日本の金融庁(FSA)は10月9日(金曜日)、銀行および暗号資産交換業者に対し、顧客確認のための写真による本人確認書類の提出要件を廃止するよう指示した。これにより、本人確認書類に埋め込まれたICチップを読み取る方式への移行が進む。今回の指示により、従来2027年4月1日に施行予定だった移行の時期が前倒しされた。

この前倒しは、日本最大のカーシェアリングサービス「Times Car」で約160万枚の運転免許証画像が漏洩した事故を受けたものである。この漏洩は、規制当局がフロンティアAIの能力についてすでに示していた懸念を一層強めることとなった。また、廃止される本人確認方式の根本的な弱点、すなわち写真ベースの確認がまさに最近の漏洩で流出した種類のID画像に依存しているという点をも浮き彫りにした。

写真による本人確認の終焉

公式サイトで公開された通知の中で、金融庁は、顧客データやID画像が流出した最近のセキュリティ事故を踏まえ、銀行および暗号資産交換業者に対し、犯罪による収益の移転防止法改正の2027年4月施行日を待たないよう要請した。

直近の大規模漏洩は、会員数約540万人を擁し、日本のカーシェアリング市場の約70%のシェアを占めるTimes Carを襲った。約2週間前に発覚したこの事故では、約660万件のユーザー記録のうち約160万件の顧客本人確認書類が流出した。東京弁護士会の牧之瀬有紀弁護士が準備中の同社に対する集団訴訟には、すでに1万5,000人以上が参加を登録している。

現行制度では、顧客は本人確認のためにID書類の写真を提出する。その代替となる方式はICチップデータの読み取りによって本人確認を行うもので、金融庁は不正に対してはるかに有効であると評価している。チップ読み取り方式では、スマートフォンでカード内に保存されたデータを読み取り、チップに記録された氏名・住所・生年月日・顔写真を申請者の生体画像と照合する。廃止されるのは書類画像のアップロード工程のみで、申請者の顔を撮影する確認方法は引き続き維持される。静的なアップロードとは異なり、この確認は画像ではなく実物のカードそのものに基づくものである。

暗号資産交換業者が従来の銀行と同じ指示を受けたのは、金融庁が金融分野のサイバーセキュリティガイドにおいて、暗号資産交換業者を金融機関として扱っているためである。顧客にとっては、取引所アカウント開設に必要な本人確認がこの移行の対象に含まれることになる。

通知ではまた、銀行・交換業者に対し、非対面オンボーディング時に書類の厚みや申請者の顔を確認する手順を見直すこと、および外部ベンダーへのチェックを強化することが推奨された。

フロンティアAIに関する警告

10月9日の通知で金融庁は、過去2つの要請、すなわち金融分野のサイバーセキュリティガイドラインと、日本銀行(BOJ)と共同で発表した「フロンティアAI」脅威への短期的対策に関する2026年5月の要請を引用した。

フロンティアAIとは、高度な推論能力と自律性を備えた最先端モデルを指す言葉であり、悪意ある行為者が漏洩したID画像をなりすまし素材に変える能力を増大させている。

この脅威はすでに地域で現実のものとなっている。Cryptopolitanが今月初めに報じたように、韓国の7つの金融機関が、オープンソースツールARTEXとClaude Codeを使用したAI支援型ハッカーによる攻撃を受けた。

8月6日には、金融庁が警察庁とともに、日本暗号資産取引業協会(JVCEA)を通じてすべての暗号資産交換業者に対し、書類の真贋確認と出金限度額の強化を求めており、当時Cryptopolitanが報じている。

法定の2027年4月期日は変わらず残されているが、注目すべき実務上の指標は実行力である。すなわち、各銀行・交換業者がどれだけ迅速にオンボーディングをチップ読み取りへ移行できるか、そして通知が指摘した非対面確認とベンダー確認をどれだけ徹底的に改めるかである。