企業へのサイバー攻撃がやみません。カーシェア大手「タイムズカー」では最大660万件の個人情報が漏洩し、運転免許証画像などの本人確認書類も約160万件分が流出しました。金融庁は銀行や証券会社、保険会社に対し、2027年4月の犯罪収益移転防止法（犯収法）施行規則改正を待たずに、免許証の撮影による本人確認をやめてICチップの読み取りへ移行するよう注意喚起しています。本人確認書類の画像という「なりすまし」犯罪の格好の“ツール”になる情報を企業が取得・保存することのリスクが現実となった今、企業に求められるのは情報管理のセキュリティ強化だけではありません。センシティブな情報の保有リスクを大きく低減できる公的個人認証サービス（JPKI）*を使った本人確認の速やかな導入が最適解となるのです。本記事ではJPKIの必要性と特長を詳しく解説していきます。

*公的個人認証サービス（JPKI = Japanese Public Key Infrastructure）：マイナンバーカードのICチップに搭載された電子証明書を利用し、オンラインで利用者本人の認証や契約書等の文書が改ざんされていないことを公的に認証する仕組みのこと。安全・確実かつ厳格な本人確認が手軽にできる点が特長

・関連記事：本人確認の厳格化が進行中｜券面確認廃止と「ICチップ読み取り」の重要性（マイナ活用.com、2026年2月17日公開）

目次

「画像を持つこと」のリスクが露わに

今回のタイムズカーの事案で改めて浮き彫りになったのは、「本人確認書類の画像を保存している」という事実そのものがリスクになり得るという点でしょう。

タイムズカーの発表によると、不正アクセス被害によりユーザーの免許証画像などの本人確認書類約146万件に外部流出の痕跡が確認されました。免許証の画像には氏名、住所、生年月日、顔写真といった「なりすまし」に必要な情報が一通り揃っています。なおかつ、生年月日や顔写真の情報はパスワードと違って変更できません。一度流出してしまうと、悪用の恐れが長く残り続けます。

・参考：「タイムズカーWebシステム」への不正アクセスに関する調査結果および今後の対応について（第3報）

実際、その影響は甚大で、流出した当事者たち個人の手続きに及んでいます。流出した画像を使って第三者がクレジットカードやローンを申し込むような事態に備え、国内に3つある信用情報機関には、本人確認書類の盗難などを申し出て信用情報に記載してもらう「本人申告」を届け出る人が殺到しました。

全国銀行個人信用情報センター（KSC）は、タイムズカーが本事案の第1報を発表した4日後の2026年9月29日、ウェブでの受付を一時休止しました。日本信用情報機構（JICC）もスマートフォンアプリでの受付を一時停止する事態となりました。

クレジットカード関連情報を管理するシー・アイ・シー（CIC）も、届け出の急増により電話回線を増強しました。

・参考：タイムズカー情報流出、信用機関に悪用防止要請殺到　クレカ発行に手間（日経電子版、2026年10月16日）

他方、本人申告には代償もあります。信用情報には5年間、本人確認書類が流出した旨が記載されます。上記の日経新聞の記事では、新しいクレジットカードの発行などで審査に時間がかかったり、提出を求められる本人確認書類が増えたりする可能性が指摘されています。届け出には500〜2,400円程度の費用もかかるため、不利益は計り知れません。

被害の本質は、事業者の情報管理の問題にとどまらず、利用者（消費者）の側に長期の負担を強いる点にあります。無論、いちど毀損した企業の信頼・信用の回復も長い道のりになるでしょう。

金融庁がICチップ方式への移行前倒しを要請

こうした中、金融庁は2026年10月9日付で、銀行、証券会社、保険会社に本人確認に関するセキュリティ対策の強化を要請しました。サイバー攻撃による大規模な個人情報漏洩が事業会社で多発していることを受けたもので、具体的には運転免許証などの身分証明書を撮影した画像によって本人確認をする方法を取りやめ、マイナンバーカードや免許証などのICチップの読み取りへ移行するよう求めています。

・参考：金融庁通知文｜現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について（2026年10月9日）

