容認報道」の真相は?担当者が語るEMV取引の“あるべき姿”決済カードの世界市場において最大のシェアを持つ国際ブランド、ビザ・ワールドワイド(Visa)は、技術・サービス開発、セキュリティ対策の領域でも、常に業界を先導する立場にある。今回はEMV化の進捗状況、カードの偽造被害とEMVの相関関係、今後の展開、そして業界にインパクトを与えた「Visaが『チップ&サイン』を容認」などと伝えられた報道に関し、真意を語ってもらった。データ流出の地域格差がEMVの進展状況を反映EMVの普及を推進する背景の一つとして、Visaはまず世界市場におけるデータ流出の実態を示した。カントリーリスクダイレクターの井原亮二氏によると、「データ流出は頻度・規模ともにエスカレートし、地域によって格差が出てきている」という。北米はこの数年で急増し、2010年の447件から2014年は696件、アジアでも19件から106件に増えている。ヨーロッパは減少傾向にあり、中央アジア、中南米でもそれほど目立った伸びは見られない。「地域による格差は、EMV化の進捗と関係があると見ています。対応が遅れている米国では、流出したデータから偽造カードが作られ実際に被害が拡大している。した状況からも、偽造防止に有効なEMVの推進は欠かせないのです」(井原氏)EMV仕様のチップに格納するデータは、イシュア固有の秘密鍵で暗号化してあり、第三者が勝手にチップからデータを読み出すことはできない。オーソリを飛ばした時のデータが、仮に伝送路上の暗号化の不備で傍受されても、特別なフラグを挿入してあるため、そのデータを不正利用したトランザクションはシステム側で弾くことができる。米国はエンジン全開で推進ワールドワイドの市場において、EMV対応の端末でカードが処理されたトランザクションの比率は、POS(CCT:クレジット決済専用端末を含む)が74%、ATMも69%に達している(図)。日本はPOSが17%、ATMは0%という状況だ。米国もそれぞれ7%と3%しかない。ヨーロッパをはじめ、カナダ、アジア太平洋地域などは、いずれも高いレベルにある。2015年中には、「EMV勢力地図」が塗り変わる可能性が高まっている。EMV対応については世界でも最も遅れていた米国が、一気に巻き返そうとしているからだ。Taskforce」を組織し、今年12月までに米国のイシュアが発行しているカードの半数に相当する5億7,500万枚以上をICカードにする目標を掲げた。POS端末の対応は47%、全カード取引の29%をEMV仕様に沿ったものにする。部長の鈴木章五氏はこう解説する。「EMV化推進に至る要因の一つは、大手加盟店からの深刻なデータ流出が発生し、世間の目が厳しくなっていること。流出事故の多発を受け、オバマ政権もカード決済の安全強化を打ち出しました。「ライアビリティ・シフト」とは、日本語で言うと「債務責任の移行」に相当する。EMV対応カードによる磁気取引が行われた場合、不正被害の責任がこれまでのイシュア(カード発行会社)側から、アクワイアラ(加盟店管理会社)側に移るというものだ。した動きに対し、鈴木氏は日本だけが置いていかれる事態を危惧する。EMV対応が遅れていた国で環境整備が進むと、犯罪者はガードが手薄な地域に流れるからだ。日本国内における海外の偽造カードを使った不正は増加傾向にあるという。化の普及状況(地域別)。米国と日本の遅れが目立つが、米国は急速に進展している。政策の力を追い風にする国内では、カードのEMV化は約70%に達しているが、決済端末の対応が進んでいない。CCTについては、ほぼEMV対応が行われているが、課題は大手加盟店を中心に導入されているPOS端末である。日本のPOSは多機能、かつ導入店舗向けに作り込まれた部分も多く、シンプルな米国のPOSに比べ改修コストが高い。問題は、このコストを誰が負担するのか、という点にある。これまで、加盟店、カード会社、国際ブランド、POSベンダー等のステークホルダーによる検討が行われた経緯もあるが、結論には至っていない。業界には追い風も吹いている。連名で「キャッシュレス化に向けた方策」が公示された。ここではカードのIC化率を100%に、POSのIC対応は国際ブランドや関連する事業者間で調整を進めるべき、と明記されている。セールス&ソリューションズヘッドの白井克始氏は、国内にも着火の兆しは見えてきたと話す。「危機感に強弱はありますが、最近は大手加盟店の中でも、世界の情勢と国の方針を加味し、EMV対応を事業計画に盛り込むところが出てきました。「当局の要請」も配慮2015年5月、VisaがICカードの本人認証に暗証番号を使う「チップ&PIN」に加え、サインも容認するとの報道が一部のメディアで流れた。白井氏は、「これは大きな誤解です。Visaは“PINはいらない”とも“サインでいい”とも一言も言っていません」と説明する。そもそも本人認証の方法として、PINやサインの使い方を決めるのは国際ブランドではなく、各国の当局や業界団体であって、Visaはその立場にない。オーストラリアや英国はPINを必須とし、シンガポール、香港ではサインを基本としているという。業界にインパクトを与えたのは、カード会社に配信された1通の文書だ。ここでVisaは、決済端末が具備すべき機能要件の変更、具体的には「PINパッド、もしくはPINパッドをつなげるポートを装備」と記した。ハードウェアのPINパッドは必須ではなく、サポートするポートがあればいい。「ポート」は物理ケーブルの差込み口以外にも、Bluetoothなどで接続するインターフェースを含む。「今回は端末機能要件の変更で、本人認証の方式に触れたものではありません。世界各国で当局が決めたルールをきちんとサポートできればいいわけです。グローバルなルールは、“PINパッド、もしくはサポート用のポート”。今回の改定は、グローバルルールに合わせたものです」(白井氏)経済産業省や日本クレジット協会(JCA)では、EMV決済に伴うPINやサインに関する規則は定めていない。経産省とVisaは、ずっとPINを推奨してきた。この時期にグローバルルールに合わせたのには理由がある。それは他ならぬ、「当局の要請」だ。2020年に向けEMVを推進していく過程で、コスト面や達成時期などで大きな支障がでる可能性があれば、「柔軟な対応」も許容する姿勢が求められたという。「磁気カードを使う取引には、一定金額以下はサインレスにできるルールがありますが、EMVにはPINレスのルールがまだありません。これから議論することになりますが、百貨店の食品売場など、少額取引が中心で現状は磁気でのサインレス運用になっている場所もある。した環境でもすべてEMVのフルスペックを求めるのは、あまり現実的ではありません」つまり理念は「チップ&PIN」だが、使わないと想定できる場では高価なデバイスを付ける必要はないという考えだ(この場合もポートは必須)。安全な決済環境の整備を急ぐ国の方針に対し、「柔軟な対応」で応えたのが今回のVisaの判断だったという訳だ。これによりVisaの言う“誤解”が生じていた格好だが、EMV化の減速要素を取り払うためにも、詳細な情報開示と意思の疎通、コンセンサスを期待したい。