「2ちゃんねるビューアの運営会社からユーザーの個人情報が流出」記事へのコメント

継続課金はセキュリティコードが必要？

[Anonymous Coward]

●は1年で自動更新なんですよね。
こういうのって、一般的にはどうやっているのでしょうか。

Re:

[Anonymous Coward]

いまは、クレジットカード番号は、クレジットカード会社のサーバーに送信し、
そのクレジット顧客IDとクレジットトラッキングナンバーだけ自サーバーに保有しています。
で、継続課金はそのクレジット顧客IDとクレジットトラッキングナンバーを使うわけです。
そのクレジット顧客IDとクレジットトラッキングナンバーが漏れても他所で再利用はできないようになっています。

Re:

[Anonymous Coward]

Twitterの外部サービスにID・PWを預ける古典的手法から、OAuthのトークンを使う形式に、みたいなものでしょうか。
（1回は生情報を預けるのが違うか。なんなら最初からOAuth的に支払金融機関を挟んで、トークンだけ渡す形になればいいと常々思っている。）

Re:

[Anonymous Coward]

JCB系のJ/Secureってそういうサービスだったような。
他もあるのかな？

Re:継続課金はセキュリティコードが必要？

[Anonymous Coward]

いわゆる3Dセキュア [wikipedia.org]ってやつですね。日本における主要4ブランド（VISA、Master、JCB、日本信販）は対応してます。

が、利用は強制されないんですよねこれ。例えばAmazonや楽天は対応してない。

これらを間に挟むと購入までのステップが増えます。その間に購入をやめる人が出るからって言うんで、このサービスを採用しないんだそうです。
さらに近頃はPCからスマフォに利用環境が移りつつあり、スマフォはPCに較べて入力が面倒ですからその傾向は増しているのだとか。
そのため、最近は従来PCでは3Dセキュアによる認証を入れていたサイトも、スマフォからだとカード入れただけで通ってしまうなんてこともざら。そしてガラケー時代と違い、スマフォからのアクセスかどうかはUA以外に検知する方法が乏しいから事実上PCからでもやりたい放題という。いい加減カード会社は横並びで強制してもいいと思うんですがねえ。

Re:

[Anonymous Coward]

手間で言うと、カード情報込みで、カード会社のログインを維持するとかできれば、むしろ入力の手間は減りそうなんですけどね。

カード会社のログインを維持するリスクとしては、店舗にカード情報を保存して、1クリック購入でき、店舗のログインを維持しているのと大して変わらないように思います。
追加的セキュリティとしては、初めての店舗や一定額以上では再認証するとか。
一定額以上という場合、一定期間の全ての店舗での購入の合計額を基準にすれば、店舗側では制御できないものなので、店舗単独の1クリック購入よりはセキュリティが高いとも言えます。

カード情報と、カード会社のログイン情報との比較だと、クラックリスクはどうだろう。