金融庁はICチップ読み取りを「不正対策として極めて効果が高い」と位置づけています。背景には、2027年4月の犯収法施行規則改正があります。この改正により、オンラインで認められる本人確認方法のうち、証明書類の画像と容貌写真を送る「ホ方式」は廃止されます。つまり、運転免許証などの撮影による口座開設は、2027年4月から認められなくなるのです。

今回の金融庁の要請は、銀行や証券会社、保険会社がこの期限を待たずにホ方式による本人確認を止めるよう求めたものです。合わせて、サイバー攻撃対策や、本人確認書類の画像に不自然な点がないかの確認の徹底も要請しています。

この「ホ方式」が廃止されると、犯収法施行規則で認められるオンラインの本人確認手法はICチップを用いるものが主流になります（下表）。

・参考：犯収法上のオンライン本人確認がJPKIに原則一本化へ！ 企業の対応策は（マイナ活用.com、2024年9月19日公開 = 2026年8月時点の最新情報に更新）

メガバンクはすでに動いています。三菱UFJ銀行は2026年5月に運転免許証などの画像を使った口座開設を廃止しました。同行を含むメガ3行は2026年度中にICチップ読み取りへ移行すると報じられており、追随する地方銀行も出てきています。前倒し対応は業界標準へと変わりつつあります。

重要なのは、この動きが金融機関だけの話ではない点です。犯収法の対象となる特定事業者は、金融機関、不動産、クレジットカード、宝飾など多岐にわたります（下図）。

免許証などの券面画像による本人確認は何故もろい

画像方式では偽造見抜けず

そもそも、画像送信による本人確認（ホ方式）が廃止されることになったのは、情報流出リスクが発端ではありません。オンラインでは画像が本物か偽物か、あるいは偽造された本人確認書類かどうかを確実に判別できないからです。

2026年1月には、本物のマイナンバーカードの券面の一部を削り取り、他人の情報を印字したフィルムを貼り付けることで他人になりすまし、銀行口座を開設していたグループが摘発されました。報道によると、偽造カード168枚を使い、金融機関などから約6億円をだまし取った疑いが持たれていました。目視でも、カメラで撮影した画像でも、このような精巧な加工を見破るのはデジタル技術の日進月歩によって難しくなっています。

つまり、画像方式には2つの弱点があるということです。

1. 偽造された書類を見抜けない

2. 保存した画像が漏洩するリスクを原始的に抱える

「画像管理の強化」だけでは足りない

昨今の流出事案を受け、多くの事業者が取得・保存した画像の暗号化やアクセス権限の厳格化、保存期間の短縮といった対策を検討しているのではないでしょうか。これらが重要であることは論をまたないところです。ただ、それでも次のような課題は残ります。

まず、管理を強化してもサイバー攻撃を完全に防げるわけではないということです。画像を保存している限り、侵入されたときの被害はその件数分だけ発生します。「守る」ことと同時に「そもそも持たない」設計への見直しも必要でしょう。

次に、管理を強化したとて、「偽造を見抜けない」という弱点は解消されない点です。画像の取得・保存の安全性を高めても、本人確認の確実性は向上しません。

JPKIなら画像を持たずに本人確認ができる

ICチップのセキュリティは堅牢

そこで有力な選択肢となるのが、マイナンバーカードの公的個人認証サービス（JPKI）です。JPKIでは、ユーザーがスマートフォンでマイナンバーカードを読み取り、ICチップ内の電子証明書で本人であることを確認します。確認は電子的に行われるため、事業者は本人確認書類の画像を取得・保存する必要がありません。

本人確認の確実性やセキュリティの堅牢性の面でも画像方式とは根本的に異なります。マイナンバーカードのICチップは、無理に情報を読み取ろうとするとメモリの内容が消去されるなどの耐タンパー性を備えています（下図）。

・参考：マイナンバーカードのICチップ徹底解説！ 本人確認が劇的に変わる！（マイナ活用.com、2024年8月23日公開）

前章で触れた券面偽造事件でも、ICチップの中身までは改変されていませんでした。券面が加工されたとしても、ICチップを読み取っていれば本来の持ち主の情報が表示されるため、不正を防げたはずです。

