カードセキュリティコード

カード セキュリティ コード( CSC 、CVC、CVV、またはその他の名前でも呼ばれる) は、銀行カード番号に加えて、クレジットカードまたはデビット カードに印刷される (エンボス加工されていない) 一連の数字です。 CSC は、カード所有者が ( POS 取引やカードを提示する取引の場合のように)暗証番号(PIN) を手動で入力できない、カード非提示取引のセキュリティ機能として使用されます。 これは、クレジットカード詐欺の発生を減らすために導入されました。 カード番号とは異なり、 CSC は意図的にエンボス加工されていないため、エンボス加工された番号しか読み取れない機械式クレジットカード インプリンタを使用しても読み取られません。

これらのコードは、カード発行会社によって記載場所が若干異なります。Visa、Mastercard、Discoverクレジットカードの CSC は、カード裏面の署名欄の右側にある 3 桁の番号です。American Expressの CSC は、カード表面の口座番号の上に記載されている 4 桁のコードです。例については、右の図を参照してください。

CSC はもともと、 1995 年に英国でEquifax の従業員 Michael Stone によって 11 文字の英数字コードとして開発されました。Littlewoods Home Shopping グループとNatWest銀行でテストした後、このコンセプトは英国決済決済サービス協会(APACS) に採用され、現在知られている 3 桁のコードに簡素化されました。Mastercardは1997年に CVC2 番号の発行を開始し、米国のVisa は2001 年までに発行しました。American Express は、インターネット取引の増加と、カードのセキュリティが疑われると支払いが中断されるというカード会員の苦情 に応えて、1999 年に CSC の使用を開始しました。

非接触型カードやチップカードは、iCVVや動的CVV などの独自のコードを電子的に生成することができる。366

コードにはさまざまな名前があります。

• 「CSC」または「カードセキュリティコード」：デビットカード、^{[どれ？ ]}アメリカンエキスプレス（カード裏面の3桁の数字、3CSCとも呼ばれる）^[1]
• 「CVC」または「カード検証コード」：Mastercard
• 「CVV」または「カード検証値」：Visa
• 「CAV」または「カード認証値」：JCB
• 「CID」：「カードID」、「カード識別番号」、または「カード識別コード」：Discover、American Express（カード表面の4桁）。American Expressは通常、カード表面の4桁のコード（カード識別コード（CID）と呼ばれる）を使用しますが、カード裏面の3桁のコード（カードセキュリティコード（CSC）と呼ばれる）も使用します。American Expressは「ユニークカードコード」と呼ぶこともあります。^[2]
• 「CVD」または「カード検証データ」：発見
• 「CVE」または「Elo 検証コード」:ブラジルのElo
• 「CVN」または「カード検証番号」、または「カード検証番号」：China UnionPay、Google Ads ^[3]

• 「SPC」または「署名パネルコード」^[4]

セキュリティ コードと PVV にはいくつかの種類があります (すべて、 PAN、有効期限、サービス コードを 使用して HSM モジュールの銀行の DES キーから生成されます)。

• 最初のコード（3 つの数字）は CVC1 または CVV1 と呼ばれ、カードの磁気ストライプのトラック 1 と 2 にエンコードされ、署名付きのカード プレゼンス取引に使用されます（2 番目のトラックには PIN 検証値 PVV も含まれますが、現在では通常すべてゼロに設定され、サービス コードも含まれています）。このコードの目的は、支払いカードが実際に販売者の手元にあることを確認することです（したがって、CVV2 とは異なる必要があります）。このコードは、カードの磁気ストライプが POS （カード プレゼンス）デバイスで読み取られ（スワイプされ）、発行者によって確認されると自動的に取得されます。制限として、カード全体が複製され、磁気ストライプがコピーされた場合、通常はその後署名が必要になりますが、コードは引き続き有効です。（クレジットカード詐欺 § スキミング を参照してください。）
• 2 番目で最もよく使用されるコードは CVV2 または CVC2 です。このコードは、オンライン購入など、カードを提示しない取引で販売業者によってよく使用されます。西ヨーロッパの一部の国では、カード所有者が直接来店していない場合に、カード発行会社が販売業者にコードを取得することを要求しています。サービス コード 000 を使用します。
• 非接触型および/またはチップEMVカードは、iCVV と呼ばれる独自の電子生成コードを提供します。サービス コード 999 を使用します。これは、EMVCo の公開標準で説明されています。
• 消費者デバイスカード保有者検証方法（略してCDCVM）は、ユーザーのモバイルデバイス（スマートフォンなど）を使用してユーザーの身元を確認するタイプの本人確認です。たとえば、デバイスの生体認証機能（Touch IDやFace IDなど）やデバイスに設定されたパスコードを使用できます。これは、 Apple Pay、^{[5] 、} Google Pay ^[6]、Samsung Pay ^[7]など、多くの支払いシステムでサポートされています。

