【鈴木淳也のPay Attention】停電でもカードが使える 「オフライン決済」を義務化する欧州の事情

現金大国ドイツにおいても近年はクレジットカードが使えるのが当たり前に。ポツダムにて2024年9月撮影

米Mastercardは10月8日(欧州時間)、「Mastercard to keep payments moving during power and network outages across Europe」というプレスリリースを発表した。2027年2月以降、欧州全域で新たに発行されるすべてのMastercardブランドを冠したクレジットカード/デビットカードはオフライン決済に対応し、27年5月までには新規または更新されるすべての決済端末についてもオフライン端末が義務付けられることになるという。

注目したいのはプレスリリースの冒頭だ。25年4月にスペインとポルトガルで発生した大規模停電で推定5,500万の人々がデジタル決済を利用できない環境に追い込まれたという内容で説明からスタートしている。

近年多発する大規模自然災害に加え、インフラを狙い撃ちして社会混乱を巻き起こすなどのサイバー攻撃が激化している背景も踏まえ、金融機関などの連携により決済インフラを守る動きが加速している。

すでに欧州の多くの国でデジタル決済が日常となりつつあるなか、こうした障害においても「オフライン決済」の仕組みを標準化することで対応していこうという流れだ。

いま欧州でオフライン決済導入が進む背景

前述のように、昨今のサイバー攻撃は少し前までの金銭を目的とした企業攻撃のみならず、一部政府機関などからの支援を受けた社会インフラ破壊を目的とした大規模攻撃まで多様化しており、特に欧州ではロシアによるウクライナ侵攻以降顕著になっている。

例えばバルト海における海底ケーブル切断や、特定地域の電力・通信インフラの破壊により、一時的に孤立させることが可能になり、脅威の1つとして論じられる機会が増えた。

バルト三国の1つ、ラトビアの首都リガの街並み

こうした背景に加え、これまで欧州内で進められてきた準備が今回のタイミングで整ったことがMastercardの発表につながった部分が大きい。

土台となるのは欧州内で進められていた法規制で、2023年1月に発効されたサイバーセキュリティ強化を目的とした「NIS2指令(Network and Information Systems Directive 2)」と、2025年1月に施行された金融機関やICTサービスプロバイダにサイバー攻撃への耐性強化を義務付ける「DORA法(Digital Operational Resilience Act)」の2つをベースに金融機関や関係各所の間で対策が進められていたことが挙げられる。

加えて、冒頭で触れたスペインとポルトガルで発生した大規模停電における調査と対策のルール化が1年の時を経て完了したのがこのタイミングだったというわけだ。

デンマーク、スウェーデン、エストニア、ラトビアの北欧とバルト三国では中央銀行や主要銀行がオフライン決済を行なうためのパイロットプログラムが先行運用されており、(オフライン決済で発生し得る)金銭的損失のリスクとメリットに鑑みて社会実装を進めても問題ないという結論が出ている。

具体的には、今夏にラトビア中央部で発生した嵐による大規模停電により携帯電話基地局を含む通信インフラが途絶し、多くの店舗でカード決済が利用できないという事態に陥ったが、一方で自家発電を行なっていた店舗では停電後も引き続きカード決済の受け入れが可能で、そのメリットを対外的にアピールする機会があった。

こうした実績も踏まえ、欧州全土への広域展開に踏み切ったのだとも考えられる。

リガ中心部のアイコンの1つ「ブラックヘッドの館(Melngalvju nams)」

どうオフライン決済を実装しているのか?

実のところ、今回の発表で示された国際ブランドのクレジットカードにおけるオフライン決済の仕組みは真新しいものではなく、以前より業界標準団体のEMVCoが定めるICチップには初期から標準の機能として組み込まれていたもので、今回はそれの有効化を義務化したに過ぎない。

具体的には以前にも触れた「オフライン決済(オフライン承認)」の仕組みと、通信機能回復後に決済データをセンターに送信してバッチ処理で一斉にクリアリング(精算)処理する仕組みを組み合わせたものとなっている。

クレジットカード/デビットカードのICチップにはカード会社(イシュア)が発行時に設定するパラメータが内在しており、今回のオフライン決済に関連するパラメータは下記のようになっている。

• AUC(Application Usage Control - Tag 9F07)：利用地域(場所)の規定。国内外の利用許可のほか、「オフライン処理の許可」も規定する
• Floor Limit(Tag 9F1B)：オフライン決済を許容する上限値(金額)
• LCOL / UCOL(Lower / Upper Consecutive Offline Limit - Tag 9F14, 9F23)：連続してのオフライン決済を許容する回数
• ATC(Application Transaction Counter - Tag 9F36)：カード発行時からの取引回数を記録するカウンター。取引ごとに数字が変化し、イシュア側が保持するデータと比較されるため、例えばクローンカードの作成や同じ取引データによる再決済(リプレイアタック)を防ぐことが可能
• CTTAL(Cumulative Total Transaction Amount Limit)：オフライン決済で累積可能な上限金額。これとは別に「CTTA」というパラメータが存在し、オフライン決済が行なわれた金額を集計している

