ネットショップでクレジットカード決済を導入した際に、決済方式の一つとしてよく耳にする「トークン決済（トークン方式）」。なぜこのようなシステム設計をしないといけないの？と思われる方もいるかもしれません。

そこで今回は、国際基準のクレジット取引セキュリティを実現する上で新たなスタンダードとなっている「トークン決済」についてご紹介します。

情報漏洩リスクを軽減するトークン決済とは

トークン決済（トークン方式）は、お客様（エンドユーザー）が入力したクレジットカード情報をカード会社／決済代行会社のサーバーに送信し、トークン（別の文字列）に変換した上で決済を実施する、クレジットカード情報非通過型の決済です。

お客様が入力したクレジットカード番号は、JavaScriptというプログラミング言語を用いて、以下のようなイメージで変換されます。
（例：カード番号4444 1234 1234 1234 → トークン AaB456japhHkpLv4oPOa5n）

加盟店はこのトークン決済を利用することで、改正割賦販売法にてEC加盟店が要求されるされるクレジットカード情報の非保持化、つまりクレジットカード情報を「保存・処理・通過しない」の実現が可能になります。

またトークンが漏洩したとしても、クレジットカード情報そのものの情報は守ることができ、クレジット取引セキュリティ対策協議会が発表した「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」で推奨されている決済システムの一つです。

国家主導のクレジットカード決済におけるセキュリティ強化

トークン決済の必要性は、クレジットカードの不正利用と大きく関係しています。クレジットカードの不正利用被害は年々増加しており、2023年の被害総額は約541億円、2014年の約115億円と比較して約4.7倍に拡大しています。(一般社団法人日本クレジット協会「クレジットカード不正利用被害額調査」より)。
またクレジットカードの不正利用の分析では、「クレジットカードの偽造」から「クレジットカード情報の漏洩」が主な原因に変わっています。特にEC加盟店の脆弱なセキュリティをついた、インターネット上でのクレジットカード情報の窃取という手口が増えているのです。

こうした背景から、クレジットカード情報を扱う加盟店のセキュリティ対策が急務となっており、経済産業省としてもクレジットカード取引における「国際基準のセキュリティ環境」の整備に向け、加盟店に対して様々なセキュリティ対策の義務化に動いているというわけです。

加盟店に求められるセキュリティ対策

経済産業省が所管する割賦販売法において、クレジットカード情報を取り扱う加盟店には適切なセキュリティ対策の実施が義務付けられています。

クレジット取引セキュリティ対策協議会は、この法律の「実務上の指針」として、2025年3月に最新版となる「クレジットカード・セキュリティガイドライン【6.0版】」を策定しました。

このガイドラインは、以下の2つの柱で構成されています。

1. カード情報保護対策(情報を盗らせない)
【EC取引における対策】
　〇加盟店におけるカード情報の「非保持化」 ※トークン決済はこの非保持化を実現する方法の一つです
　〇カード情報を保持する事業者のPCI DSS準拠
　〇ECサイトの脆弱性対策の実施　※2025年4月以降必須
　　・セキュリティ・チェックリストに基づく基本的なセキュリティ対策
　　・定期的な脆弱性診断の実施
　　・システムの改ざん対策
【対面取引における対策】
　〇クレジットカードのIC化
　〇カード決済端末のIC化対応

2. 不正利用対策(なりすましをさせない)
【EC取引における対策】
　〇EMV 3-Dセキュアの導入※2025年4月以降必須
　　・従来の3Dセキュアから、より高度な本人認証が可能なEMV 3-Dセキュア(3Dセキュア2.0)への移行
　〇適切な不正ログイン対策の実施
　　・多要素認証の導入
　　・アカウントロック機能の実装
　〇セキュリティコードの入力
　〇属性・行動分析(不正検知システム)の活用
　〇配送先情報などを活用した多面的・重層的な不正利用対策
【対面取引における対策】
　〇IC取引の徹底
　〇適切な本人確認の実施

