3メガバンクが免許証画像認証を前倒し廃止、ICチップ方式へ転換

3メガバンクが法改正前に動いた背景

三菱UFJ銀行、みずほ銀行、三井住友銀行が、オンライン口座開設における本人確認を相次いで変更しました。廃止されたのは運転免許証そのものではなく、券面と申込者の顔を撮影し、その画像を銀行へ送る方式です。

背景には、本人確認書類の画像を含む大規模な情報漏えいと、生成AIなどを悪用した画像加工の高度化があります。画像が正しく撮影されたかを確認するだけでは、撮影に使われた情報が本人から提供されたものかを十分に判定しにくくなりました。

2027年4月1日には犯罪収益移転防止法施行規則が改正され、画像送信方式は原則廃止されます。3メガバンクの対応は単なる前倒しではなく、本人確認を「見た目の照合」から「暗号技術による真正性の検証」へ移す転換点です。

画像認証からICチップ認証への転換

3行で異なる停止時期と代替ルート

3行は一斉に同じ方式へ切り替えたわけではありません。報道と各行の現行案内を整理すると、対応時期と免許証を使う場合の導線には違いがあります。

銀行	画像方式の停止時期	主な代替方法
三菱UFJ銀行	2026年5月	本人確認書類のICチップ読み取りと顔撮影
みずほ銀行	2026年10月19日	マイナンバーカードなどのICチップ認証
三井住友銀行	2026年10月23日	オンラインではICチップ方式、免許証利用者には店頭手続きも案内

対象の中心は、スマートフォンなどを使う非対面の新規口座開設です。運転免許証を店頭で提示する手続きまで一律に廃止されたわけではなく、ICチップを読める免許証を利用できるサービスもあります。「免許証が銀行で使えなくなった」と受け取るのは正確ではありません。

また、改正後も公的個人認証サービスや一定の郵送手続きなど、法令で認められた複数の経路が残ります。利用できる書類や申込方法は銀行、年齢、国籍、取引内容によって異なるため、申込先の最新案内を確認する必要があります。

漏えいで顕在化した静的な証明の弱点

従来の画像方式では、免許証の表裏や厚み、申込者の顔を撮影し、券面の情報や顔が一致するかを判定していました。利便性は高い一方、画像は複製可能な「静的な証明」です。一度流出すれば、本人が気付かないまま複数のサービスで再利用される可能性があります。

転機となった事例の一つが、タイムズカーのWebシステムへの不正アクセスです。同社の最終報告では、氏名や住所、運転免許情報などについて662万8,007件で外部送信の痕跡が確認されました。暗号化された本人確認書類画像についても、146万4,800件で外部送信の痕跡が確認されています。

暗号化データが送信されたことは、画像の内容が直ちに閲覧されたことを意味しません。ただし同社は、将来的な復号の可能性を完全には否定できないと説明しています。会員期間中と退会後7年間保有していた画像を、登録確認後に即時削除する運用へ改めた点も重要です。

金融庁は2026年10月9日、金融機関にサードパーティーを含むセキュリティ体制の点検を求めました。同時に、2027年4月の施行を待たず、ICチップ読み取りへの移行を可能な限り速やかに進めるよう要請しています。

暗号技術とデータ削減が変える銀行実務

コピー可能な画像とカード現物の差

ICチップ方式の強みは、撮影画像だけでなく、申込時にカードの現物が手元にあることを確認できる点です。券面を精巧に加工しても、正規カードのチップ情報や電子証明書まで同じように複製することは困難です。

マイナンバーカードを使う公的個人認証サービスでは、ICチップに格納された電子証明書と秘密鍵を利用します。銀行側は認証局を通じて電子証明書が有効かを検証でき、氏名や住所の変更、期限切れなどによる失効も確認できます。本人確認に12桁のマイナンバーを使う仕組みではありません。

運転免許証のICチップにも氏名、住所、生年月日、顔写真などが記録されています。読み取りには設定した暗証番号が用いられ、券面情報との照合によって偽変造を検知しやすくなります。暗証番号を連続して誤ると読み取りがロックされるため、利用者には事前確認も必要です。

ICチップ方式でも、申込者の顔を撮影してチップ内の顔画像と照合する場合があります。本人確認書類の真正性、カードを所持している事実、申込者の顔という複数の要素を組み合わせることで、画像だけに依存する方式より攻撃の難度を高められます。

