Mastercardペイメントパスキーと、その基盤となるトークン認証サービスは、パスワードレスログインで決済のセキュリティを強化し、シームレスで安全なUXを提供します。
Vincent
Created: July 15, 2025
Updated: July 16, 2025
See the original blog version in English here.
Want to learn how top banks deploy passkeys? Get our 80-page Banking Passkeys Report (incl. ROI insights). Trusted by JPMC, UBS & QNB.
Get Report近年、金融セクターでは、革新的な認証方法でセキュリティとユーザーエクスペリエンスを向上させることへの関心が高まっています。現在、パスキーは銀行(例:Revolut)、フィンテック(例:Finom)、決済プロバイダー(例:PayPal)の間で、非常に魅力的でますます好まれるソリューションとして台頭しています。
これまでのブログ記事では、特にPSD2 / **強力な顧客認証(SCA)**の文脈における、この技術シフトがもたらす影響について幅広く取り上げてきました。
安全な認証の世界を分析し続ける中で、Mastercardはパスキーのための新しいサービス、Mastercardペイメントパスキーを導入しました。このサービスは、技術的なフレームワーク名である**Mastercardトークン認証サービス(TAS)**としても知られており、時代遅れの認証方法を、生体認証(例:Face ID、Touch ID)を活用した安全でシームレス、かつユーザーフレンドリーなアプローチに置き換える戦略的な動きを表しています。このサービスは、オンラインでのチェックアウトプロセスを効率化し、世界中の何百万人もの買い物客にセキュリティと利便性を両立させることを目指しています。この二重のネーミング自体が戦略的であるように見えます。ペイメントパスキーは、消費者や加盟店に対して、生体認証による簡素化されたログインというユーザーメリットを明確に伝えています。一方、トークン認証サービスは、システムを統合する開発者やパートナーに関連する技術的な実装の詳細に響く名称です。
この記事では、Mastercardのアプローチを分析し、ペイメントパスキーの技術、ユーザーエクスペリエンス、メリット、そして業界への影響を探ります。
パスキーの金融サービス分野への統合は、より安全でユーザーフレンドリーな認証への移行を示しています。
その原動力となっているのは、消費者の期待です。Mastercardが過去の声明で明らかにしたように、消費者はパスワードを嫌っています。
Mastercardは、OTPを含むあらゆる共有秘密情報がサイバー犯罪者の標的になっていることを認識しています。そのため、Mastercardはパスワードを個人ベースの要素に置き換えたいと考えています。パスキーは、デバイスの生体認証(例:Face ID、Touch ID)を活用することで、このニーズに効果的に応えます。
さらに、パスキーはフィッシングリスクなど、パスワードに関連する従来のセキュリティ上の問題点を排除します。パスワードを、使い方はシンプルでありながら悪用が困難な暗号鍵に置き換えることで、パスキーはセキュリティ強化とユーザーインタラクションの効率化の両方を目指す金融機関にとって、魅力的なソリューションを提供します。
パスキーのセキュリティモデルは、PSD2に基づく強力な顧客認証(SCA)のような厳しい金融規制の要件と一致しています。SCAは、ほとんどの電子決済や口座アクセスに対して多要素認証を義務付けており、以下の3つのカテゴリから少なくとも2つの独立した要素を用いた検証を要求します。
パスキーはこれらの要件を自然に満たします。デバイスに保存された安全な秘密鍵が「所持」要素を表し、それを解除するために使用される生体認証が「生体情報」要素を表します。デバイスのPINが使用される場合は、「知識」要素を満たすことができます。ただし、業界では同期型パスキーがデバイスの固定に関して何らかの追加保証を提供する必要があるかどうかについて、議論が続いています。
さらに、決済規制では、認証プロセスが特定の取引金額と受取人をユーザーの承認に暗号学的に結びつけることを保証するダイナミックリンキングがしばしば要求されます。パスキーの実装は、特にEMV 3DSのようなプロトコルと統合されたり、セキュア・ペイメント・コンファーメーション(SPC)のような拡張機能を使用したりする場合、これらの取引詳細を暗号署名に組み込むように設計されており、この重要な要件を満たします。
