【鈴木淳也のPay Attention】なぜパスポートはダメ? 大情報漏洩時代の本人確認がマイナカードに集約される理由

急増するサイバー攻撃対策に向け10月8日に実施された不正アクセスによる漏えい等の事案を踏まえた関係省庁会議の模様

近年企業や個人へのサイバー攻撃が激化しているのは既知の通りだが、要因は2つ考えられる。1つはAIの登場により攻撃のためのツール作成が容易になり、また言語の壁を破ることもたやすくなったため、これまでこの壁の存在によって、海外の犯罪グループによる直接的なフィッシング攻撃を比較的回避できていた日本においてもそのターゲットにされる機会が増えてきたといえる。もう1つは、連日不正アクセスのニュースがさまざまな媒体に露出したり、普段の会話でのテーマになりやすくなったことから、「実はウチもやられているかも……」ということで検証した結果、これまで隠れていた被害報告が一挙に噴出したとも想像できる。

今回の一連のニュースで気になったのは、「タイムズカー」等を運営するパーク24が本人確認に用いていた運転免許証画像が漏洩したことを報告したというものだ。単純に名前や生年月日が漏れるのみならず、顔写真を含む券面画像そのものが流出したことで“券面情報だけ”という条件はつくものの、偽造が容易になるからだ。

審査が甘い窓口やオンラインでの申請により、この偽の本人確認書類で各種契約ができてしまい、例えば犯罪に使う送金口座やローン契約などが可能かもしれない。

情報漏洩に関するお詫びを掲載するタイムズカー

マネーロンダリングや犯罪・テロ組織への資金供与を防止するため、本人確認を厳格化して二次被害を防ぐ「犯罪収益移転防止法(犯収法)」がある。世情に合わせて少しずつ改正が進められており、2027年4月1日に施行される改正犯収法では、これまで券面チェックのみでも問題なかった対面ならびにオンラインでの本人確認において、原則としてICチップの利用が義務化されることになる。ICチップの偽造は非常に困難なため、今回のタイムズカーのような券面情報をそのままコピーしただけの偽造本人確認書類では審査を通すのが難しくなる。一方で、27年4月の改正犯収法施行を前に大量の券面流出事件が発生してしまったため、金融庁などの通達の中で「IC義務化の実質前倒し」の指導が行なわれていたりする。

今回はこの改正犯収法も含め、本人確認における事情を改めて整理したい。

改正犯収法で本人確認手段はどう変わるのか

来年4月1日施行の改正犯収法の内容についてはe-Govのページで確認できる。

本稿執筆時点で現行の8月6日施行のものについても、同じくe-Govのページで確認できる。

本人確認手段についての記載は「犯収法規則6条1項1号」にあり、両者を比べるとどのような変更が行なわれているかが分かる。もっとも、記述内容自体が非常に分かりにくいうえ、イロハ順に各手段が掲載されている一方で、もし翌年に当該項目が廃止または変更になった場合、順番が入れ替わった状態で再びイロハ順で採番が始まるため、差分の比較が面倒だ。

簡単(?)ではあるが、下図に一覧としてまとめてみた。

現行の犯収法規則6条1項1号と来年4月1日に施行される改正犯収法との差分比較

ざっと確認した範囲でも分かるが、改正犯収法では基本的にICチップの読み取りを前提としており、例外としては特定の取引にのみ許可される(改正犯収法の)ヘ方式や、“非居住外国人等”で定義される国内発行のICチップ搭載書類や国内のリーダー装置では読み取りが困難なICチップ書類を持つケースなどを対象に、(改正犯収法の)ヲ〜カ方式のように特例措置として目視のみでの取り扱いが許可される。

ここでの注目の1つは「本人の容貌撮影＋顔写真つき本人確認書類の撮影画像の送信」で示される(改正前の)ホ方式だ。いわゆるセルフィーで自分の動画を撮影しつつ、正面や傾けた本人確認書類をアプリ等で送信することで本人確認を行なうが、少し前まではeKYCでの主役だった。だが現在、マイナンバーカードを中心に、運転免許証や在留カードでのICチップによる本人確認が可能になったいま、改正犯収法の施行をもって廃止されることになる。

