3Dセキュア2.0(EMV 3-Dセキュア)は、オンラインショッピングにおけるクレジットカード決済時に、不正取引を防止するための本人認証サービスである。3Dセキュア2.0で利用される本人認証の特徴はどれか。

選択肢

• ア利用者がカード会社による本人認証に用いるパスワードを忘れた場合でも、安全にパスワードを再発行することができる。
• イ利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。
• ウ利用者の過去の取引履歴や決済に用いているデバイスの情報にかかわらず、カード会社がパスワードと生体認証を併用した本人認証を行う。
• エ利用者の過去の取引履歴や決済に用いているデバイスの情報に加えて、操作しているのが人間であることを確認した上で、カード会社が追加の本人認証を行う。

正解と解説

正解：イ 利用者の過去の取引履歴や決済に用いているデバイスの情報から不正利用や高リスクと判断される場合に、カード会社が追加の本人認証を行う。

3Dセキュア2.0の最大の特徴はリスクベース認証を採用した点である。カード会社は取引履歴や端末情報などの多数の属性を受け取ってリスクを評価し、リスクが低いと判断した取引では追加認証を省いて決済を通す。逆に不正の疑いが高い取引に限りワンタイムパスワードなどの追加認証を求めるので、安全性と利便性を両立できる。

選択肢ごとの解説

• アパスワード再発行の安全性は3Dセキュア2.0の特徴として規定されたものではない。
• イ正しい。取引履歴やデバイス情報からリスクが高いと判断したときだけ追加認証を行うのがリスクベース認証である。
• ウ履歴や端末情報にかかわらず常に追加認証を課すのでは、利便性向上という2.0の狙いに反する。
• エ人間かどうかの確認（CAPTCHAなど）を前提とする仕組みではない。

この問題に出た用語

• ワンタイムパスワード（TOTP・HOTP）
• 期待値計算（EMV）
• CAPTCHA
• リスクベース認証

同じ分野の他の問題

• 企業内のクライアントからクラウドサービスへのアクセスにSAML認証を利用したときのシステムの動作に関する記述のうち、適切…2024年度 秋期 午前 問37
• 次に示すような組織の業務環境において、特定のIPセグメントのIPアドレスを幹部のPCに動的に割り当て、一部のサーバへのア…2023年度 春期 午前 問45
• クライアント証明書で利用者を認証するリバースプロキシサーバを用いて、複数のWebサーバにシングルサインオンを行うシステム…2022年度 春期 午前 問41
• チャレンジレスポンス認証方式に該当するものはどれか。2022年度 春期 午前 問38
• 複数のシステムやサービスの間で利用されるSAML（Security Assertion Markup Language）…2022年度 春期 午前 問36