「クレカが使えない！」　16日朝の大規模障害を引き起こした「Cybersource」とは何者か

　7月16日の午前中から昼前後の時間帯にかけて起きていたクレジットカードの大規模障害について、ビザ・ワールドワイド・ジャパンは傘下企業の米Cybersourceでのプログラム変更に起因するトラブルが原因だったというのは既報の通りだ。結果として、Cybersourceを“利用していた”クレジットカード決済に関わる企業のネットワークがまひし、処理が進まない、あるいはそもそも処理が行えないといった事態を引き起こしていた。

【その他の画像】

　障害発生時は当初「（カード処理の多くを担う）CARDNETの障害が原因」などと取り沙汰されていたが、同システムを運営する日本カードネットワークは否定、後に障害の原因に“当たり”を付けたカード会社らが“迂回ルート”を選択するなど徐々に問題が収束し、最終的に米Visaがその原因を「Cybersourceにある」と認めたことで全体像が見えてきた。

　今回の障害で影響を受けたのはVisaカードを取り扱う加盟店全般ではなく、同時にVisaだけでなくMastercardなど他の国際ブランドの決済でも影響を受けていたりと、クレジットカードの処理の仕組みを知らなければ疑問に思ったことがいろいろあったと思う。ここでは、Cybersourceとはどのようなサービスなのかを解説しつつ、クレジットカード処理の仕組みについて少し解説したい。

●Cybersourceとはどんなサービス？

　クレジットカード処理の流れを理解するうえで、「カード利用者（ホルダー）」「カード会社（イシュア）」「国際ブランド（VisaやMastercardなど）」「決済代行業者（PSP）とアクワイアラ」「カード取扱店舗（加盟店）」の5つの要素をまず知っておく必要がある。

　それぞれの関係とお金の流れは、以前の全東信破産にまつわる記事を参照してほしい。今回のCybersourceだが、役割的には「PSP／アクワイアラ」と「国際ブランド」の間に位置する。利用者が加盟店でカード決済を行った場合、接続先のPSP／アクワイアラを通じて国際ブランドの各ネットワークへと接続され、最終的にカードを発行するイシュアで処理が行われる。問題なければ決済が成立し、締めのタイミングでカード利用者にカード会社から請求が行われるという流れだ。

　では、Cybersourceは「PSP／アクワイアラ」と「国際ブランド」の間で一体何をやっているのだろうか？

　位置付けとしては「決済代行のゲートウェイ」というもので、国際ブランドが決済を行う前段階で“前処理”を行ったり、「Decision Manager」という不正検知の仕組みを提供する。全東信の話題でも触れた、カード会社らにとっては損失につながる「チャージバック」を減らす役割を担う。

　また、クレジットカードの処理を16桁（または15桁）の“生”の数字（PANと呼ばれる）ではなく、別の文字列に置き換えることで加盟店がカード情報を保持することなく処理を続行できる「TMS（Token Management Service）」というサービスを提供しており、加盟店側のシステムに求められるセキュリティ要件が緩和されつつ、安全性を高めての取引が可能になるといった具合だ。

　そして“前処理”の部分だが、一般にSaaS形式で提供されるCybersourceのサービスに対して加盟店のシステムは一般的なWeb API形式でデータを送ってくることになる。この情報を精査してパラメーターを変更し、Visaの決済ネットワークである「VisaNet」が処理を受け取れるような形に“電文”を成形して送信する。

　ここで求められる仕様は厳格で決済事業者にとっての負担が重く、かつ後にアップデートがあっても迅速にCybersource側で対応するため、多くの事業者はCybersource経由での接続を行っているわけだ。

●障害の原因と接続ルート

　そして今回の障害だが、詳細は不明なものの、前述のDecision Managerが応答遅延を起こしたことが原因の1つと考えられる。応答遅延がタイムアウトとなり、仕組み上、このタイムアウトは「取り扱い拒否」としてCybersource側から加盟店側（もしくはPSPやアクワイアラ）に返答されることになる。

　この時点でカード決済が拒否される形になるが、決済処理がPSPやアクワイアラのシステム内で“目詰まり”を起こしていくことで連鎖的にシステムの動作全体に不調を起こし、Visa以外の国際ブランドのカードやその他のキャッシュレス決済手段に影響を及ぼすケースが出てくる。

　加えて、Cybersourceは現在でこそVisa傘下の企業ではあるものの、もともとはブランド中立のゲートウェイ事業者であり、Mastercardを含む他のブランドネットワークへの接続代行も担っている。そのため、Cybersource利用を主とする決済ネットワークを構成していたPSPの場合、今回のような障害のケースでは決済自体が止まってしまうことになる。

　以上を踏まえて、決済処理の接続経路と今回の障害の様子をまとめたのが下図だ。かなり簡略化しているが、実際には複数ルートを持つPSPやアクワイアラも多い。実際に筆者の情報源によれば、三井住友カード（イシュア／アクワイアラ）などは比較的早いタイミングで障害の原因をCybersourceと特定し、別ルートへと“迂回”させることで早めの障害対策を行っている。

●障害に巻き込まれなかったルートの中身

　VisaNetへの“迂回”ルートは図示していないものも含めて複数存在するが、今回は「DEX（Direct EXchange）」に注目したい。これはPSPやアクワイアラからVisaNetにじかに接続する仕組みで、Cybersouceへの接続を行わないため、今回のケースでは障害に巻き込まれない。

　例えばPSP／アクワイアラである米StripeはDEXでVisaNetに接続しているが、今回は何も問題がなかった。Cybersourceで提供される不正検知にはStripe Radar、トークン化についても独自に仕組みを実装しており、この部分をPSP事業者としての強みにしている。同様にグローバル展開しているPSP／アクワイアラの蘭Adyenのような事業者もDEXを通じてVisaNetや、MastercardのBanknetに直結している。

　なぜグローバル展開でDEXが重要になるかといえば、国や地域ごとに現地のネットワークに接続するよりも（中間業者が存在しないことで）全体としてコストや管理の手間が削減できることが大きいからだ。

　DEXのメリットはネットワークの一元化によるコスト削減に加え、自社ではどうしようもない今回のような外部の障害要因に取引を左右されないこと、そしてレイテンシを低減することで「承認率」の向上につながるという点にある（つまり決済の成功率が上がる）。他方で、VisaのDEXになるには同社のアクワイアリング・ライセンスを取得する必要があるほか、厳しいセキュリティ要件をクリアする必要がある。

　不正検知についてはVisa自身が用意しているソリューションを用いることが可能だが、システム開発のコストや維持費を考えれば大規模なPSPやアクワイアラでない限りは、Cybersourceのようなサービスを使った方が初期コストを含めメリットが大きい。そのため、三井住友カードのような大手事業者であっても用途に応じてCybersourceのシステムを適時組み合わせ活用しているのが実態だ。