Android Payのセキュリティって大丈夫？

さまざまな電子決済が急速に普及しつつある現在。気になることは「スマホで決済して大丈夫なの？」というセキュリティではないでしょうか。

Apple Payが登場して一躍注目されていますが、今後はグーグルによるAndroid Payが登場します。日本上陸が間近であると言われています。おサイフケータイも含めて、モバイル決済が勢いづいてきました。

ファッションや高額商品であれば、クレジットカードやポイントカードによる決済は一般的です。また、Amazonや楽天などECサイトを通じた電子決済も、通信販売と同じように利用されています。しかしながら、リアルな店舗でスマートフォンを使って決済をすることは、日本では発展途上の領域になります。

カードを入れた財布を紛失して、青ざめた経験のある人も多いかもしれません。銀行やクレジット会社に利用停止の連絡をすることは大変で、利用を再開するときにも面倒です。カードのスキミング犯罪やWebサイトの脆弱性を狙った情報漏えいなど、決済の不安は数え切れません。

使わないときには持ち歩かないことができるカードとは異なり、スマートフォンは常に持ち歩きます。そこで置き忘れたり紛失したり、困った場合を想像して不安を抱くこともあるでしょう。

やがて登場するAndroid Payの決済システムで、セキュリティはどんな仕組みなのか、Apple Payとはどう違うのか、注意しなければならないことは何か、ということを確認していきます。

クラウドとトークナイゼーションが特長

Android Payでは、クレジットカードもしくはデビッドカードの登録によりモバイル決済が可能になります。

当初は三菱UFJフィナンシャルグループをパートナーとして展開する予定です。おサイフケータイのように、店頭のカード決済ターミナルでかざしてNFCによる決済ができるほか、ポイントカードやギフトカードも利用できます。リアルな店舗だけでなく、オンライン決済も可能といわれています。

Android Payのセキュリティのポイントは、カードの名義、カード番号、有効期限、セキュリティコードが端末に記録されているわけではないことです。情報はどこに保存されているかといえばクラウドです。グーグルのサーバー上に保存されます。GmailやGoogleドライブなどのオンラインサービスを展開しているグーグルらしい仕様といえるでしょう。

さらに、実際に取引する際には、「トークナイゼーション（Tokenization）」」という仕組みを使います。決済のたびにクラウド上の情報を参照し、AndroidスマートフォンのNFCとカード決済ターミナルを通して、決済を行います。

というと「グーグルのサーバーと通信できないときには使えないのではないか？」と考えるひともいるかもしれません。大丈夫です。トークン（Token）と呼ばれる決済に必要な情報は、一定期間、端末に保管されています。また、期限切れの場合にも、通信できる状態になったときにサーバーと接続して再発行します。OSとは別の安全な領域で守られているため、ウィルスなどの影響も受けにくい信頼性があります。

このように端末自体にカードの情報がないこと、一時的に発行されるトークンを利用して決済するため、セキュリティ面では高く評価されています。

Apple Payのセキュリティと違いは？ 安全性は？

では、Apple Payのセキュリティとの違いを比較します。

最大の違いは、Apple PayではSecure Elementと呼ばれる端末のチップにカード情報が保存されることです。もちろん、安全性を確保された場所ではありますが、端末と別のクラウド上に保存するAndroid　Payとは大きく異なります。ただし、Apple PayにはTouch IDという指紋認証があります。

欧州連合のEuropolによる調査では、サードパーティにNFCのSecure Elementの機能を公開していないiPhoneに対して、Androidではサードパーティが自由にNFC機能を使った決済アプリを作成することができることを指摘しています。（参考：「Androidが犯罪に使われるワケ、NFC決済にセキュリティ脆弱性があるとの報告：モバイル決済最前線」Engadget 日本版、2016年10月3日）。

つまり、Android Pay自体にセキュリティの脆弱性がなかったとしても、サードパーティによる悪質なアプリによって不正な決済が行われる可能性も考えられるということです。オープンな環境であることは利用機会の拡大にも貢献しますが、一方で犯罪の入り込む隙を与えることになります。

現状では「どの決済システムがもっとも安全か？」という問いに明確な答えはありません。モバイル決済は、まだ始まったばかり。Apple PayではSuicaの登録者が殺到したために障害が生じるなどのトラブルもありました。

今後、「あれ？君はまだお財布使っているんだ。スマホじゃないんだ」というような時代になるといいですね。

株式会社キャパでは、アプリの企画・開発についてご相談を承っています。

アプリを作りたいので、具体的な提案が欲しい。頭の中にあるアイデアを本当に実現できるのか知りたい。予算内に収まるのか？
などのお客様のご相談に、親身に応じます。
アプリ開発：実績のご紹介