免許写真の口座開設廃止前倒し、金融の本人確認はIC時代へ加速

金融庁要請が示した本人確認の転換点

金融庁は2026年10月9日、金融機関に対し、サイバーセキュリティ対策と取引申込時の本人確認を強化するよう注意喚起しました。焦点は、運転免許証などの本人確認書類をスマートフォンで撮影し、画像として送る従来型の口座開設手続きです。

この方式は、利用者にとって手軽で、ネット銀行や証券口座の拡大を支えてきました。一方で、本人確認書類の画像データが漏えいすれば、偽造書類やなりすましに転用される危険があります。金融庁は、2027年4月1日の改正規則施行を待たず、ICチップ情報の読み取りを原則とする方式へ速やかに移るよう求めました。

重要なのは、運転免許証そのものが使えなくなるわけではない点です。変わるのは「券面を撮って送るだけ」の確認方法です。今後は、マイナンバーカードや運転免許証に内蔵されたICチップ、あるいは公的個人認証サービスを使って、書類の真正性をデジタルに確認する流れが主軸になります。

券面撮影方式が抱えた再利用リスク

漏えい後に攻撃素材へ変わる本人確認画像

従来のeKYCでは、本人確認書類の券面画像と利用者の容貌画像を組み合わせ、書類の厚みや顔写真との一致を確認してきました。2018年の制度整備以降、オンラインで完結する金融サービスを広げるうえで大きな役割を果たした方式です。

しかし、攻撃者側の環境は大きく変わっています。JPCERT/CCは、2026年9月前後から国内組織で個人情報漏えいにつながる不正アクセスが相次いだとして、APIへの不正な操作、既知脆弱性の探索、Webシェル設置などの手口を挙げています。IPAも同時期に、オンラインサービスやアカウントサービスを狙った不正侵入により、個人情報を含むデータが窃取される事案への緊急点検を促しました。

本人確認書類の画像は、氏名、住所、生年月日、顔写真を含む高密度な個人情報です。漏えいした場合、単なる名簿よりも悪用価値が高くなります。画像そのものが、別サービスの登録、偽造書類の作成、フィッシング後の本人なりすましに使われるおそれがあります。AIによる画像加工や自動化された攻撃が進むほど、「目視で不自然さを見つける」運用の限界も強まります。

個人情報保護委員会も、大量の個人情報を扱う事業者に対して、不要になった個人データの消去、アクセス制御、多要素認証、不正アクセス検知を改めて求めています。本人確認データは保管するほど将来のリスク資産にもなるため、金融機関には「取得して審査する」だけでなく、「必要以上に持たない」設計が求められます。

規則改正が消す画像送信という選択肢

警察庁のJAFIC年次報告書は、偽変造された本人確認書類で開設された架空・他人名義口座が特殊詐欺などに悪用されていると指摘しています。政府の「国民を詐欺から守るための総合対策2.0」でも、2024年中の財産犯被害額が4,000億円を超えたことが示され、金融・通信インフラの悪用防止が重要な柱になりました。

犯罪収益移転防止法施行規則の改正では、自然人の非対面本人確認について、本人確認書類の画像情報を送る方法が原則廃止されます。金融庁の金融機関向けQ&A資料を比べると、2027年3月31日までの整理では「写真付き本人確認書類の画像」と「容貌の画像」を使う方法が掲載されていますが、2027年4月1日以降の整理では、個人顧客向けの主要な方法がICチップ情報、カード代替電磁的記録、電子証明書に移っています。

つまり今回の前倒し要請は、突然の制度変更ではありません。2027年4月の施行に向けて決まっていた本人確認の厳格化を、直近のサイバー攻撃多発を受けて実務上早める動きです。金融庁は、画像に不自然な点がないかを改めて確認することも求めていますが、本質的な方向は、画像確認を延命することではなく、ICチップ情報の読み取りへ移すことにあります。

ICチップ移行で変わる口座開設実務

JPKIとNFCが担う真正性の確認

ICチップ方式の強みは、券面の見た目ではなく、カード内部の電子的な情報を確認できる点です。マイナンバーカードの公的個人認証サービス、いわゆるJPKIは、ICチップに搭載された電子証明書を使い、オンラインで本人確認や電子署名の真正性を確認する仕組みです。デジタル庁は、JPKIではマイナンバー自体を利用しないと説明しており、2026年8月31日時点で民間事業者1,411社が利用しているとしています。

金融機関の口座開設では、利用者がNFC対応スマートフォンでマイナンバーカードや運転免許証を読み取り、アプリがICチップ情報を取得します。運転免許証を使う場合は、暗証番号の入力が必要になる場合があります。すでに複数の警察や金融機関が、暗証番号を忘れた場合の手続きや、ICチップが読み取れない場合の代替確認を案内しています。