これにより、オンラインで本人確認を行なうeKYCの手段は、(改正犯収法の)ハ方式／ト方式／ヌ方式に実質的に絞られることになる。改正後のヌ方式は、いわゆるマイナンバーカードをスマートフォンのNFCリーダーやPCの読み取り装置にかざしてJPKIで本人確認を行なうやり方だ。ト方式の「カード代替電磁的記録」とは、例えば「iPhoneのマイナンバーカード」や「Androidのマイナンバーカード」のようなものを指しており、カードのICチップを用いずに、スマートフォン内に記録されたマイナンバーカード情報を認証に用いる。

最後の(改正犯収法の)ハ方式だが、これは運転免許証と在留カード、そしてマイナンバーカードの利用を想定している。

なぜ運転免許証と在留カードではICチップの確認だけでなく、容貌(セルフィー)の撮影も必要になるのかといえば、これら本人確認書類には顔写真を含む券面情報しか格納されておらず、本人であることを証明して署名する「署名用電子証明書」が搭載されていないからだ。ICチップ内の情報は偽造が困難なため、記載情報自体の真偽は検証できるものの、実際に操作を行なっているのが本人かどうかの証明ができない。そのため、容貌の撮影とセットでICチップ内の(顔写真付きの)情報を送信することで、双方を見比べて「いまセルフィーをやっている人間がICチップ内の情報を送信していますよ」ということを示すわけだ。

なお、ヌ方式だけでなくホ方式でもマイナンバーカードが含まれる理由だが、暗証番号を設定していないケースや、(年齢などが理由で)署名用電子証明書が搭載されていないケースがある。その場合、ヌ方式で規定される本人確認の手順を踏めないため、ハ方式で容貌撮影とセットで本人確認を行なう流れだ。

なぜ運転免許証ではなくマイナンバーカードがeKYCに向いているのか

日本人を対象とした本人確認手段として、特にeKYCではマイナンバーカードと運転免許証の2つが主な手段ということになるが、先日サービスがスタートしたteppayにみられるように、最初からマイナンバーカードによるeKYCで一本化しているサービスもある。

なぜ運転免許証ではなくマイナンバーカードなのかという話だが、いくつか理由が考えられる。

実装の難易度と利便性が異なる

前述のように改正犯収法の施行まですでに半年を切っており、改正前のホ方式は利用できなくなるため、運転免許証の場合は改正後のハ方式を利用することになる。セルフィーによる容貌撮影の場合、エラーで離脱率が高い可能性があるのと(回線事情にもよる)、本人確認作業を行なうeKYC事業者がAIによる判断を導入してある程度スピードアップしているとはいえ、最後は人力でのチェックが必要になる。

そのため、teppayのようにベースとなるユーザー数(モバイルSuicaの4,500万会員)が一斉にやってくる状態を考えると、数日間は本人確認だけで処理がパンクする可能性が高い。

他方でヌ方式のマイナンバーカードの電子署名を使った本人確認の場合は機械的に処理が可能なため待ち時間が発生しない。この点は大きなメリットだ。

10月20日にスタートしたteppayではマイナンバーカードのICチップによる本人確認に一本化されている

また、eKYC事業者やデジタル庁がJPKIのためのSDKを提供していることもマイナンバーカードには大きい。改正後のハ方式の場合、容貌撮影用の仕組みを組み込んだうえで(この部分も一応SDK化されているが……)、本人確認作業を事業者側に委託する形となる。

両者で異なる離脱率の差

だが、おそらく実装難易度で最も大きいのは「暗証番号・パスワードの入力」にまつわる部分だろう。

JPKIでの本人確認の場合、基本4情報に電子署名を添えて暗号化した状態でデータを送信する。この際に利用されるのは署名用電子証明書で、その暗証番号は6桁以上の英数字からなる、いわゆる“長い方のパスワード”だ。Liquidがデータを公開しているが、パスワード忘れなどによる離脱率は3〜5割ほどで割と高いという印象だ。ただ、改正後のハ方式をマイナンバーカードで利用した場合、暗証番号の入力は求められないため、離脱率は一気に15〜30％程度に低下する。