トークン決済がなぜ漏洩対策になるのか

次にトークン決済がなぜクレジットカード情報の漏洩対策になるのかについて、詳しく見ていきます。

ECサイトでクレジットカード決済を行う場合、クレジットカード番号、名義、有効期限などのクレジットカード情報の入力が必要になります。そのクレジットカード番号を、トークン決済ではランダムな別の文字列に置き換えて、通信する方法になります。
（例：カード番号4444 1234 1234 1234 → トークン AaB456japhHkpLv4oPOa5n）

従来のセキュリティ対策は、あくまでインターネット上でクレジットカードの情報が盗まれないように、つまりセキュリティの脆弱性を事前に検知することでクレジットカード情報の流出リスクを極力下げるための対策でした。しかしトークン決済は、カード情報が万が一漏洩した場合を前提に、暗号化の技術（トークン）でクレジットカード番号を別の文字列に変換することで、クレジットカード番号を特定させない手法になっています。どんなに対策を講じていても発生の恐れがある漏洩に対して、暗号化の発想を活かし、一段と高いセキュリティ対策を行っているのです。

【おすすめ】導入実績14,000社以上！インターネット決済代行
ROBOT PAYMENTのトークン決済について

トークン決済のシステムの裏側

「トークン決済」とは、ネットショップでお客様が入力するクレジットカード番号を、JavaScriptというプログラミング言語を用いて、 カード情報を特定できないよう別の文字列（トークン）に置き換えて通信を行い、決済を完了させる決済方式とお伝えしました。
（例：カード番号4444 1234 1234 1234 → トークン AaB456japhHkpLv4oPOa5n）

しかし暗号化した意味のない文字列でどのようにして決済が行われるのか疑問に思われる方もいると思います。また改正割賦販売法の求めるクレジットカード情報の非保持化と定義される「保存・処理・通過しない」を実現できるの意味も少し分かりにくいですよね。そこでここでは図を用いて説明したいと思います。

■トークン決済・データの流れ
➀店舗は消費者のブラウザ上にクレジットカード入力ページを表示します。
➁消費者は、クレジットカード情報などの個人情報を入力し送信します。ここでJavaScriptを利用し、消費者のクレジットカード情報を店舗のサイトを経由せずに、直接決済代行会社に送信しています。
➂決済代行会社がクレジットカード情報を特定できないように、別の文字列に置き換え、つまり「トークン」形式で消費者に返却します。
➃➄ 改めて消費者の個人情報と➂で返却された生成された「トークン」が店舗経由で決済代行会社に送信されます。これにより店舗はクレジットカード情報以外の情報、例えば郵送先などを把握することができます。（また、消費者はあくまで➁の対応のみですが、システム上で➁から➄が実行されています。）
➅決済代行会社では➁で返却したトークン情報と➄で店舗から受信したトークンを照合します。その後対象のクレジットカード情報を復元し、クレジットカード会社に与信依頼を送信します。
➆～➈カード会社より与信結果を決済代行会社、店舗を経由し、消費者に返却します。消費者は購入画面から注文完了を確認します。

図の赤い矢印がトークン決済が活用されている箇所になります。「クレジットカード情報が加盟店のサーバーに経由しない」ため、加盟店からのカード情報の漏えいリスクが軽減されます。また仮にトークン情報が盗まれても、意味のない文字列のためクレジットカード情報に復元ができないという仕組みです。これがトークン決済の最大の特徴です。なお決済代行会社は厳格なセキュリティ審査を経た上でPCI DSSを準拠しているため、クレジットカード情報を取り扱うことが可能になっています。

トークン決済（トークン方式）の導入は「サブスクペイ」にお任せ！

トークン決済（トークン方式）によるクレジットカード決済導入をお考えの事業者様は、ぜひ「サブスクペイ」の導入をご検討ください。
サブスクペイのトークン決済（トークン方式）では、ポップアップ型とカスタマイズ型の２種類から接続方式をお選び頂けます。詳しくはリンク先をご覧ください。