決済におけるパスキーの技術的な詳細、例えば決済プロバイダーとしてiframeをどのように活用するかについて興味がある場合は、パスキーとiframeに関するこちらの記事をお読みください。
Mastercardによるペイメントパスキーの導入は、単独の出来事ではなく、決済セキュリティを進化させ、パスワードレス認証標準を採用するという長期的かつ戦略的なコミットメントの集大成です。
Mastercardは、パスキーとWebAuthnを推進するFIDOアライアンスの初期メンバーの一員であり、2012年にはすでに加盟していました。
過去に、MastercardはすでにMastercard生体認証サービスを開始しており、これはパスキーの方向性への第一歩でした。このサービスは、すでにFIDO標準に準拠するように設計されていました。
2023年9月、Mastercardはパスキーとセキュア・ペイメント・コンファーメーション(SPC)に関する最新情報を提供しました。その中で、Mastercardは標準パスキーとSPCパスキーの潜在的なプロセスについての見解を共有しました。モックアップは(以下でご覧いただけるように)すでに詳細なレベルに達していました。
2024年8月、Mastercardはインドでペイメントパスキーサービスを開始しました。インドは、デジタル決済の量が多く、モバイルの普及率が高いという特徴を持つ市場です。この最初のローンチは、特にOTPベースの詐欺が既知の懸念事項である環境において、スケーラビリティと有効性のための大規模なテストベッドとして機能した可能性が高いです。
インドでのローンチに続き、Mastercardはサービスを他の主要地域にも拡大しました。これには、アジア太平洋(最初はシンガポール)、ラテンアメリカ(ブラジルから開始)、そして中東・アフリカ(MEA)(アラブ首長国連邦から開始)が含まれます。この地域ごとのアプローチにより、Mastercardは実装とパートナーシップを現地の市場動向や規制環境に合わせて調整することができます。
この戦略の重要な要素は、パートナーシップの重視です。各ローンチ地域で、Mastercardは決済アグリゲーターを含む主要な現地プレイヤーと緊密に協力してきました。
これらのパートナーシップは、ペイメントパスキーサービスを既存の決済エコシステムに統合し、現地の規制に対応し、幅広い消費者層にリーチするために不可欠です。これは、トップダウンで画一的なアプローチではなく、柔軟で協力的なモデルを示しています。
2025年6月現在、Mastercardはヨーロッパ全域で安全なチェックアウト戦略を大幅に前進させました。同社は、主にトークン化の広範な採用によって大きな進歩を遂げ、ヨーロッパの電子商取引の約50%が現在この技術を利用しています。トークン化は、機密性の高い決済カード番号を安全なデジタルトークンに置き換えることで、顧客の決済詳細の漏洩を減らし、セキュリティを大幅に強化します。
同時に、MastercardはDintero、Netopia、Solidgateなどの著名な初期パートナーと共にペイメントパスキーの展開を開始しました。ペイメントパスキーはトークン化と比較してまだ初期段階にありますが、その導入はMastercardのより広範なビジョンである、パスワードレスで摩擦のないeコマースと一致しています。
ヨーロッパにおける主な成果:
「トークン化と認証の100%化への道のりを始めて1年、ヨーロッパは力強い勢いを得ています。私たちの最終目標は明確です。2030年までに、ヨーロッパのすべての市場でシームレスで安全、かつパスワードレスのチェックアウト体験を実現することです。」 – Brice van de Walle、Mastercard EVP
これらの進展は、Mastercardの二本立て戦略を浮き彫りにしています。つまり、今日のトークン化の堅実な拡大と、それを補完するペイメントパスキーの戦略的で未来志向の採用です。
Mastercard ペイメントパスキーは、**Mastercardトークン認証サービス(TAS)**によって実現されています。TASは、加盟店やデジタルウォレットが消費者に、従来のパスワードやOTPの代わりに、Mastercardパスキーにリンクされた生体認証を使用してオンライン取引を認証する機能を提供するための基盤となるインフラです。このサービスは単独で機能するわけではありません。トークン化や、場合によってはEMV 3DSフレームワークといった他のMastercardの中核技術と深く統合されており、そのすべてがグローバル標準に準拠しています。