また、カードは市区町村の窓口で厳格な対面確認を経て発行されるため、発行段階でも身元が確かめられています。

JPKIへの関心の高まりは、数字にも表れています。日経新聞の報道によると、マイナンバーカードを使った認証の導入に関する企業からデジタル庁への相談は、2026年4月の36件から9月は76件に増え、10月は16日時点で既に74件に達しているそうです。地方自治体など他の行政機関を含めた相談の合計は、月50件程度から約300件のペースと約6倍に増えているとのことです。

・参考：マイナ認証の導入、デジタル庁に相談6倍　相次ぐ不正アクセスで関心（日経電子版、2026年10月18日）

「Androidのマイナンバーカード」提供開始

利便性の面でも環境は整いつつあります。2026年10月20日からはマイナンバーカードをAndroidスマホにも搭載できるようになりました（従来はスマホ用電子証明書の搭載でした）。利用者（消費者）側ではマイナンバーカード本体がなくても認証が可能になります。

なお、iPhoneはAndroidに先行して2025年6月からマイナンバーカードの搭載が可能になっています。

・参考：デジタル庁｜「Androidのマイナンバーカード」の提供を開始しました（2026年10月20日）

前倒し移行を進めるための3つのステップ

では、事業者は何から始めればよいのでしょうか。実務的な進め方を3つに整理します。

1. 現状の棚卸しです。自社がどの方式で本人確認を行っているか、どんな本人確認書類の画像をどこに、どれだけの期間保存しているかを洗い出します。退会した利用者の画像を保管し続けていないかも、あわせて確認してください

2. 保存データの最小化です。すでに保管している画像のうち、法令上必要な期間を超えているものを整理します。そのうえで、新規の本人確認は、画像を保存しない方式に切り替える計画を立てます

3. ICチップ・JPKI方式への段階的な移行です。まず新規ユーザーの本人確認をJPKIに切り替え、既存の利用者についても、再確認のタイミングで順次移行する方法が現実的です。なお、マイナンバーカードを持たない人への代替手段も、あらかじめ用意しておく必要があります

ただ、自社でネイティブアプリを開発し、ICチップの読み取り機能を実装する場合は、テスト用マイナンバーカードの手配や検証に多大な期間がかかります。2027年4月の施行を待たず、さらに金融庁が前倒しを求めている現在、なおのこと開発期間の短縮が課題になります。

そこで、自社開発よりもはるかに容易にJPKIを導入できるようにするのが、当社ポケットサインのAPIサービス「PocketSign Verify（ポケットサイン・ベリファイ）」です。

マイナンバーカード活用ならポケットサイン

PocketSign Verifyは、証明書を用いたデジタル署名の検証を行うAPIと、マイナンバーカードと通信して署名の生成や証明書の吸い出しを行うSDK（ソフトウェア開発キット）を利用できます。JPKIはもちろん、ICチップ読み取りにも対応しており、本人確認の方式を見直す際の選択肢として、段階的な移行をご支援できます。

▼PocketSign Verifyの詳細はこちら
https://pocketsign.co.jp/service/pocketsignplatform#verify

なお、JPKIを他者に提供するには、公的個人認証法に基づく主務大臣認定プラットフォーム事業者になる必要があります。当社は2023年3月に、民間事業者としては16社目となるプラットフォーム事業者認定を取得しています。また、PocketSign Verifyは、マイナンバーカードを使わずにスマートフォンのみでJPKIを利用できる「スマホJPKI」への対応も完了しています。

流出リスクを抱えた画像方式を使い続けるのか、画像を持たない本人確認へ移行するのか。2027年4月を待たず、今が見直しの時期です。本人確認方式の見直しをご検討の際は、ぜひ実績豊富な当社にご相談ください。

▼ポケットサインのサービスや取り組みについては当社公式サイトをご覧ください。
https://pocketsign.co.jp/

▼ポケットサインお問い合わせフォーム
https://pocketsign.co.jp/contact