審査自動化とデータ最小化の経営効果

ICチップへの移行は、セキュリティ対策であると同時に銀行業務の自動化でもあります。チップから取得した氏名や住所を申込画面へ反映すれば、利用者による入力ミスや、行員が画像を目視確認する負担を減らせます。

三菱UFJ銀行は店頭のタブレット口座開設でもICチップ情報を読み取り、情報の自動反映によって手続き時間の短縮を図っています。公的個人認証サービスを利用する民間事業者は、デジタル庁によると2026年9月末時点で1,431社に達しており、銀行以外にも証券、ローン、決済へ利用範囲が広がっています。

PayPayも2026年11月上旬までに、マイナンバーカードや運転免許証を撮影する申請を廃止し、ICチップ読み取りへ統一する方針です。本人確認基盤が業界横断で共通化すれば、金融機関ごとに異なる画像審査を維持するコストも縮小できます。

さらに重要なのがデータの最小化です。高精細な免許証画像を長期間保管すれば、侵害時の影響も大きくなります。IC認証への転換を契機に、生画像を保存せず、検証結果と法令上必要な記録だけを保持する設計へ移せるかが、各社の競争力と信頼性を左右します。

利用者格差と新たな攻撃面に残る課題

ICチップ方式は安全性を高めますが、全利用者にとって同じように便利とは限りません。NFCに対応したスマートフォン、利用可能なOS、正しい暗証番号、有効な電子証明書が必要です。カードを持たない人や対応端末を使えない人、暗証番号がロックされた人は、店頭や別の手続きへ回ることになります。

マイナンバーカード本体と電子証明書には別々の有効期限があります。電子証明書が失効するとオンライン口座開設に利用できず、更新には原則として市区町村窓口での手続きが必要です。銀行には、高齢者、未成年者、外国人利用者などを含む代替経路の維持が求められます。

IC認証も万能ではありません。口座開設後のフィッシング、不正ログイン、マルウェア、本人による口座売買までは防げないためです。銀行側には端末認証や取引監視、振込時の追加認証を組み合わせた継続的な対策が必要です。

読み取り用ソフトウェアや外部の本人確認事業者が新たな集中点になるリスクもあります。銀行が確認すべき対象はチップの安全性だけでなく、アプリ、クラウド、委託先、取得データの保存期間までを含むシステム全体です。

口座開設前に利用者が確認すべき準備

これからオンラインで口座を開設する場合は、銀行の公式サイトで利用できる本人確認書類を確認し、カードの住所、有効期限、電子証明書、暗証番号を事前に点検することが重要です。対応端末がない場合は、店舗の予約や代替手続きを早めに検討すると混乱を避けられます。

今回の変更は非対面の新規口座開設が中心であり、既存口座や運転免許証自体を無効にする措置ではありません。一方、制度変更を装った偽メールやSMSが増える可能性があるため、本人確認は公式アプリから開始し、届いたリンク先で暗証番号や認証コードを入力しないことが基本です。

銀行や事業者にとっては、ICチップ対応だけで完了ではありません。保存中の本人確認画像を棚卸しし、保有目的と期間を見直すことが次の課題です。今回の前倒し対応は、日本のeKYCが画像収集型から、暗号技術とデータ最小化を軸にした信頼基盤へ移る出発点となります。

参考資料:

• 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について｜金融庁
• 犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法に関する金融機関向けQ＆A｜金融庁
• 令和7年版 犯罪収益移転危険度調査書・JAFIC年次報告書｜警察庁
• 公的個人認証サービス｜デジタル庁
• マイナンバーカードの安全性｜デジタル庁
• マイナンバーカードおよび電子証明書の有効期限・更新｜デジタル庁
• ICカード免許証｜警視庁
• タイムズカーWebシステムへの不正アクセスに関する第5報｜タイムズカー
• 口座開設｜みずほ銀行
• アプリで口座開設｜三菱UFJ銀行
• タブレット口座開設サービスにおける本人確認方法の追加｜三菱UFJ銀行
• 口座開設の際の免許証顔写真による本人確認、取りやめの動き｜TBS NEWS DIG
• 金融機関の口座開設、ICチップによる本人確認が加速｜FNNプライムオンライン
• 3メガバンク、免許証確認を廃止｜共同通信配信
• 本人確認書類の撮影による申請の廃止、ICチップ方式への統一｜PayPay