本人確認の常識が変わる 免許証撮影方式を銀行やPayPayが廃止 流出リスクとなりすまし対策

口座開設やスマホ決済で広く使われてきた「免許証を撮影して送る」方式のオンライン本人確認が、銀行や決済事業者で相次いで廃止されている。三菱UFJ銀行、みずほ銀行、三井住友銀行の3メガバンクはオンライン口座開設などでの免許証撮影方式をすでに廃止し、PayPayも11月上旬までに終了する予定だ。免許証の画像データが流出すれば、名前や住所、生年月日、顔写真が一括して外部に渡るリスクがあり、それを悪用したなりすまし口座開設が詐欺や資金洗浄に結びつく恐れが指摘されている。

背景にあるのが、本人確認書類の画像をめぐる情報漏えいの実例だ。カーシェアサービスのタイムズカーでは、9月に発覚した不正アクセスをめぐり、10月23日に公表された調査結果で約146万件の本人確認書類画像データに外部送信の痕跡が見つかった。同社は本人確認に使った画像を退会後も7年間保管しており、事件を受け、登録確認後は削除する運用へ変更した。事業者側に画像を長期保管する慣行が残っていた実態が浮き彫りとなり、本人確認データの扱いを見直す動きが業界全体に広がった。

本人確認をめぐる技術の転換は、カード決済の認証にも及んでいる。楽天カードは10月29日、オンライン決済時の本人認証サービス「3Dセキュア」について、利用者が自身で設定した固定パスワードによる認証を2027年2月から順次廃止し、ワンタイムパスワード方式に統一すると発表した。不正利用の防止が目的で、固定パスワードを利用する会員には2027年1月31日までに会員専用サイトから切り替えるよう呼び掛けている。期限までに切り替えできない場合や携帯電話番号が未登録の場合は、一部店舗でカードが使えなくなる可能性があるという。

一連の動きは、利便性を優先してきたオンライン本人確認が、セキュリティとの両立を迫られていることを示す。免許証の写真を送る方式から、NFC読み取りによる真正性確認や顔照合、ワンタイムパスワードなど、なりすましに強い手段への移行が進んでいる。利用者側としては、これまでに送信した書類画像が事業者にどの期間保管されるのかを確認し、不要になったデータの削除を求めることが重要になる。企業にとっては、本人確認データの最小限保有と速やかな削除が、信頼確保の前提となりつつある。