カード セキュリティ コードは通常、カード番号のようにエンボス加工されておらず、カード裏面の署名欄に印刷された最後の 3 桁または 4 桁の数字です。ただし、American Express カードの場合、カード セキュリティ コードは表面の右側に (エンボス加工ではなく) 印刷された 4 桁の数字です。カード セキュリティ コードは磁気ストライプにエンコードされているのではなく、平面で印刷されています。

• American Express カードには、カード表面の番号の上に 4 桁のコードが印刷されています。
• Diners Club、Discover、JCB、Mastercard、Visa のクレジットカードとデビットカードには、3 桁のカード セキュリティ コードがあります。このコードは、カードの裏面の署名欄に印刷されている最後の数字のグループです。
• 新しい北米のマスターカードとビザカードでは、署名欄の右側の別のパネルにコードが記載されています。^[8]これは、カードに署名することで番号が上書きされるのを防ぐためです。

各カードのCSC（フォーム1と2）は、カード発行時にカード発行会社によって生成されます。これは、銀行カード番号と有効期限（カードに印刷された2つのフィールド）をカード発行会社のみが知っている暗号化キーで暗号化し、その結果を10進数化することで計算されます（ハッシュ関数と同様の方法）。^{[9] [10] [11]}

セキュリティ対策として、「カード非提示」取引にCVV2を必要とする加盟店は、個々の取引が承認されると、カード発行会社からCVV2を保存しないように要求されます。^[12]この方法では、取引データベースが侵害された場合、CVV2は存在せず、盗まれたカード番号はあまり役に立ちません。仮想端末と支払いゲートウェイはCVV2コードを保存しません。そのため、これらのWebベースの支払いインターフェースにアクセスできる従業員とカスタマーサービス担当者は、完全なカード番号、有効期限、およびその他の情報にアクセスできますが、CVV2コードはまだ入手できません。

ペイメントカード業界データセキュリティ基準(PCI DSS) では、取引承認後の CSC (およびその他の機密承認データ) の保存も禁止しています。これは、カード所有者データを保存、処理、または送信するすべての人に世界中で適用されます。^[13] CSC はカードの磁気ストライプには含まれていないため、カードが加盟店で対面で使用される場合、通常は取引に含まれません。ただし、シアーズやステープルズなど、北米の一部加盟店では、このコードが必要です。アメリカンエキスプレスカードの場合、これは 2005 年の初めからアイルランドや英国などの欧州連合 (EU) 諸国で (「カードを提示しない」取引の場合) 常に行われている慣行です。これにより、銀行/カード所有者は、詐欺的な加盟店または従業員がカードの磁気ストライプの詳細を簡単に取得して、後で電話、メールオーダー、またはインターネットでの「カードを提示しない」購入に使用することができないという点で、ある程度の保護を受けることができます。これを行うには、販売店またはその従業員が CVV2 を視覚的に確認して記録する必要があり、カード所有者の疑いを引き起こす可能性が高くなります。

取引時に CSC コードを入力する目的は、顧客がカードを所持していることを確認することです。コードを知っていると、顧客がカードを見たか、カードを見た誰かが作成した記録を見たことが証明されます。

制限事項は次のとおりです:

• CSC の使用は、カード所有者が詐欺サイト経由で他のカード情報とともに CSC を入力するように騙されるフィッシング詐欺から保護することはできません。フィッシングの増加により、CSC の詐欺防止手段としての実世界での有効性は低下しています。また、フィッシング詐欺師がカードのアカウント番号をすでに入手し (おそらく、販売店のデータベースをハッキングするか、不適切なレシートから)、被害者にこの情報を提供して(被害者を安心させ)、CSC を要求する (フィッシング詐欺師が必要とするのは CSC だけで、詐欺の目的も CSC です) という詐欺もあります。^[14]
• CSC は、商人が一定期間保存することはできないため^[12] (CSC が引用され、その後承認された最初の取引の後)、定期的なサブスクリプションに対してカードに定期的に請求する必要がある商人は、最初の取引後にコードを提供することができません。しかし、決済ゲートウェイは、承認プロセスの一部として「定期請求」機能を追加することで対応しています。
• 一部のカード発行会社は CSC を使用していません。ただし、CSC を使用しない取引では、加盟店のカード処理コストが高くなる可能性があります^{[引用が必要]}。また、CSC を使用しない不正な取引は、カード所有者に有利な形で解決される可能性が高くなります^{[引用が必要] 。}
• 商人が取引を行うためにセキュリティ コードを要求することは必須ではないため、カード番号のみがフィッシング詐欺師に知られている場合でも、カードは詐欺の被害に遭う可能性があります。たとえば、Amazon では、取引を完了するためにカード番号と有効期限のみが必要です。
• 詐欺師は分散攻撃を利用してCSCを推測することが可能です。^[15]

• 3Dセキュア
• クレジットカード詐欺
• 8583 規格