インターネットバンキングやキャッシュレス決済を使う際に「トークン」という言葉をよく目にすることもあるのではないでしょうか。
インターネットバンキングは、24時間いつでもどこでも使えて便利ですが、第三者によるなりすましや不正送金なども横行しています。トークンによるワンタイムパスワードは、不正利用への対策の一つです。
また、スマートフォンやパソコンの普及、そしてコロナ禍によりインターネットでキャッシュレス決済を使う機会も増えています。一方で、クレジットカード情報が漏洩するなど第三者による不正利用被害も増えました。
そこで、キャッシュレス決済の安全性を高めるための技術として、トークン決済が注目されています。
今回は、キャッシュレス決済におけるトークンやトークン決済の仕組みをわかりやすく解説します。ぜひご一読ください。
トークンとは？
トークン（token）の英語訳は、しるし、象徴、代用貨幣、商品券などの意味です。英語訳から派生して、仮想通貨そのものを意味することもあります。
インターネットバンキングでは、本人認証時に使うパスワードの生成機器を一般的に「セキュリティトークン（トークン）」と呼んでいます。
トークンの役割は、インターネットバンキングなどで本人確認をする際に必要な「ワンタイムパスワード」の自動的な生成です。トークンには1つずつシリアルナンバーがあり使用者と紐付けられています。トークンを所持しているのは使用者本人のみなので、第三者によるなりすましの防止が可能です。
ワンタイムパスワードは一度使用するか、30秒や1分など一定期間が過ぎると無効になります。仮にワンタイムパスワードが漏洩しても無効になっている可能性が高く、セキュリティリスクを低減できます。
トークンには、ハードウェアトークンとソフトウェアトークンの2種類があります。
ハードウェアトークン
ハードウェアトークンはキーホルダー型やカード型など物理的な実体のある機器です。本体のボタンを押すと液晶画面にワンタイムパスワードが表示されます。
キーホルダー型は小さく携帯しやすいのが特徴です。カード型はクレジットカードと同じくらいの大きさで、財布やカード入れに入れて持ち歩けます。従来はキーホルダー型が主流でしたが、現在はカード型やソフトウェアトークンへの移行が進んでいます。
ハードウェアトークンは、トークン自体を紛失すると不正利用される可能性もあり、携帯する際には注意が必要です。
ソフトウェアトークン
ソフトウェアトークンは、スマートフォンやタブレットにアプリをインストールして使用するものです。アプリを起動すると画面にワンタイムパスワードが表示されます。
ハードウェアトークンのように、トークンを持ち歩かなくて良いのがメリットです。スマートフォンやタブレットを機種変更するときにはアプリの再登録が必要です。
注意点として、ソフトウェアトークンは、スマートフォンやタブレットがウイルスに感染すると情報を盗まれる可能性があります。ソフトウェアトークンはアプリを開くだけで使用できるため、スマートフォンにIDや暗証番号などの情報も保存されていると、悪用される可能性がさらに高まるでしょう。
スマートフォン自体にロックをかけておくほか、暗証番号はスマートフォンに保存しないなど、細心の注意が必要です。
トークン決済とは？
今まで説明したトークンとは別に、キャッシュレス決済では「トークン決済」という言葉もよく使われます。
トークン決済とは、商品などを購入する際に使用するクレジットカード情報を別の文字列に置きかえて決済する方法で、置きかえられた文字列を「トークン」といいます。先ほど説明した「セキュリティトークン」の意味での「トークン」とは意味が異なるので注意してください。
商品の販売店にはクレジットカード番号ではなく、トークンのみが伝えられます。トークンからカード番号は特定できません。クレジットカード情報は決済代行会社へ直接送信され決済が完了するため、セキュリティリスクを低減できます。
トークン決済が求められるようになったのは、キャッシュレス決済でのセキュリティ基準を満たす必要があるからです。
以前はカード会社ごとにクレジットカード情報保護の基準がありましたが、インターネットの普及により不正利用が世界規模で発生するようになり、共通の対策基準が求められるようになりました。
そのため、現在では国際カードブランド5社が共同でPCI DSS（Payment Card Industry Data Security Standard）という世界共通のセキュリティ基準を運用、管理しています。
日本でも、2018年に割賦販売法が改正され、カード情報の適切管理や不正利用防止措置が義務づけられました。そのガイドラインとしてクレジット取引セキュリティ対策協議会による「クレジットカード・セキュリティガイドライン」が定められており、非対面決済の場合はクレジットカード情報を「非保持化」するか、カード情報を保持する場合は「PCI DSS準拠」が求められています。
