3-Dセキュア実装の旅行系カード加盟店のジレンマ

2019年12月14日

2019年は旅行商材、とりわけ宿泊商材の不正利用が異常なまでに急増しています。

背景には、インバウンド・訪日観光客の増加が一番ではありますが、それ以上に日本のクレジットカード決済環境のセキュリティの弱さが露見し、不正利用者に狙われてしまっていると表現したほうが適切かもしれません。

日本のダイナミックパッケージ（航空券と宿泊を自由に組み合わせられる商材）を取り扱う旅行系ECサイトにおいて、マレーシアからのアクセスにより、同じ日のマレーシアの外資系ホテルの宿泊予約決済5件がカード決済されていました。第三者のクレジットカードによる不正予約です。

同じ日の宿泊5件の予約であることから、利用者による不正な決済というよりは、これを更に第三者に転売している可能性が高いと考えられます。

宿泊商材は決済単価も高く、カード決済の1取引が10万円、20万円になることも一般的です。

今回、不正利用が発生した旅行系ECサイトの不正対策は、業界水準と比較すると高い水準で実施されています。

3-Dセキュア本人認証もほとんどの取引において導入しており、加えて社内での予約・決済情報をモニタリングしています。

その過程で、この旅行系ECサイトでは、「このカード決済5件については怪しい！」と目星を付けていました。

社内で不審な取引であると社内アラートがあがったため、カード会社に対して本人利用かどうかの確認作業を進めていました。

しかし、3-Dセキュアを実装し本人認証済取引と認定されていると、不正利用発生時の被害はカード会社に補償されます。

旅行系ECサイト（カード加盟店）では3-Dセキュアを実装しているため、不正利用は発生していますが、経済的な損失は発生しません。

▲取引イメージ

改正割賦販売法で新たに規定された、アクワイアラー（加盟店管理カード会社）の加盟店管理義務に基づくものです。

不正利用の金額が一定水準を超過することで、「不正顕在化加盟店」として認定されてしまい、カード業界内で加盟店情報が共有されることとなっています。

同様に加盟店、今回のケースではこの旅行系ECサイトになりますが、不正利用を防止することも義務付けられています。

不正顕在化加盟店に認定されないよう不正利用を排除するためには、不正利用が発覚した時点で、以下の発生した全ての取引を取消することが推奨されます。

しかし、旅行系ECサイトでは取消処理ができない事情があります。この(3)の宿泊予約が「返金不可」の商品なのです。

旅行系ECサイトから見た時の「仕入れ」に該当するのですが、この宿泊予約を取消すことができません。

クレジットカード売上処理の取消処理を進めてしまうと、仕入れのみ発生し売上が入金されません。

3-Dセキュアを実装し不正利用対策の一環であるモニタリングも強化しているにもかかわらず、経済的損失が発生してしまうのです。

有識者によるワーキンググループで構成される「セキュリティ評議会」において、クレジットカード不正利用対策を含むセキュリティ強化の方策が議論されています。

その中で家電・チケット・オンラインゲームや電子マネーは「高リスク商材」と言われ、複数の不正対策の実施が必要とされていました。

その様な背景の中、繰り返しになりますが、2019年に入り宿泊商材におけるカード不正利用被害は急増しており、この「高リスク商材」に認定されてしまうのも時間の問題と見られています。

現行の経済産業省の実行計画によると、高リスク商材の取扱い加盟店では、一般の加盟店以上により多くの不正対策の実施が求められることになります。

利便性とセキュリティはトレードオフと言われています。

換言すると、セキュリティ強化によってクレジットカード利用者の宿泊予約が今以上に面倒・煩雑になってしまいます。

宿泊施設としても、返金不可をコミットしてもらうことにより、より良い条件での販売を実現している事情もあります。

しかし、宿泊施設利用者の利便性を損なうことは、すなわち宿泊施設側の首を絞めることにも繋がりかねません。

利用者の利便性を中長期で担保するためには、クレジットカードの不正利用の実情の理解を深めるなど、クレジットカード業界からの情報提供、啓蒙活動の必要性が感じられます。