるダイナースクラブ カードは、ディスカバー カードによって処理されています。^{[ 21 ]}

2014年11月3日、マスターカードは「2」で始まる新しいBIN範囲（222100～272099）を導入すると発表しました。「2」シリーズのBINは、現在使用されている「51～55」シリーズのBINと同様に処理されます。この新しいBINは2016年10月14日に有効になりました。

2014年7月23日、ロシア連邦にJSC NSPKが設立されました。この株式会社は、国家決済カードシステム（NSPK）の運営会社であり、国家決済システム「Mir」の運営者です。NSPKの主な取り組みは、国家決済システムのインフラを構築し、国家決済カード「Mir」を発行することです。

2006年10月1日より、Discoverは650だけでなく、65のプレフィックス全体を使用するようになりました。また、MastercardとDinersの提携と同様に、China UnionPayカードはDiscoverカードとして扱われ、Discoverネットワークで利用できるようになりました。

Visaのアカウント範囲の大部分は16桁のカード番号を規定していますが、13桁のPAN専用のアカウント範囲もいくつか（2013年12月11日時点で40種類）、また、発行者が13桁と16桁のカード番号を混在させることができるアカウント範囲もいくつか（2013年12月11日時点で439種類）存在します。VisaのVPayブランドでは、PANの長さを13桁から19桁まで指定できるため、16桁を超えるカード番号も見られるようになっています。

Switchは2007年半ばにMaestroにブランド変更されました。^{[ 22 ]} 2011年には、英国国内のMaestro（旧Switch）は、いくつかの国固有のルールを残しつつ、標準的な国際Maestroの提案に合わせられました。

EMV認証では、19桁のVisaカード（ADVT 6.1.1テストケース2）とDiscoverカード（E2Eテストプランv1.3、テストケース06）の受け入れが求められます。

クレジットカード詐欺のリスクを軽減するために、銀行カード番号の拡散を防ぐための様々な手法が用いられています。これらには以下が含まれます。

• フォーマット保持暗号化：口座番号を、カードデータのフォーマット（最初の6桁と最後の4桁など、機密性の低い部分を含む）を保持する強力な暗号化バージョンに置き換えます。これにより、決済ITシステムやアプリケーションを変更することなく、データフィールドを保護できます。一般的な用途としては、POS（販売時点情報管理）システムなどのシステムにおけるデータ漏洩のリスクを軽減するために、セキュアリーダーでのカードデータの取得から決済処理ホストまでのエンドツーエンドのカードデータ保護が挙げられます。AES-FF1フォーマット保持暗号化は、NIST仕様SP800-38Gで定義されています。
• PANの切り捨て：カード番号の一部の桁のみをレシートに表示または印刷すること。PCI DSS規格では、PANの最初の6桁と最後の4桁のみをレシートに印刷または表示することが規定されています。ただし、業務上PAN全体が必要な場合を除きます。米国連邦法（FACTA）では、最後の5桁のみの表示が許可されています。PCI DSSの要件と米国連邦法の両方を遵守するため、一般的には、個人が使用されたカードを識別できるように、最後の4桁のみが他の場所に提供されます。
• トークン化：実際の口座番号の代わりに、人工的な口座番号（トークン）を印刷、保存、または送信すること。