16日クレカ大規模障害の原因「Cybersource」とは？　決済ゲートウェイの役割解説

7月16日の午前中から昼前後の時間帯にかけて、クレジットカードの大規模障害が発生した。ビザ・ワールドワイド・ジャパンは、傘下企業である米Cybersourceでのプログラム変更が原因だったと発表している。このトラブルにより、Cybersourceを利用していたクレジットカード決済関連企業のネットワークがまひし、処理が進まない、あるいは全く処理できない事態が起きた。

障害発生当初は、「（カード処理の多くを担う）CARDNETの障害が原因」と取り沙汰されたが、同システムを運営する日本カードネットワークは否定した。その後、原因を突き止めたカード会社らが迂回ルートを選択するなどして問題は徐々に収束。最終的に米Visaが「Cybersourceにある」と認めたことで全体像が明らかになった。

今回の障害はVisaカードを取り扱う加盟店全般に影響したわけではなく、VisaだけでなくMastercardなど他の国際ブランドの決済でも影響が見られた。クレジットカード処理の仕組みを知らなければ疑問に思う点が多かっただろう。ここではCybersourceの役割と、クレジットカード処理の基本的な流れを解説する。

クレジットカード処理を理解するには、「カード利用者（ホルダー）」「カード会社（イシュア）」「国際ブランド（VisaやMastercardなど）」「決済代行業者（PSP）とアクワイアラ」「カード取扱店舗（加盟店）」の5つの要素を把握する必要がある。

これらの関係とお金の流れは、以前の全東信破産に関する記事を参照してほしい。Cybersourceは役割上、PSP／アクワイアラと国際ブランドの間に位置する。利用者が加盟店でカード決済を行うと、接続先のPSP／アクワイアラを通じて国際ブランドのネットワークへ接続され、最終的にカード発行会社（イシュア）で処理される。問題がなければ決済成立後、締めのタイミングでカード利用者に請求が行われる。

では、CybersourceはPSP／アクワイアラと国際ブランドの間で具体的に何をしているのだろうか。

その位置づけは「決済代行のゲートウェイ」であり、国際ブランドが決済を実行する前段階で前処理を行う。また、「Decision Manager」という不正検知機能を提供し、カード会社にとって損失につながるチャージバックを減らす役割を担っている。

さらに、クレジットカードの16桁（または15桁）の生の番号（PAN）を別の文字列に置き換える「TMS（Token Management Service）」を提供する。これにより加盟店はカード情報を保持せずに処理を続けられ、セキュリティ要件が緩和されつつ安全な取引が可能になる。

前処理の部分では、SaaS形式で提供されるCybersourceのサービスに対して、加盟店のシステムが一般的なWeb API形式でデータを送信する。Cybersourceはこの情報を精査しパラメーターを変更して、Visaの決済ネットワーク「VisaNet」が受け取れる形式に電文を成形して送信する。

この仕様は厳格で、決済事業者にとって負担が大きい。しかし、Cybersourceが迅速にアップデートに対応するため、多くの事業者はCybersource経由での接続を選択している。