ところが運転免許証の場合、ハ方式を選択してもICチップ内の情報を取り出すために、数字4桁の2つの暗証番号を求められるため、ここでまた離脱率が3〜5割まで上昇してしまう。加えて、暗証番号入力を3回間違えるとICチップがロックされてしまうため、この解除のために警察署などに出向かなければならない。

一方でマイナンバーカードはコンビニエンスストアなどに加え、専用のアプリで正しい暗証番号やパスワードを入力することでロックの解除(パスワードの再設定)ができる。特に改正犯収法施行以降のこの違いは大きく、オンラインでの本人確認の主役はマイナンバーカードが中心になっていくだろう。

パスポートはなぜ(特定用途での)本人確認に使えないのか

もう1つ、たびたびSNSなどで見られるのが「なぜ(特定用途での)本人確認書類にパスポートが利用できないのか？ 世界で通じて日本で通じないのはおかしいのでは？」という言説だ。

パスポート(旅券)は本人であることを確認できる本人確認書類であること自体は問題ないが、一方で犯収法の第4条第1項において「氏名」「生年月日」「住居」の3つを「本人特定事項」として確認を求めており、これらが1つでも欠けると法令違反という扱いになる。

一般に、不動産登記法や旅館業法のような本人かどうか“確認”するだけでいいケースではパスポートでも問題にならないものの、犯収法が対象とする金融取引ではマネーロンダリングの危険性も鑑みて、「実際に当該住所での生活実態があるか」「何かあった場合に警察や税務当局が調査に向かえる拠点があるか」といった点でトレーサビリティの観点から位置情報(住所)の提示が必須となっている。

これは日本独自の基準ではなく「FATF：Financial Action Task Force(金融活動作業部会)」と呼ばれるマネーロンダリング等による拡散資金対策を主眼にした国際政府間組織が作っている規制基準だ。FATFでは「FATF Recommendations」という関連機関への勧告文書を出しており、本人確認情報の中に「住所(Residential Address)」が含まれていることが分かる。

「FATF Recommendations」で示される本人確認情報

では具体的にどういった取引で犯収法でいう本人確認が行なわれるのかは、政府広報のページにその一例が紹介されている。金融取引かつ、一定以上の金額の移動が発生するものがその主な対象となっている。

また、犯収法とは異なるものの、同様の本人確認に関する規制があるのが「携帯電話不正利用防止法(携帯法)」だ。携帯電話が犯罪組織の詐欺や活動に使われる危険性が高く、不正利用を防止するのが狙いとなる。犯収法との直接的なリンクはないものの、実質的に本人確認方法や世情を受けての対策で近い動きをしており、その点で相似関係にあるといえる。

犯収法が規定する本人確認を必要とする取引の例

これで国際機関が定める金融取引関連の“本人確認”において現住所の情報がない本人確認書類が不適格であることが分かったが、パスポートに住所情報の記載がないのもまた日本だけの話なのか。

パスポートの国際規格を定める「ICAO：International Civil Aviation Organization(国際民間航空機関)」の仕様では、住所情報は“オプショナル”の扱いであり、特に記載を定めてはいない。重要なのはパスポートの顔写真が掲載されたページで、ここに記載されている情報が必須項目(Mandate)となっている。現在日本国内で発行されているパスポートにはすべてICチップが搭載されているが、その中身もまたこの顔写真ページの券面情報を反映したものとなっている。

ICAOの求める顔写真が掲載されるページの必須情報

ICAOのパスポート仕様をまとめた「Doc 9303」をもう少し深掘りしていく。全部で13のパートに分かれているPDF文書が公開されているが、このうちのPart 10にあたる「LDS(Logical Data Structure)」がICチップ内に格納されたデータ構造を示している。

