強力な顧客認証

強力な顧客認証（SCA ）は、欧州経済領域内の決済サービスプロバイダーに対するEUの改定決済サービス指令（PSD2）の要件です。この要件は、電子決済のセキュリティを強化するために、電子決済が多要素認証を使用して実行されることを保証します。^{[1] EUでは、物理的なカード取引ではすでに強力な顧客認証（}チップとPIN ）と呼ばれるものが一般的に使用されていますが、この要件が実施される前のEU全体のインターネット取引では一般的には当てはまりませんでした。^[1]また、多くの非接触型カード決済では2番目の認証要素を使用していません。

SCA要件は2019年9月14日に発効しました。^{[2]しかし、}欧州銀行監督機構の承認により、^[3]いくつかのEEA諸国は、その実施を一時的に延期または段階的に行うことを発表しており、^{[4] [5]}最終期限は2020年12月31日に設定されています。^[6]

指令第97条(1)では、支払人が以下の場合に決済サービスプロバイダーが強力な顧客認証を使用することを義務付けています。 ^[7]

(a) オンラインで支払い口座にアクセスする、
(b) 電子支払い取引を開始する、
(c) 支払い詐欺やその他の不正使用のリスクを示唆する可能性のあるリモートチャネルを通じてアクションを実行する。

第4条(30)は「強力な顧客認証」自体を（多要素認証として）次のように定義している。^[7]

知識（ユーザーのみが知っているもの）、所有物（ユーザーのみが所有するもの）、固有性（ユーザー自身）に分類される2つ以上の独立した要素の使用に基づく認証。1つの要素が侵害されても他の要素の信頼性が損なわれることはなく、認証データの機密性を保護するように設計されている。

欧州銀行監督機構は、 SCAのさまざまな「要素」を構成するアプローチに関する意見を発表しました。^[3]

3-D Secure 2.0はSCAの要件を満たすことができます（ただし、常に満たすとは限りません^{[3] ）。3-D Secureは、} Mastercard（Mastercard Identity Check）^[8]とVisa ^[9]によって実装されており、SCA準拠を可能にするものとして販売されています。

電子商取引業者は、認証をサポートするためにウェブサイトやアプリの支払いフローを更新する必要があります。^[10]認証がサポートされていない場合、SCAが完全に実装されると多くの支払いが拒否されます。^[10]

2013年1月31日、欧州中央銀行（ECB）は、インターネット決済のセキュリティに関する勧告を発表し、強力な顧客認証を求めました。^[11] ECBの要件は、技術革新と競争を促進するため、技術的に中立です。ECBへの公開提案^{[12]プロセスでは、強力な顧客認証の3つのソリューションが特定されました。そのうち2つは}信頼認証に基づいており、もう1つはワンタイムパスワードを組み込んだ3Dセキュアの新しいバリエーションです。

その後、欧州委員会はこの要件を含む決済サービス指令の改訂案を起草し、PSD2となった。PSD2の強力な顧客認証は、2019年9月14日以降、電子決済およびクレジットカードの法的要件となっている。^[13]

2016年、Visaは、強力な顧客認証を義務化する提案がオンライン決済を困難にし、オンライン小売業者の売上に悪影響を与える可能性があるとして批判した。 ^[14]

2019年、消費者団体Which?は、多くの英国の銀行がテキストメッセージやプッシュ通知を受信できる携帯電話を要求することでSCAを実装していると指摘した。調査によると、Which?のメンバーのほぼ5人に1人が、受信状態が悪いか携帯電話を持っていないため、他に選択肢がない場合には支払いができないのではないかと懸念していた。^[15]

2020年にコンサルティング会社CMSPIが実施した独立レポートによると、強力な顧客認証（英国を除く）によって引き起こされる潜在的な混乱は2021年に1,080億ユーロに達する可能性があることが判明しました。^[16]

インド準備銀行は、カード非提示取引に「追加の認証要素」を義務付けている。^[17]

オーストラリアで3Dセキュアを義務化する提案は、反対意見を受けて2016年にオーストラリア競争消費者委員会によって阻止されました。^[18]

• 3Dセキュア