このサービスの重要な側面は、しばしばMDES(Mastercard Digital Enablement Service)と呼ばれるMastercardのトークン化サービスとの統合です。トークン化は、消費者の実際の16桁の会員番号(PAN)を、一意のデジタル識別子または「トークン」に置き換える重要なセキュリティ対策です。このトークンは、特定のデバイス、加盟店、または取引コンテキストに固有のものです。取引が発生すると、トークンのみが送信されるため、加盟店は実際のPANを保存したり扱ったりする必要がなくなり、データ侵害に関連するリスクが大幅に減少します。そして、Mastercard ペイメントパスキーは、正当なユーザーがこのトークン化された認証情報を使用して特定の取引を行う意図を認証するメカニズムとして機能します。
認証自体は、ユーザーのデバイスに保存されたパスキーを利用し、デバイスの生体認証(指紋、顔スキャン)またはデバイスのPIN/パスコードでロックを解除します。パスキーのロック解除に使用される生体認証データは、ユーザーのデバイス上に安全に保持され、Mastercard、加盟店、その他の第三者と共有されることは決してない、という点を理解することが不可欠です。パスキーのメカニズムは、暗号署名プロセスを進める前に、ローカルでの認証(例:Face ID、Touch ID)が成功したことを単に確認するだけです。
具体的な実装の詳細は異なりますが、ペイメントパスキーは、カード非提示(CNP)取引を保護するための業界標準である**EMV 3-Dセキュア(3DS)**フレームワーク内で、またはそれと並行して動作する可能性が高いです。EMV 3DSは、加盟店とカード発行会社との間で豊富な取引データの交換を促進し、発行会社がリスク評価を行えるようにします。取引が高リスクと判断された場合、発行会社はユーザーに追加の認証(SCA)を実行するよう「チャレンジ」することができます。Mastercardペイメントパスキーは、従来のOTPのような方法と比較して、このSCAチャレンジを満たすための安全で、かつはるかにスムーズな方法を提供します。Mastercardの関連サービスであるIdentity Check Expressや加盟店向け委任認証は、EMV 3DSフロー内でFIDO / WebAuthnの機能を明示的に活用しており、加盟店が(発行会社の許可を得て)これらの最新の方法を使用して発行会社に代わって認証を実行できるようにします。
パスキーとトークン化の相乗効果により、多層的なセキュリティアーキテクチャが生まれます。パスキーはユーザー認証ステップを保護し、不正な個人が取引を開始するのを防ぎます。トークン化は、基盤となる決済認証情報を保護し、侵害で漏洩する可能性のあるデータの価値を最小限に抑えます。この組み合わせたアプローチは、複数の角度から詐欺に対処し、取引プロセス全体を大幅に強固にします。さらに、パスキー認証を確立されたEMV 3DSインフラに統合することは、採用を促進する実用的なアプローチです。これにより、発行会社やアクワイアラーは、完全に別の認証システムを導入する必要なく、既存の3DS技術への投資を活用してセキュリティとユーザーエクスペリエンスを向上させることができます。
**EMV 3DS(3-Domain Secure)**と発行会社認証は、オンラインカード決済のセキュリティを強化するために設計されたセキュリティプロトコルです。これには、カード発行会社(例:Mastercard、Visa、American Express)が、パスワード、生体認証スキャン、携帯電話に送信されるOTPなどの方法でカード所有者の本人確認を行う追加のステップが含まれます。このプロセスは、詐欺を減らし、取引のセキュリティを高め、実際のカード所有者が購入を承認していることを保証するのに役立ちます。
Mastercardペイメントパスキーの主な目標の一つは、パスワードやOTPに関連する手間をなくすことで、オンラインでのチェックアウト体験をより速く、よりシンプルで、より安全なものに革新することです。ユーザーの体験は、パスキーの初回作成とその後の決済認証での使用の両方を含みます。
