顔写真を送るだけでは足りない――eKYCが「ICチップ確認」へ変わる理由
スマートフォンで身分証と顔を撮る本人確認は、便利でも万能ではありません。画像だけに頼る方式は精巧な偽造書類や生成AIによるなりすましに弱く、日本の本人確認は、ICチップ内の電子証明書を検証する方式へ軸足を移しています。
金融分野では2027年4月1日から、偽変造のリスクが高い非対面の確認方法が廃止される予定です。携帯電話の契約でも、2026年4月から従来型の画像中心のeKYCを見直す動きが始まっています。
この記事で押さえたい点は次の4つです。
- eKYCは一つの技術ではなく、安全性の異なる複数の方式の総称
- 身分証の画像と自撮りだけでは、精巧な偽造やディープフェイクへの対策に限界がある
- ICチップや公的個人認証は、券面の見た目ではなく電子的な真正性を検証する
- 強い本人確認でも、フィッシングや端末の乗っ取り、不正後の口座利用までは単独で防げない
何が変わるのか――画像中心の確認から電子的な検証へ
最大の変更点は、身分証を「撮影して見る」確認から、ICチップの情報を「電子的に確かめる」確認へ進むことです。
金融庁によると、2025年6月24日の犯罪収益移転防止法施行規則改正で、本人確認書類の偽変造によるなりすましリスクが高い非対面方式の廃止が決まりました。施行日は2027年4月1日です。
背景には、偽造した運転免許証などで口座を開き、その口座を特殊詐欺やマネーロンダリングに使う犯罪があります。警察庁の年次報告には、偽造マイナンバーカードを使って高額腕時計を受け取り、さらに買取店へ売却した事例も記載されています。
携帯電話分野では一足早く制度が動きました。ソフトバンクは法人向けの非対面契約について、2026年4月1日から、身分証画像と顔写真を照合する従来型eKYCなどを終了し、公的個人認証サービス（JPKI）または「ICチップ読み取り＋容貌画像」の方式へ変更しています。
この動きは「オンライン本人確認が危険だから対面へ戻す」という話ではありません。オンラインのまま、偽造された画像を見破りやすい仕組みに入れ替えるものです。
eKYCはどうやって本人を確認しているのか
安全性を判断するには、書類の真正性と、操作している人が書類の持ち主かを分けて見る必要があります。
「eKYC」は electronic Know Your Customer の略称で、オンライン上で本人特定事項を確認する仕組みを指します。ただし、eKYCという名前だけでは、どの技術を使っているかまでは分かりません。
身分証画像と自撮りを照合する方式
利用者が運転免許証などを撮影し、続けて自分の顔や動画を送ります。事業者側は主に次の点を調べます。
- 書類に不自然な加工や差し替えがないか
- 書類の顔写真と自撮りの人物が一致するか
- まばたきや顔の向きなどから、写真を映しただけではないか
- 氏名、住所、生年月日などが申込内容と一致するか
手軽で、ICチップを読めない端末でも利用しやすい方式です。一方、検査対象の中心は画像です。偽造書類や顔合成の品質が上がるほど、判定システムとの競争になります。
ICチップを読み取り、顔も照合する方式
対応するスマートフォンを身分証にかざし、NFCでICチップ内の情報を読み取ります。そのうえで、券面やチップ内の顔写真と、現在操作している人の顔を照合します。
警察庁は、ICチップ情報と券面情報を照らし合わせる目的を、本人確認書類の偽変造などによるなりすましの防止だと説明しています。両者が合わなければ、券面だけを書き換えた可能性を疑えます。
ただし、ICチップを読んだだけで「目の前の人が持ち主」と確定するわけではありません。盗難カードへの対策として、顔照合や暗証番号などを組み合わせる必要があります。
JPKIで電子証明書を検証する方式
JPKIは、マイナンバーカードのICチップに搭載された電子証明書を使う公的個人認証サービスです。利用者が暗証番号を入力し、事業者側は電子証明書が有効か、改ざんされていないかなどを検証します。
ここで使うのは、カード裏面に印刷された12桁のマイナンバーを撮影して送る手続きとは別物です。本人確認で必要なのは、電子証明書と、それに結び付いた本人特定事項の検証です。
JPKIの強みは、書類画像の見た目を判定するのではなく、発行主体が保証する電子証明書を検証できる点にあります。偽のカード画像を作っただけでは、有効な電子証明書まで作れません。
ここがポイント: ICチップ方式は「カードが本物か」を強く確認し、顔照合や暗証番号は「使っている人が持ち主か」を確かめます。安全性は、この二つをどう組み合わせるかで決まります。
ICチップ方式なら絶対に安全なのか
答えは「偽造書類には強いが、本人確認を取り巻くすべての犯罪を止めるわけではない」です。
本人確認は、サービス利用開始時の一つの関門にすぎません。正規のカードと暗証番号が使われた場合でも、その後の取引が安全とは限りません。
防ぎやすくなる攻撃
ICチップやJPKIへの移行で、特に難しくなるのは次のような手口です。
- 偽造した免許証やマイナンバーカードの画像を送る
- 券面の氏名や住所、顔写真だけを加工する
- 他人の身分証画像と合成した顔画像を組み合わせる
- コピーや画面表示を本物のカードとして提示する
偽造する側は、外見だけでなくICチップ内の署名付き情報や電子証明書まで突破しなければなりません。攻撃の難度は大きく上がります。
それでも残る攻撃
一方、次の問題は本人確認方式だけでは解決しません。
- 偽サイトへ誘導し、利用者本人にカードを読ませて暗証番号を入力させる
- スマートフォンを遠隔操作し、本人の操作に見せかける
- 本人からカードと暗証番号をだまし取る
