クレジットカードのセキュリティコードは何のためにある？

paypayでクレジットカードを不正利用されたことが話題になっています。すでにどこかで漏れていたクレジットカードの番号を入れて、セキュリティコードについては総当たりで割り出されたのではないかと噂されています。

セキュリティコードとはインターネットショッピングの際にセキュリティを高めるための一つの方法です。カードにカード番号とは別にセキュリティコードが印字されています。カード実体を見ないと分かりませんので、カード番号か漏れた時に一つのガードになります。

ただ、フィッシングサイトで促されるままにカード番号やセキュリティコードを入力してしまうと、そのまま犯人に情報が漏れてしまい何のセキュリティ強化にも繋がらなくなるので、取り扱いには万全の注意が必要です。

マスターカードやVISAはカードの裏に3桁の番号で印字されています。アメリカンエキスプレスカードはカードの表に四桁の番号で印字されています。

すでにpaypayではセキュリティコードを何回も間違えたらロックをかける仕組みを導入しました。

これをきっかけにして、ヨドバシカメラの通販サイトで、間違えたセキュリティコードを入力したらどうなるのかを実験した人がいます。この人は決済が終わってしまって商品も届いたそうです。

とすると、一体セキュリティコードとは何のためにあるのか？という話になります。

この件に関して窓口に問い合わせした結果がこちらで紹介されていました。

セキュリティコード間違えたのにクレカ決済できるのはなぜ？　ヨドバシECサイトに疑問の声　仕組みを広報に聞く

決済サービス「PayPay」におけるクレジットカードの不正利用問題（関連記事）に関連して、大手家電量販店「ヨドバシカメラ」のオンラインショップ「ヨドバシ・ドット・コム」でクレジット決済をする際、「セキュリティコード」を間違えていても決済でき...

nlab.itmedia.co.jp

この記事によれば、ヨドバシカメラでは色々な要素でカード使用の正統性の評価をしているので、セキュリティコードが間違えていても認証が通る場合があるようです。

セキュリティコードに関しては、もしも間違っていたら、必ずエラーで弾くべきだと思うのですが、なぜヨドバシがこのような対応をしているのか謎です。

【2019/07/29追記】

週刊誌のエコノミストを読んでいると、PayPayのクレジットカード不正利用に関して興味深い調査結果が掲載されていました。

クレジットカードのセキュリティコードを何回でも入れられるようにしておいたことが不正利用につながったのではないかと言われていましたが、後の調査で、20回以上の誤りでカードが登録されたケースで利用者本人以外が登録したケースは3件しかなかったそうです。

とすると、PayPayに不正に入手したクレジットカード番号を登録した犯人は事前にセキュリティコードも手に入れていたことになります。クレジットカードそのものにセキュリティコードが印字されているので、それほど秘匿性が高い情報だと思わない方が良いということなのでしょう。