ユーザーは、Mastercardサービスとのやり取りの中で、いくつかの時点でMastercardペイメントパスキーの作成を促されることがあります。一般的なシナリオは次のとおりです。
チェックアウト時のパスキー作成の例を簡単に分析してみましょう。
「支払う」ボタンをクリックした後、ユーザーはサンプルショップ(https://decorshop.com
)からMastercardがホストするウェブページ(https://verify.mastercard.com
)にリダイレクトされます。このサイトはEMV
3DS認証プロセスの一部です。
このプロセスが正常に完了した後、ユーザーはパスキーを作成するオプションを得ます。このパスキーはMastercardのRelying Party ID(例:verify.mastercard.com
またはmastercard.com
)に対して作成されることに注意してください。したがって、パスキーはユーザーが送金したい加盟店に登録されるわけではありません。これにより、同じパスキーを、この特定の加盟店だけでなく、Mastercardのペイメントパスキーサービスを使用するどの加盟店でも使用できるようになります。
出典:https://www.w3.org/2023/Talks/mc-passkeys-20230911.pdf
パスキーを作成することを決定した後、ローカル認証(ここではパスキーをGoogleパスワードマネージャーに保存したAndroidスマートフォン)が実行されます。パスキー作成が完了すると、ユーザーはMastercardのウェブサイトからショップにリダイレクトされます。
出典:https://www.w3.org/2023/Talks/mc-passkeys-20230911.pdf
ユーザーがカード認証情報にMastercardペイメントパスキーを関連付けると、参加加盟店でのチェックアウトプロセスが大幅に効率化されます。
verify.mastercard.com
)への短くシームレスなリダイレクトを体験するかもしれません。ここで、標準のWebAuthnプロンプトが表示され、ユーザーにデバイスの生体認証センサーまたはPINを使用して取引を確認するよう求めます。ローカル認証が成功すると、購入を完了するために加盟店サイトにリダイレクトされます。このフローは、ユーザーがMastercardと直接認証するファーストパーティコンテキストで発生します。出典:https://www.w3.org/2023/Talks/mc-passkeys-20230911.pdf
MastercardペイメントパスキーとClick to Payの相乗効果は特に注目に値します。Click to Payは、消費者がトークン化されたカード情報を保存し、参加加盟店でより簡単にオンラインチェックアウトを行うための標準化された安全な方法を提供します。ペイメントパスキーは、これらの保存されたClick to Pay認証情報にアクセスし、使用するための最新の生体認証レイヤーとして機能します。この組み合わせは、手動でのカード入力とパスワード/OTPチャレンジの両方を排除し、真の「ワンクリック」チェックアウト体験を実現するための鍵となります。MastercardとTap Paymentsによる、ペイメントパスキーサービスと統合されたClick to Payのグローバル初のローンチは、この戦略的な方向性を強調しています。これは、既存のClick to Payインフラと加盟店ネットワークを活用し、ペイメントパスキーの採用のための強力なスケーリングメカニズムを提供します。
以下の表は、考えられる認証フローの主な特徴をまとめたものです。
特徴 | 標準パスキーフロー | SPCパスキーフロー |
---|---|---|
ユーザーの場所 | Mastercardドメインへの短いリダイレクト | 加盟店ドメインにとどまる |
認証コンテキスト | ファーストパーティ(ユーザーがMCと認証) | サードパーティ(加盟店がMCの認証を呼び出す) |
ユーザーエクスペリエンス | シームレスなリダイレクト、WebAuthnプロンプト | リダイレクトなし、詳細付きのブラウザポップアップ |
ダイナミックリンキング | EMV 3DSデータ交換を介して実現 | SPCプロンプト/署名に組み込み |
現在の状況 | WebAuthnを介して広く適用可能 | ブラウザのサポートが限定的/進化中の可能性あり |
加盟店にとって、Mastercardのペイメントパスキーサービス/トークン認証サービスを採用することは、以下のことを意味します。
