10年前はクレジットカードをスマホに登録するのはまだ物好きな行為だったが、今では新しいiPhoneやAndroidスマホを設定する際、システムがほぼ自動的にApple PayやGoogle Walletへカードを追加するよう案内してくる。Samsungユーザーの場合はSamsung Payという選択肢も加わり、自社スマホとの連携はより緊密だが、対応店舗はGoogle Walletより少ない。普通に考えれば「もう完全にデジタル化すべき」と勧めたくなる場面だが、Engadgetのまとめは意外にも保守的な結論に落ち着く――やはり実物カードと少額の現金は身につけておくべき、というのだ。
その便利さは直感的にわかる。タッチ決済はICチップ決済のプロセスを待つより明らかに速く、複数のカードを1台のスマホに入れておけば、キャッシュバック率に応じていつでもカードを切り替えられ、財布ごと持ち歩く必要もなくなる。Apple WatchやAndroidの一部スマートウォッチも、手首をかざすだけで決済が可能だ。ウォレットに入るのはカードだけではない。ライブのチケット、店舗の会員カード、搭乗券、ホテルのルームキーなど、アプリ内に「Apple Walletに追加」や「Google Walletに追加」というボタンがあれば、すべて同じ場所にまとめられる。一部の州では、デジタル身分証明書を入れることも可能で、対応する車種であればスマホをカーキーとして使うこともできる。オンラインでの決済も同じ発想で、Apple Payなどのサービスを使えば1ステップで支払いが完了し、新しいサイトを利用するたびにカード番号や連絡先情報を入力し直す必要がない。
安全性の土台はトークン化、パスワードではない
実物カードを盗まれると相手はそのままカードを使って決済でき、小額決済であればサインの確認すらされないことが多い。それに比べればスマホを盗まれても、まだデバイスのPINコードや顔認証、指紋認証といったロックが立ちはだかる。またタッチ決済もICチップ決済と同様、取引ごとに使い捨てのコード（トークン化）が生成されるため、データが盗聴されても意味をなさない。デジタルウォレットはさらに各カードごとに実際のカード番号とは無関係な専用番号を保存するので、いわば二重の防御がかかっている状態だ。ICチップ読み取り機が故障して磁気ストライプでの決済を強制される場合が最も情報を盗まれやすいポイントだが、スマホでのタッチ決済ならこのリスクを完全に回避できる。スマホを失くした場合は、オンラインで該当デバイスを「紛失」としてマークし、そのデバイスの決済機能だけを個別に停止できるので、他のデバイスのApple Payには影響が及ばない。一方、実物カードを失くした場合は、まず利用停止手続きをして新しいカードの到着を待つ必要があり、旧カードはすべての場所で使えなくなってしまう。
電池切れ・電波なし以上に本当のリスクは「騙されること」
Apple PayやGoogle Payはネット接続がない状態でも動作するが、スマホに電池が残っていることが前提だ。唯一の例外はApple PayのExpress Modeで、カーキーや交通系ICカードのような項目であれば、スマホの電池が切れていてもタッチ決済が可能だ。Appleによれば最長「5時間」持続するとされるが、これはあくまで電池が自然に尽きて電源が落ちた場合の話で、自分で手動で電源を切った場合はこの機能は使えない。デジタルウォレットの本当のセキュリティリスクについて、Engadgetはズバリ指摘している。ほとんどの問題はプラットフォーム自体が攻撃されることではなく、誰かに騙されてApple Cashのような機能を使い、自分から送金してしまうことだという。日常的な使い方としては、デジタルウォレットにはデビットカードではなくクレジットカードを登録するほうが安全だ――クレジットカードが不正利用されても、自分の銀行口座から直接お金が引かれるわけではないからだ。