ただし、ICチップ読み取りは万能ではありません。真正なカードを読めたとしても、端末が改ざんされていたり、アプリのAPIが不適切に公開されていたりすれば、別の経路から攻撃を受けます。本人確認の強度を高めるには、カード読み取り、アプリ認証、APIアクセス制御、ログ監視、委託先管理を一体で設計する必要があります。

銀行アプリと店頭端末の再設計

金融機関側の実務負荷は小さくありません。スマホアプリにはNFC読み取り機能、顔撮影、エラー時の再試行、本人確認結果の保存、審査システムとの連携が必要です。店頭では、窓口端末や渉外端末でICチップを読み取る環境を整え、顧客が暗証番号を忘れた場合の案内も準備しなければなりません。

地域金融機関ほど、システム更改のタイミング、ベンダー依存、店舗端末の配備コストが課題になります。第四北越銀行や福井信用金庫は、2027年4月1日から本人確認方法を変更し、同日以前に先行実施する可能性も示しています。金融機関の現場では、制度施行日に一斉切替するより、アプリ更新、店頭教育、問い合わせ対応を段階的に進める方が現実的です。

本人確認ベンダーにも商機が広がっています。DNPは2026年8月から、対面・非対面の本人確認をスマートフォンで行うアプリを提供すると発表しました。こうした外部サービスは導入を速める一方、金融庁が注意喚起で触れたサードパーティリスク管理を重くします。本人確認の入口を外部アプリやクラウドに任せるほど、委託先の脆弱性、ログ取得、障害時の責任分界を詰める必要があります。

金融庁と日本銀行は2026年5月、フロンティアAIによる脅威変化を踏まえた短期的対応も金融機関に要請しました。AIによって脆弱性探索やフィッシングが高速化する可能性を考えると、本人確認システムは「法令対応システム」ではなく、攻撃対象となるデジタル基盤として扱うべきです。

利便性低下を防ぐ移行期の設計課題

最大のリスクは、本人確認の厳格化が利用者の離脱や窓口混乱を招くことです。NFC対応スマホを持たない人、マイナンバーカードを持たない人、運転免許証の暗証番号を忘れた人、海外居住者や非居住外国人など、標準フローに乗りにくい利用者は一定数います。制度上も補完的な確認方法は残りますが、金融機関がそれを分かりやすく案内できなければ、正当な利用者まで排除しかねません。

もう一つの課題は、データの持ち方です。画像送信方式をやめても、本人確認結果、ICチップ読み取りログ、顔画像、審査履歴を過剰に保存すれば、漏えい時の被害は残ります。個人情報保護委員会が示すように、利用目的を終えたデータを遅滞なく消去する考え方を、本人確認システムにも組み込む必要があります。

金融機関は、本人確認を「入口の審査」から「継続的な金融犯罪対策」へ広げる段階に入っています。口座開設時の真正性確認だけでなく、開設後の不審取引検知、振込上限、口座売買の兆候、フィッシング被害後の乗っ取り対策まで連動させなければ、犯罪収益の移転は止まりません。ICチップ化は終点ではなく、金融犯罪対策の土台を更新する作業です。

利用者と金融機関が確認すべき要点

利用者にとっての実務的な準備は明確です。マイナンバーカードや運転免許証の暗証番号を確認し、NFC対応スマートフォンで公式アプリを使えるかを把握しておくことが重要です。金融機関をかたる偽メールや偽アプリも増えるため、本人確認のやり直しを求める連絡は、必ず公式サイトや正規アプリから確認すべきです。

金融機関側は、2027年4月を単なる法令対応期限として扱うべきではありません。本人確認方式の変更、サイバー防御、データ最小化、委託先管理、顧客説明を同じプロジェクトに束ねる必要があります。金融庁の前倒し要請は、免許証画像の廃止だけを意味しません。金融サービスの信頼を、画像の目視確認から暗号技術と運用統制へ移す合図です。

参考資料:

• 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について｜金融庁
• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について｜IPA
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起｜JPCERT/CC
• 大規模な漏えい等事案を踏まえた対応について｜個人情報保護委員会
• サイバー警察局便り「情報流出に注意」｜警察庁
• 犯罪収益移転防止に関する年次報告書 令和7年｜警察庁JAFIC
• 犯罪収益移転防止法施行規則の改正について｜金融庁
• 犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法に関する金融機関向けQ&A｜金融庁
• オンラインで完結可能な本人確認方法の概要 令和9年4月1日以降｜金融庁
• 公的個人認証サービス（JPKI）｜デジタル庁
• 国民を詐欺から守るための総合対策2.0｜警察庁
• フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応｜日本銀行
• 金融分野におけるサイバーセキュリティに関するガイドライン｜金融庁
• 各種手続きにおける本人確認方法の変更について｜第四北越銀行
• 犯罪収益移転防止法改正に対応した本人確認アプリの提供を8月に開始｜DNP