消費者にとって、このサービスは以下を可能にします。
次の表は、各ステークホルダーグループにとっての価値提案をまとめたものです。
メリットのカテゴリ | 加盟店の利点 | 消費者の利点 |
---|---|---|
セキュリティ | 不正利用とチャージバックの削減、リスクの低減、潜在的な責任の移行 | フィッシング耐性のあるMFA、生体認証セキュリティ、安心感 |
効率性 | 承認率/コンバージョン率の向上、チェックアウトの高速化、カート放棄の減少 | より速くシームレスなチェックアウト、パスワード/OTP不要 |
利便性 | 簡素化された統合(TAS/Click to Pay経由) | 一度の登録で加盟店を横断して利用可能、使い慣れたデバイスのロック解除 |
コスト | 不正利用による損失の削減、運用コストの削減の可能性(例:パスワードリセット/不正利用に関するサポートコールの減少) | (セキュリティ、時間の節約、不正利用や認証失敗に関連する問題の減少による間接的なメリット) |
Mastercardペイメントパスキーのメリットを活用したい加盟店や開発者にとって、統合はMastercardトークン認証サービス(TAS)を通じて行われます。TASは、Mastercardの既存のトークン化およびチェックアウトソリューション、主にClick to Payおよび**セキュア・カード・オン・ファイル(SCOF)**と連携して機能するように設計されています。本質的に、TASは、これらのサービスを介してすでにトークン化され保存されている認証情報を使用する取引に対して、高度な生体認証レイヤーを提供します。
決済におけるパスキーの技術的な詳細、例えば決済プロバイダーとしてiframeをどのように活用するかについて興味がある場合は、パスキーとiframeに関するこちらの記事をお読みください。
パスキー認証をClick to PayやSCOFのような確立されたサービスに統合するというこのアプローチは、加盟店への影響を最小限に抑えることを目的としています。完全に新しい統合経路を要求するのではなく、すでにこれらのMastercardソリューションを利用している企業は、既存のインフラを活用して、パスキーサポートの追加がより効率的なプロセスであることに気づくかもしれません。
Mastercardは、Mastercard Developersポータル(developer.mastercard.com)を通じて統合のためのリソースを提供しています。これらのリソースには、TAS機能の実装を容易にするために設計されたSDKやAPIが含まれています。詳細な技術仕様はポータルへのアクセスが必要ですが、ドキュメントの断片からは、「ID&V(本人確認)後のパスキー作成」、「取引認証後のパスキー作成」、「取引認証のためのパスキー使用」など、決済コンテキスト内でのパスキー管理に関連する特定のユースケースやAPIコールが明らかになっています。これらの定義された機能の存在は、開発者向けに構造化された成熟した統合フレームワークが利用可能であることを示唆しています。
コンセプトを説明する公式ビデオも利用可能です。
Mastercardペイメントパスキーの実装に関心のある加盟店および開発者は、Mastercard Developersポータルで、選択したプラットフォーム(例:Click to Pay、SCOF)および技術環境に関連する詳細なドキュメント、SDK、API、および特定の統合ガイドを参照する必要があります。
Mastercardによるペイメントパスキーサービスの開始は、重要な進展であり、主要な決済ネットワークがパスワードやOTPを超え、より安全でユーザーフレンドリーな生体認証へと移行するという明確なコミットメントを示しています。これは、ヨーロッパなどの地域で2030年までに手動でのカード入力を完全に廃止し、代わりにトークン化やパスキーのようなシームレスな認証方法に依存するという、Mastercardのeコマースの未来に対するより広範なビジョンと一致しています。