- 本人を勧誘・脅迫し、正規の手順で犯罪用口座を開かせる
- 確認後にログイン情報や認証済みアカウントを奪う
金融庁が2026年3月に公表したデジタル証明書の実証結果でも、スマートフォンの売買や保有者の協力による不正利用がリスクとして挙げられました。対策例には、証明書を提示する時点での顔認証や取引モニタリングが示されています。
つまり、「登録時に本人だった」ことと、「いま正当な本人が正当な目的で取引している」ことは別問題です。
ディープフェイク対策で問われるもの
生成AI時代には、顔の一致率だけでなく、撮影がその場で行われたかを確かめる仕組みが重要です。
顔認証には、身分証の顔と自撮りの顔を比べる処理に加え、生身の人間がカメラの前にいるかを調べる「ライブネス検知」が使われます。動画の再生、写真、マスク、顔を合成した映像などを排除するためです。
しかし、ライブネス検知にも性能差があります。事業者が単に「AI顔認証を採用」と表示していても、次の点が分からなければ強度は判断できません。
- 静止画だけか、動画やランダムな動作も確認するか
- ICチップ内の顔写真と照合するか
- 偽造検知を自動判定だけで終えるか、人が再確認するか
- 判定に失敗したときの代替手段があるか
- 顔画像や本人確認書類をどこに、どれだけの期間保存するか
デジタル庁の本人確認ガイドラインも、保証レベルを一律に上げればよいとはしていません。手続きで起こり得る被害、プライバシーへの影響、犯罪への悪用可能性を評価し、それに合う確認方法を選ぶ考え方です。
少額のサービスと、多額の資金を動かせる口座とで、同じ強度の本人確認が必要とは限りません。逆に、悪用時の被害が大きい手続きでは、画像だけの確認にとどめる合理性は小さくなります。
利用者が確認したい5つのポイント
利用者にできる最も現実的な対策は、確認方式の強さと、カードを読み取らせる相手の正当性を同時に確かめることです。
1. 公式アプリや公式サイトから開始する
メールやSMSのリンクから本人確認を始めず、契約先の公式アプリや、ブックマークした公式サイトを開き直します。ICチップを使う手続きでも、入口が偽サイトなら安心できません。
2. 暗証番号を他人に伝えない
正規の事業者が、電話、メール、チャットでマイナンバーカードの暗証番号を聞き出すことは想定されません。画面共有や遠隔操作を求められた場合も、手続きを中止すべきです。
3. 何を読み取り、何を保存するかを見る
カードのICチップを読むことと、カード券面や顔画像を長期保存することは同じではありません。プライバシーポリシーや本人確認画面で、取得項目、利用目的、保存期間、委託先を確認します。
4. 失敗時の代替手段を確認する
NFC非対応端末、カードや電子証明書の期限切れ、暗証番号のロックなどで手続きできない人もいます。窓口、郵送、別の本人確認書類など、正規の代替手段が示されているかが重要です。
5. 確認後も通知を有効にする
口座開設や契約が完了したら、ログイン通知、取引通知、多要素認証を設定します。本人確認の突破だけでなく、認証済みアカウントの乗っ取りにも備えるためです。
利便性と利用できない人への配慮は両立できるか
制度の次の課題は、安全性を上げながら、カードや対応端末を使えない人を締め出さないことです。
ICチップ方式では、対応スマートフォン、正しい暗証番号、有効なカードや電子証明書が必要になります。読み取り位置が分からない、端末が対応していない、暗証番号がロックされたといった理由で、正当な利用者が途中離脱する可能性もあります。
また、15歳未満には原則として署名用電子証明書が発行されません。警察庁のQ&Aも、公的個人認証による本人特定事項の確認は基本的に想定されていないと説明しています。非居住外国人などについても別の確認方法が必要です。
ネット上で本人確認の変更が話題になると、「偽造対策として当然」という受け止めとともに、カードを持たない人やスマートフォン操作が難しい人への配慮を求める声が出やすくなります。これは安全性への反対ではなく、安全な方式へ到達できる導線も制度の一部にしてほしいという問題提起です。
事業者側に求められるのは、エラーを出して終わる設計ではありません。
- 読み取り位置や暗証番号の種類を画面内で説明する
- 失敗理由と次の操作を具体的に表示する
- 障害や端末非対応時の代替手段を用意する
- 高齢者や障害のある人が利用できる支援窓口を設ける
- 不要な顔画像や書類画像を長期間保持しない
厳格な本人確認ほど、誤判定で正当な利用者を排除したときの影響も大きくなります。安全性と使いやすさは対立する条件ではなく、両方を満たして初めて機能する条件です。
2027年4月までに見るべきこと
これからの焦点は、ICチップ対応の有無よりも、本人確認後まで含む多層的な対策が実装されるかです。
今後は次の点を確認すると、制度変更が実際の安全につながっているかを判断しやすくなります。
- 金融機関が2027年4月を待たずにJPKIやICチップ方式へ移行するか
- 顔照合やライブネス検知を、どの場面で組み合わせるか
- フィッシング対策、端末認証、取引モニタリングまで連動するか
- カードを使えない人向けの代替手段が明確に示されるか
- 本人確認データの保存範囲と保存期間が必要最小限か
顔写真を送るだけのeKYCから、ICチップや電子証明書を検証する仕組みへの移行は、偽造対策として大きな前進です。ただし、利用者が偽サイトで正規カードを操作させられれば、その強さは逆用されかねません。
次に本人確認画面を開いたときは、「顔を撮るか」だけでなく、カードの真正性をどう検証し、確認後のアカウントをどう守るのかまで見てください。それが、eKYCの安全性を見分ける実用的な基準になります。