Apple Payのソフトウェアでは、近距離無線規格「NFC（Near-Field Communications）」を使ってiPhoneから決済端末へ決済カードの情報を無線で転送できる。詳細はまだ不明だが、情報セキュリティの調査・コンサルティング会社、米Securosisのアナリスト、エイドリアン・レーン氏によれば、Apple Payでは決済情報をiPhoneに保存するわけではなく、決済トークンを使って決済カード情報の役割を持たせ、一定レベルのセキュリティ抽象化を実現している。

　Appleが活用しているのは欧州のNFCベースネットワークで広く使われているチップを用いた、ICカードの国際規格「EMV」（Europay、MasterCard、VISAが採用）の仕様だ。この技術は、米Targetや米Home Depotなど、米国の小売り大手で起きたようなPOSシステムのハッキング事件を減らすのに役立つと推進側は主張する。

　Apple Payに対応する小売業者には、米McDonalds、米Macy's、米Whole Foods Marketといった有名企業が名を連ね、カード業界も最大手の米American Express、米MasterCard、米VISAが顔をそろえた。

　ただし報道によると、小売り大手の中にはApple Payを拒んだところもある。世界最大手の米Wal-Martをはじめ、米Best Buy、Targetなど米国の多数の小売業者は、小売業界が展開する「Merchant Customer Exchange（MCX）」を支持する。業界団体によれば、MCXのモバイル決済アプリ「CurrentC」は全米の11万カ所以上で利用できるという。

Apple Payでセキュアなモバイル決済に希望？

　Apple Payは新興の技術である。そのため、同技術のトランザクションセキュリティについて、確固とした結論を出すのは時期尚早だという声もある。Apple Payが利用可能になるのは2014年10月以降だ。しかし、過去の端末メーカーによる決済サービス立ち上げの試みに比べ、成功する確率は高いとセキュリティ専門家はみる。

　セキュリティ上の主な懸念は、消費者向け端末である「iPhone 6」に決済の仕組みを持たせ、決済トークンを保存するだけでなく、Apple独自の指紋認証機能「Touch ID」を通じた認証プラットフォームの役割を持たせることに伴うリスクだ。

　NFCアンテナは、指をTouch IDボタンに置いたまま非接触読み取り装置の近くに端末をかざすだけで支払いができるとされる。決済の認証はTouch IDで行う。トークンベースの決済情報はiOSの「Passbook」に保存されると思われる。

　米市場調査会社IHSの家電業界アナリスト、ジョナサン・カッセル氏によると、Appleは「ソフトウェアとハードウェアを緊密に連携」させていること、iTunesを通じた豊富な小売りの経験があることから、Apple IDを通じて膨大な量の決済カード情報を蓄積することができた。「ユーザーは単純にそれをApple Payに追加するだけで済む」と同氏は解説する。

iPhoneの紛失はApple Payのセキュリティを脅かす？

　一方で、Appleなどの端末メーカーはまだ、最もあからさまなセキュリティ問題に納得のいく答えを出していないという意見もある。つまり、ユーザーがiPhoneを紛失したらどうなるのかという問題だ。

　Appleはこのほど、Apple PayはiCloudの「iPhoneを探す」機能を使って遠隔操作で無効にできると説明した。Appleのティム・クック最高経営責任者（CEO）は、決済情報はiPhoneにも会社のサーバにも保存されない点も強調している。新しいiPhoneには恐らく、決済用のトークンが保存されるだけで、攻撃者が悪用できる決済鍵は保存されないと思われる。

　それでもセキュリティ専門家の間には、たとえAppleが小売業者とクレジットカード会社をつなぐ役割を果たすだけだとしても、端末そのものがApple Payの最大の弱点になりかねないという見方もある。

　「リスクは存在すると思う」と話すのは、セキュリティ専門家で米Voodoo Securityの首席コンサルタント、デイブ・シャクルフォード氏。Apple IDのセキュリティ質問に答えさえすれば決済情報を破れるという状況までガードを低くするのは、方向性を誤っていると同氏は指摘する。

　それでもiPhoneはAndroidに比べるとウイルスやハッキングに強いことが実証されている。Appleは新しい消費者向け製品を売り出す前に、適切なセキュリティテストを実施する能力があることを示してきたとシャクルフォード氏は述べ、Apple Payは「出だしから（セキュリティ）ホールだらけという状況にはならないだろう」と予想している。

データ難読化は正しい方向への一歩

　一方、認証技術推進団体であるFIDO（Fast IDentity Online）Allianceは、顧客が簡単かつ安全に強力な認証を利用できるようにするために、Appleなどの決済エコシステムを受け入れている。

　FIDO創設メンバーである米認証機関、Nok Nok Labsのフィリップ・ダンケルバーガーCEOは、Apple Payについて「現在のクレジットカードセキュリティより1歩上を行っていることは間違いない」と評価する。

　ダンケルバーガー氏などのセキュリティ専門家は、認証スキーム実装方法についての仕様をAppleはほとんど公開していないと強調しながらも、ユーザーのIDと決済データを「難読化」できるApple Payの機能は「正しい方向へ向けた一歩」と位置付けた。

　Appleは、米国以外の国へもできるだけ早く決済サービスを拡大したい意向だ。技術標準の違いや（欧州では米国ほどiPhoneは普及していない）、規制制度の違いを考えると困難も予想される。だがそうした障壁の一部は、Appleが独自仕様のセキュリティ技術を避けて、NFCのような業界標準技術を採用したという事実によって克服できる。

　Apple Payは「万全ではなく、大きな決済エコシステムの一部」だとダンケルバーガー氏は強調する。「悪魔は（実装の）細部に宿り、悪魔は使いやすさの細部に宿る」と言い添えた。