この取り組みを行っているのはMastercardだけではありません。Visaも、同様の名前のVisaペイメントパスキーサービスを開始しました。Mastercardのサービスと同様に、VisaのサービスもFIDO標準に基づいて構築され、デバイスの生体認証を利用し、パスワード/OTPの置き換えを目指し、トークン化やClick to Payと統合し、セキュリティ強化(不正利用削減)とユーザーエクスペリエンス向上の両方のメリットを強調しています。Visaは、SMS OTPと比較して最大50%の不正利用率削減の可能性を強調し、FIDOに対する幅広いOSとブラウザのサポートを指摘しています。Visaの資料で言及されている潜在的な違いの1つは、「Visa管理の認証サポート」または「フェデレーションモデル」の概念で、Visaが中核となるFIDO認証の複雑さを処理し、加盟店や発行会社の統合を簡素化する可能性があります。2大カードネットワークが採用した並行戦略や類似した命名規則でさえも、オンライン決済を認証するための将来の標準としてFIDOパスキーへの業界全体の収束を強く示唆しています。この協調的な推進は、相互運用性を促進し、断片化を減らすことで、エコシステム全体に利益をもたらします。
American Expressも、最新の認証技術を積極的に取り入れています。VisaやMastercardのように明確な「ペイメントパスキーサービス」ブランドを立ち上げてはいませんが(2025年5月現在)、FIDO/WebAuthnベースの生体認証機能(顔認証および指紋認証)を既存のSafeKeyプラットフォームに直接統合しています。SafeKey自体は、EMV 3-Dセキュア標準に基づいて構築されています。同じくFIDOアライアンスの理事会メンバーであるAmerican Expressは、したがって、同じ中核となるパスワードレス技術を活用しつつ、それを確立されたセキュリティフレームワーク内に組み込んでいます。これは、SafeKeyの認知度を活用する異なるブランディング戦略、あるいは彼らのネットワークモデルに起因するアーキテクチャ上の違いを反映しているのかもしれません。それにもかかわらず、方向性は一貫しています。つまり、より強力でスムーズなオンライン認証のために、オンデバイスの生体認証とFIDO標準を活用するということです。
Mastercardペイメントパスキーサービスの導入は、オンライン決済のセキュリティとUXの進化における画期的な瞬間を表しています。FIDOパスキー標準を採用し、それをトークン化やClick to Payのような既存のチェックアウトソリューションと緊密に統合することで、Mastercardは従来のパスワードやOTPベースの認証の重大な欠点に対処しています。
この取り組みは、決済エコシステム全体に大きなメリットをもたらします。加盟店にとっては、不正利用による損失やチャージバックの大幅な削減、そして摩擦のないチェックアウトプロセスによる取引承認率の向上とコンバージョン改善を約束します。消費者にとっては、使い慣れたデバイスの生体認証を活用し、パスワード管理やOTPの取り扱いを不要にすることで、より速く、より便利で、明らかに安全なオンライン決済方法を提供します。
フィッシング耐性のある認証とトークン化によるデータ最小化を、確立されたEMVCo標準のフレームワーク内で組み合わせるという技術的基盤は、不正に対する強力で多層的な防御を構築します。Mastercardの戦略的でパートナーシップ主導のグローバル展開は、この技術の重要性と長期的なコミットメントをさらに示しています。
Visaが独自のペイメントパスキーサービスで同様の道を歩み、American Expressが同様の生体認証機能をSafeKeyに統合する中、方向性は明確です。パスキーは、デジタル決済を保護するための新しい標準として急速に普及しつつあります。
Next Step: Ready to implement passkeys at your bank? Our 80-page Banking Passkeys Report is available. Book a 15-minute briefing and get the report for free.
Get the Report
Enjoyed this read?
🤝 Join our Passkeys Community
Share passkeys implementation tips and get support to free the world from passwords.
🚀 Subscribe to Substack
Get the latest news, strategies, and insights about passkeys sent straight to your inbox.
Related Articles
Table of Contents