DIME MAGAZINE
全ては2026年9月25日から始まった。カーシェアリングサービス『タイムズカー』が、「外部からの不正アクセスにより、タイムズカー会員様の個人情報が外部に漏洩した可能性があること」を発表したのだ。
これは約660万件という、夥しい数の情報流出騒動に発展した。その上、流出した情報の中には運転免許証等の身分証明書の券面画像もあるという。これを悪用され、知らぬ間に自分の銀行口座やクレジットカードが作られてしまうのではないか……。タイムズカー騒動はたちまちのうちに大延焼を誘発させた。
ここから様々な企業・公的機関での情報漏洩が発覚するのだが、それよりも注目すべきは金融庁の動きである。来年2027年4月に廃止されるeKYC（オンライン本人確認）の一方式「ホ方式」から、より安全性の高い方式への早期転換を金融機関に要請したのだ。
大きな弱点を含む「ホ方式」とは
eKYCの世界的主流の方式は、身分証明書の券面とその所持者のセルフィー写真を送信するやり方である。
これはスマホというものが前後にカメラを内蔵しているからこそできることで、言い換えると現状のeKYCはカメラの存在に依存しているのだ。ところが、2020年代からは生成AIプラットフォームが長足進化を遂げ、プロンプトを入力するだけで本物の写真とも見間違えてしまうような画像を生成できるようになった。
日本の犯罪収益移転防止法（犯収法）では「ホ方式」と呼ばれる身分証券面の画像+セルフィー画像を組み合わせたeKYCだが、生成AIを利用したなりすましに極めて弱いという性質があるのだ。
そこで、国は2027年4月に犯収法を改正し、ホ方式を廃止する方針に踏み切った。では、ホ方式の代わりに何を導入するかというと、「身分証のIDカードを活用した方式」である。
その中でも国が強く勧めるのは、「公的個人認証サービスの署名用電子証明書」だ。これは現状「カ方式」と呼ばれているが、要はマイナンバーカードのICチップを使う方式である。マイナンバーカードの読み取りができる機種のスマホを使い、予め設定したパスワードを入力して情報を送信する。
カ方式の導入を「推奨」
カ方式がホ方式と比較して堅牢性が高いことは明らかである。
仮に、マイナンバーカードの券面を撮影してその画像を送ったとすれば、それはカ方式ではない。偽造は不可能と言われ、現に今に至るまで偽造されたという報告が皆無のICカードを使うことに意味があるのだ。「マイナンバーカードの偽造は既に横行しているのでは？」という声もあるはずだが、現状存在する偽造マイナンバーカードは券面だけを模倣したものに過ぎない。
変装用のマスクを作るのと、DNAを採取してクローン人間を作るのとは技術レベルに絶大な格差がある。それと同じようなものだ。仮にマイナンバーカードのICチップを偽造できる技術があるとするなら、その集団は何も犯罪に手を出す必要はない。ICチップの開発と製造を手掛ける企業を作って軌道に乗せたほうが早いはずだ。
前述したように、国はこのカ方式の導入を国内各企業に強く推奨している。が、ここでは「強く推奨」という点に注目していただきたい。これは実に日本らしい物の言い方で、たとえばこれが中国であれば北京の指導者の一声で全てが変わっている。
日本はそのような国家体制ではなく、法改正に臨む際は必ず有識者会議を編成し、パブリックコメントを募集してから事に踏み切る。それまでは民間企業に対してのアクションは基本的に「推奨」か「要請」、或いは「注意喚起」しか選択肢がない。
そして、国はタイムズカー騒動をきっかけに新たな「推奨」を繰り出そうとしている。
マイナンバーカードが「生活必需カード」になる日
10月9日、金融庁は『現下の情勢を踏まえたサイバーセキュリティ対策の強化と
各種取引申込等における対応について』という題の声明を公表した。
これは金融機関に対する実質的な注意喚起である。
昨今、インターネット上に公開している顧客向けサービスや業務システムに対する不正アクセスが相次ぎ、当該顧客に係る運転免許証等の本人確認書類の画像情報を含む顧客情報等が漏洩するといったサイバーインシデントが発生しています。
各金融機関等においては、「金融分野におけるサイバーセキュリティに関するガイドライン」や「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応」に係る要請を踏まえ、経営陣のリーダーシップの下、自組織の規模・特性等に応じた対応を行うことが引き続き重要です。
（現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について 金融庁）
その上で、以下3項目を記載している。
1.各金融機関等において、内閣官房国家サイバー統括室からの注意喚起「不正アクセスによる漏えい等の事案を踏まえた対応について」（令和8年10月9日）や、今後、公表情報等を通じて明らかとなる攻撃の原因・手口等を踏まえ、サードパーティリスク管理やインシデントが起きた場合の対応態勢も含めたサイバーセキュリティ対策について、点検すること。点検の結果、不十分な点が認められた場合には、リスクに応じて必要な措置を速やかに講じること。
2.非対面で顧客等の本人確認を行うにあたっては、本人確認書類の画像に不自然な点がないか、また、顧客の容貌の画像に不自然な点がないか等、改めて確認を徹底すること。
3.犯罪収益移転防止法施行規則の改正により、施行日である令和9年4月1日より、本人確認方法として、本人確認書類の画像送信を受ける方法は廃止し、不正対策として極めて効果が高い、ICチップ情報の読取に原則一本化されるところ、現下の情勢を踏まえ、施行日を待たず、可及的速やかな対応を図ること。
（同上 太字は筆者）
改正犯収法の施行日自体は、さすがに前倒しすることはできない。が、施行日よりも前に各社・各金融機関のアクションを促すことはできる。
いずれにせよ、これからはマイナンバーカードの存在が我々にとってより大きなものになることは間違いないだろう。
参考
「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報） タイムズカー
犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法の概要 金融庁
現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について 金融庁
文／澤田真一
タイムズの交通ICパーク＆ライドが拡大中！全国どこでも駅前の駐車場をかんたんに利用できる時代へ
新幹線を利用するためにマイカーを使う。これだけ書くと、かなり矛盾した印象になってしまう。 が、「マイカーを駅前の駐車場に置いて、そこからは新幹線を使って遠出する…
最新号