非保持化を実現する方法として、リダイレクト型（リンク型）決済やトークン型（JavaScript型）決済が使われています。
トークン決済の仕組み
トークン決済の流れは以下のとおりです。
- 購入者が決済画面でクレジットカード情報を入力
- カード情報はJavaScriptにより販売店を経由せず、直接決済代行会社へ送信
- 決済代行会社はクレジットカード情報をトークン化して購入者へ返信
- 購入者はトークンと決済に必要な個人情報を販売店に送信
- 販売店は決済代行会社へトークンを送信
- 決済代行会社が購入者へ返信したトークンと販売店より届いたトークンを照合
- 照合結果が正しければ、クレジットカード情報を復元してクレジットカード会社へ与信依頼
- クレジットカード会社は決済代行会社へ与信結果を返却
- 決済代行会社は販売店へ与信結果を返却
- 販売店は購入完了画面を表示
トークン決済では、販売店に必要なのはトークンだけでカード情報は必要ありません。そのため、クレジットカード・セキュリティガイドラインが求める非保持化が実現できます。
トークン決済を導入するメリット
トークン決済のメリットとして、クレジットカード・セキュリティガイドラインが求める非保持化が可能になります。
仮にトークン情報が漏洩しても、一度決済されるとそのトークンは無効になり使用できないため、不正利用される心配がありません。また、トークンからクレジットカード情報への復元も不可能です。
ほかにも、トークン決済ではリダイレクト型決済のように外部サイトへ遷移しないため、離脱率が減ることもメリットでしょう。
トークン決済を導入するデメリット
トークン決済のデメリットには、費用が必要なことが挙げられます。システムを導入するための初期費用、決済1件ごとに発生する手数料、月額利用料の3種類の費用が必要です。
また、トークン決済はトークン化スクリプトを改ざんされるとカード情報を盗まれる可能性もあります。決済代行会社により提供するトークン決済方式が違うので、安全な決済方式を採用している決済代行会社を選びましょう。
暗号化とトークン化の違いとは？
トークン化は暗号化と何が違うのでしょうか。
暗号化は特定の規則（アルゴリズム）で変換されるもので、アルゴリズムがわかれば復号が可能です。また、暗号化はテキストファイルや音楽ファイルなど、構造化されていないデータも保護できます。反面、強力なアルゴリズムを使用すると暗号化・複合化に時間がかかり、パフォーマンスが低下する可能性があります。
一方で、トークン化は元のデータを不規則な文字（トークン）に置きかえて、元データと1対1で紐付けるものです。セキュリティ上リスクの高い環境ではトークンを使い、元データの露出を最小限に抑えられるのがメリットです。
クレジットカード情報だけでなく、銀行の口座番号、運転免許証番号、メールアドレス、マイナンバーなどの機密情報の長期保護にも使用可能ですが、データが構造化されている必要があります。
また、トークン化では元のデータと長さやフォーマットが変わりません。例えば、クレジットカードの16桁の番号はトークン化しても16桁のままです。そのため、システムへの影響が少なくて済みます。
ほかにも、暗号化のように複雑なアルゴリズムを使うわけではないため、パソコンへの負荷を抑えられるのもメリットでしょう。
【まとめ】キャッシュレス決済におけるトークンの仕組み
キャッシュレス決済で使われるトークンには、セキュリティトークンとして使われる場合とトークン決済で使われる場合の2つの意味があります。
セキュリティトークンでのトークンとは、ワンタイムパスワードを生成する機械で、インターネットバンキングなどには欠かせないものです。
一方で、トークン決済でのトークンとは、クレジットカード情報をランダムな文字列に置きかえたもののことをいいます。トークンをクレジットカード情報代わりに使えば、カード情報の露出が抑えられるほか、カード情報を保持する必要がなくなり、高いセキュリティを実現可能です。
トークン化は、暗号化と異なり復号される心配がありません。一方で、トークン化可能なデータはクレジットカード情報や銀行の口座番号など構造化されているものに限られます。テキストファイルや音楽ファイルなど構造化されていない一般的なデータは、トークン化ではなく暗号化で保護しなければなりません。
キャッシュレス決済を導入する際には、こうしたトークンの仕組みや暗号化との違いを知っておくと、より安全でしょう。
トークン決済への対応や標準暗号化方式の「トリプルDES」、暗号鍵管理方式「DUKPT」、PCI DSSへ対応しているかなど、決済代行会社のセキュリティレベルも確認しておくことをおすすめします。
新規導入の電話相談はこちら
TEL：0120-343-577
(平日10:00−18:00)
