セキュリティコード

セキュリティコード（英：Security code）とは、クレジットカードの不正使用を防止する為に割り振られた特殊な数字である。

セキュリティコードは、標準のカード番号とは区別される。標準のカード番号には、入力ミスを判定するため、Luhnアルゴリズムによるチェックディジットが別途付与されている。

セキュリティコードはまた、カード会社がセキュリティ確保のために導入している3Dセキュアとも別のものである。これらはカードに印刷も刻印もされないが、決済時に専用のパスワードやワンタイムパスワードの入力が要求される。

 概要 
セキュリティコードは、カード番号・有効期限・サービスコードの3点を、非公開のCVK（Card Verification Key）で暗号化することで算出される。

セキュリティコードの英語表記は国際ブランドによって異なる。下記のほか、CIN（CIDの別表記）やCSC（Card Security Code）といった表記が用いられる場合もある。
国際ブランド英語表記略称VisaCard Verification ValueCVVJCBダイナースクラブディスカバーカード中国銀聯マスターカードCard Verification CodeCVCアメリカン・エキスプレスCard Identification NumberCID
セキュリティコードには以下の種類がある。サービスコードが変化するため、互いに異なる値を取る。一般に、セキュリティコードといえばCVV2/CVC2のことを指すため、当記事でも特に断りがない限りこの慣習に従うこととする。
名称説明CVV1/CVC1磁気ストライプに記録されており、磁気データを改ざんしたり、券面に記載されたカード番号等から磁気データを偽造したりすることを防ぐ。ただし、スキミングにより磁気データ全体が複製された場合は不正を検知できない。CVV2/CVC2券面に記載されており、非対面決済において、購入者の手元に本物のカードがあることを証明する。フィッシング攻撃・覗き見・情報漏洩には対抗できない。iCVV/CVC3ICチップ内で動的に生成され、券面に記載されたカード番号等からICチップを偽造することを防ぐ。決済を行う度に変化するため、CVV1/CVC1よりもはるかに安全性が高い。

 印字位置 
サムネイル|アメリカン・エキスプレス以外の場合、署名欄右上に印字された3桁の数字である。
サムネイル|アメリカン・エキスプレスの場合、カード番号の右上に印字された4桁の数字である。
セキュリティコードは磁気ストライプやICチップには記録されておらず、券面を直接視認することでしか確認できない。すなわち、本物のカードを実際に手元に用意する以外に正しいセキュリティコードを知るすべはない。これにより、スキミングによる盗用を防ぐことができる仕組みとなっている。覗き見や情報漏洩により第三者の手に渡るケースはあるが、この仕組み自体がクラックされた事例はこれまで存在しないため、今もなおセキュリティコードは本人確認手法の一つとして重用されている。

ほとんどの国際ブランドでは、セキュリティコードはカード裏面の署名欄の右上に3桁で印刷されている。セキュリティコードの前にカード番号の一部が一緒に記載されているカードもあるが、その場合は末尾3桁だけ見ればよい。インプリンタで複写する必要がないため、通常はカード番号のようにエンボスされていない。なお、印字位置の例外は以下のとおりである。
 署名欄の外にセキュリティコード欄を設けたカードがある。これは、署名によってセキュリティコードが上書きされてしまうことを防ぐためである。
 アメリカン・エキスプレスの場合、カード表面のカード番号の右上に4桁で印刷されている。

 利点 
セキュリティコードは磁気情報には含まれないため、対面取引においては関与しないが、北米の店舗には対面時にもセキュリティコードを要求するところがある。アメリカン・エキスプレスでは2005年以来、アイルランドやイギリスなどEU諸国で「架空のカードによる取引」を阻止するために行われている。窃盗犯がカードの磁気情報をキャプチャーできない限り、電話やインターネットを使った通信販売で架空のカードは効力を持たず、カード会社にとっては1レベル上のセキュリティが提供される。これによりショップ側はセキュリティコードを視覚的に確認、記録しなければならなくなり、それによりカード所有者に不安を生じさせるかもしれない。

アメリカのVISAの場合、「架空のカードによる取引」を防ぐため、顧客からコードを伝えられたショップ側は、信用照会と取引が正常に終わればセキュリティコード情報を廃棄することを義務づけられている。このようにもし取引情報のデータベースが漏洩した場合でも、そこにセキュリティコードは含まれておらず、クレジットカードの番号だけでは、さほど有用な情報とはならない。

 問題点 
 フィッシングサイトでは要求されるまま顧客はセキュリティコード情報を入力し、まんまと窃盗者の手に渡ってしまう。さらにフィッシング詐欺犯がデータベースのハックやカード使用明細の不正入手によりすでにカード番号を入手している場合、
 セキュリティコードを含むクレジットカード情報は「カード情報非保持化」あるいは「国際セキュリティ規格 PCI-DSS」によって「保管」「処理」「通過」が禁止されている。
 ショップ側が不正にセキュリティコードを保存している場合、その情報がクラッキングやマルウェアによって外部に流出する可能性があり、実際に日本でも起こっている。
 1997年にマスターカード、2001年にVISAが対応したが、まだセキュリティコードを採用していないカード会社もある。セキュリティコードのない取引は一層厳格なセキュリティが必要であり、カード所有者の利益のためにもセキュリティコードが採用されることが望ましいとされる。

 脚注 

 注釈 

 出典 

 関連項目 
 3Dセキュア

Category:クレジットカード
Category:セキュリティ技術