これらはEMVCoの標準仕様で規定されているものだが、CTTALのみMastercardの独自拡張(プロプライエタリ)となっている。同様のパラメータはVisaなどの他の国際ブランドも持っており、名称こそ異なるものの機能的には同じ仕組みを実装可能だ。

EMVCoが規定するICチップのパラメータの例

オフライン決済を実現するうえでの鍵の1つが「Floor Limit」だ。同じパラメータは決済端末側にもあり、買い物の合計金額が決済端末側の「Floor Limit」を超過していなければオフライン決済のフローに、そうでなければ「Transaction exceeds floor limit」のフラグを有効化して強制オンライン処理に移行する。

次にオフライン決済の処理フローに入った決済端末はクレジットカード/デビットカードのICチップに問い合わせを行ない、ICチップ側の「Floor Limit」「決済回数」「(オフライン)累積決済金額」を確認し、オフライン決済の条件を満たしているかのチェックを行なう。ICチップ側のパラメータはカード発行時にイシュアが、決済端末側のパラメータはアクワイアラが設定するため、両者の「Floor Limit」が一定金額以上に設定されてはじめてオフライン決済が成立するわけだ。

今回のケースの場合、「Floor Limit」は「200€」に設定されており、つまり1回の決済あたり上限200ユーロまではオフライン決済が利用できる。回数や累積決済金額の上限についてはプレスリリースでは言及されていないが、このあたりは各イシュアの判断になると思われる。

このようにオフライン決済の仕組みは、クレジットカードにICチップが搭載され始めた20年以上前にはすでに実装されていたにもかかわらず、今日までほとんど活用されてこなかった。

その理由は決済端末側で「Floor Limit」を「0」に設定する「Zero Floor Limit」の運用が行なわれていたことが大きい。こうすることであらゆる決済トランザクションを強制オンラインに移行することが可能なため、見かけ上はオフライン決済に対応していないようになるからだ。先ほど紹介した記事にもあるように、オンライン通信が発生することによるレスポンス低下や手数料負担増加を避けるためにオフライン決済を活用するケースもあるが、これは不正利用のリスクと表裏一体であり、結局のところ損失回避のためにオフライン決済が制限されていたに過ぎない。

これを法制度と絡めて金融機関の連携で開放したというのが今回の流れだ。

今回の措置により、欧州では1回の取引あたり200ユーロを上限にオフライン決済が可能に

他の国際ブランドや地域のケース

他方で、Visaは近年アクワイアラ各社を通じてセキュリティ対策強化の観点から強制オンライン取引を推進する「Zero Floor Limit」を推奨していたりと、欧州で進んでいる施策と一見正反対の動きが見える。

Visaがこうした動きを見せる理由は2つある。1つはVisaが最大の強みとしている不正検知システムの利用にはオンライン決済が必須であり、これに誘導したいという意図だ。もう1つは不正利用に起因するチャージバック(払い戻し)の責任はVisaのルールでは100％アクワイアラと加盟店側にあるため、「Zero Floor Limit」運用によるリスクの最小化に振りたいというブランド全体でのコンセンサスがあることだ。

このような対極的な動きだが、Visa自身もまたオフライン決済が可能な仕様を抱えていること、先ほど紹介した欧州でのDORA法や2027年以降を見据えたデジタルユーロ法(Digital Euro Act)を勘案すると、この動きに間を置かず追随することになるのではないかと考えられている。

特に現在議論が進んでいる欧州版CBDC(Central Bank Digital Currency)ではオンライン/オフラインの両実装が基本となっており、デジタル金融政策を進めるうえでオフライン決済対応はほぼ既定路線だからだ。

このほかの事例としては、電力や通信事情が安定していない地域での利用を想定したインドでの「UPI Lite」の事例が知られているが、基本的にはICチップ内にオフライン決済を可能にする“閾値”の情報を記録しておき、決済端末側がそれに対応するという流れとなる。

このほか、耐障害性という意味ではSuicaや楽天Edyなどの電子マネーの事例が日本国内にあるが、不正検知の課題もあり、近年のトレンドではむしろオンライン対応必須の流れが加速しつつあるようにも思える。バランスの問題だが、なかなかに難しいところだ。

多くの人で賑わう南フランスのニースの街並み

国内SIerでシステムエンジニアとして勤務後、1997年よりアスキー(現KADOKAWA)で雑誌編集、2000年にプロフェッショナル向けIT情報サイト「＠IT」の立ち上げに参画。渡米を機に2002年からフリーランスとしてサンフランシスコからシリコンバレーのIT情報発信を行なう。2011年以降は、取材分野を「NFCとモバイル決済」とし、リテール向けソリューションや公共インフラ、Fintechなどをテーマに取材活動を続けている。Twitter(@j17sf)