フィールド一覧を見ると分かるが、顔写真ページの必須情報とイコールであり、やはり住所欄はない。余談だが、ICチップにおける名前フィールドの長さは30バイトしか確保されておらず、顔写真ページの名前長(機械判読エリアの下から2段目)である44バイトより短くなっている(実際にはフィラーや識別子が入るので39バイト)。ドキュメントによれば、30バイトに入らない名前はファーストネームとミドルネームの順に機械的に削られていき、無理矢理30バイトに収めるようだ。

パスポートのICチップにおける情報フィールドの構造その1

パスポートのICチップにおける情報フィールドの構造その2

これら顔写真ページの必須情報は「DG 1(Data Group 1)」のカテゴリで括られているが、これをさらに読んでいくとDG 11のカテゴリの部分に住所欄があることに気付く。これはオプショナルな扱いであり、基本的に日本でパスポートが発行される際には空欄になっている。おそらく諸外国もほぼ同様の運用を行なっていると考えられる。

「なぜ住所フィールドが(ICチップ内に)あるのに活用されないのか?」という疑問が湧くかもしれないが、運用上の問題で使いにくいというのが最大の理由なのかもしれない。

パスポートのICチップは情報を読み取って改竄等が行なわれていないかどうかの検証はできるものの、情報を書き込む術がない。この情報は書き換え不可能なエリア(ROM)の部分に格納されており、パスポート発行時のみ書き込みが可能な状態となっている。

そのため、5年パスポートならいざ知らず、10年パスポートでは引っ越してもICチップ内の住所変更が行なえず、実質的に改竄検知が役に立たない。現住所の確認もできず、あくまで備考欄という扱いなのだ。

Doc 9303のDG 11セクションにある備考欄。ここに住所フィールドが存在する

ただ1点、日本国内においてパスポートの扱いが難しいのは、2020年2月3日以前に申請・発行されたパスポートについては最終ページに「所持人記入欄」があり、そこに住所を“手書き”で書き込めるようになっており、これが先ほどのFATFのいう本人確認のための3要素を満たした公式書類になってしまっていることにある。

現在はこの欄自体が存在しないため無効だが、10年パスポートを利用する人はこれによってパスポートを現在でもなお本人確認書類として住所確認のための補助書類なしで提示することが可能になっている。写真は筆者のパスポートだが、次の更新までまだ数年あるため、当該の欄が残っている。

2020年2月3日以前のパスポートは住所欄があり、ここに書き込むと現住所を示す本人確認書類として機能する

とはいえ、仮にボールペンのような消すのが難しいインクで住所を記述したとして、あくまで本人の手書きによる住所であり、これが公的に認められた住所で相違ないかまでを保証できるものではない。決まり上、現住所が確認可能な本人確認書類という扱いになってしまっているものの、ICチップ内の情報確認まで求められる現在において問題があるのは間違いない。

そのため、実際の運用においては金融機関等においてパスポートを持ち込んでの口座開設や送金依頼があった場合、いくら住所欄があっても単体の書類として認めないケースがほとんどだ。金融機関は民間企業であり、取引上不都合のある依頼は断ることが可能なため、このような形で運用で脆弱性をカバーしているのが実態だ。

このほか、諸外国での“本人確認”の運用を見ていくと、特に欧米圏において本人確認書類と現住所を証明する書類(公共料金支払いの領収書や銀行の取引明細)を持参してセットで提示するケースが目立つ。

理由として、パスポートのように手持ちのIDや運転免許証で本人であることの確認までは行なえても、それらIDでは現住所を示すことが難しいからだ。

米国の例でいえば、Driver's LicenseやState IDといった本人確認書類が存在するが、そこに記載された住所欄は引っ越しても更新されず、IDの有効期限が来たタイミングで初めて住所の更新が行なわれるといった具合だ(提示した住所にIDが郵送されてくるため、それで証明になる)。その点で、マイナンバーカードのような仕組みであれば現住所のほぼリアルタイムでの追跡が可能で、本人確認の手間が少ない点で、世界的に見てもIDの利便性という点では優位にある。

個人情報を出すことに警戒する声もあるかもしれないが、それはあくまで利便性とリスクのトレードオフであり、個々人の判断でそのメリットを理解すればいいと思う。