金融庁の声明
2026年10月9日、金融庁が金融機関などへ、サイバーセキュリティ対策と本人確認の強化を求めました。
背景には、顧客向けサービスや業務システムへの不正アクセスが相次ぎ、運転免許証などの本人確認書類の画像を含む顧客情報が漏えいしていることにあります。
口座を作るときなどに、スマホで身分証や自分の顔を撮影する手続きがありますよね。こうした本人確認では、書類の厚みや顔の画像も確かめていたりしますが、最近は金融庁はなりすましの手口が巧妙になっているとして、対応を求めています。
要請の内容は、大きく三つです。
- 委託先の管理や事故発生時の対応も含め、情報を守る対策を点検する。
- 現在の本人確認で、書類や顔の画像に不自然な点がないか、確認を徹底する。
- 2027年4月1日の改正施行を待たず、ICチップを使う本人確認への対応を進める。
三つ目は「犯罪収益移転防止法施行規則」の改正を踏まえたものです。非対面の本人確認では、書類の画像送信による方法が廃止され原則としてICチップを利用する方法へ移行となります。金融庁の今回の発表は、この対応を前倒しするよう求めています。
方法の一つがマイナンバーカード
じゃあ次に口座などを申し込むときどんな方法で本人確認をすることになるか、が気になるところです。
その選択肢の1つというかおそらく最有力候補が、マイナンバーカードの電子証明書を使う公的個人認証サービス（JPKI）です。デジタル庁の案内でも、銀行や証券会社の口座開設ですでに使われている方法として紹介されています。
マイナンバーカードは2026年9月1日のデジタル大臣会見によれば、2026年7月末時点で保有率が84%に達しており、かなり身近なものになってきています。一方で、マイナンバーカード自体に情報漏えいの心配を感じる方も結構多い印象があります。安心して使うために、カードに何が入っていて、写真を送る本人確認と何が違うのか、ITエンジニア目線で家族にも説明できるくらい簡単な説明をしてみようと思います。
※一部正確さを欠いた表現になっている可能性があります
「ナンバー 」「カード」「電子証明書」は、それぞれ別のもの
まずは勘違いしがちなのが以下はすべて別物という点です。
| 名前 | 役割 |
|---|---|
| マイナンバー | 税や社会保障などの手続きで個人を識別する12桁の”番号” |
| マイナンバーカード | 顔写真、マイナンバー、ICチップ付きの身分証明書 |
| 電子証明書 | マイナンバーカードの中に入っているオンライン本人確認などに使う電子的な証明書（マイナンバーとは別物！ |
公的個人認証サービスで使用するのは電子証明書です。このときマイナンバーは使いません。デジタル庁は、公的個人認証サービスを次のように説明しています。
公的個人認証サービスとは、マイナンバーカードのICチップに搭載された電子証明書を利用（マイナンバーは利用しません）して、オンラインで利用者本人の認証や契約書等の文書が改ざんされていないことの確認を公的に行うための安全・確実な本人確認を行うためのサービスです。
マイナンバーカードといってますが、この本人確認ではマイナンバーはいらないんです。もはやマイナンバー記載しなくてもよかったのではと思ったりはしてます（“マイナンバー”カードという名前が…微妙やったんや…）。
本人確認の方法
このマイナンバーカードでの本人確認は異なる要素を組み合わせ認証になっているので多要素認証と呼ばれる仕組みになっています。具体的には、カードを持っていることと暗証番号を知っていることの二つを組み合わせて本人確認を実施します。カードだけを手に入れても、暗証番号がわからなければ、この方法で本人確認はできません。反対に、暗証番号だけを知られても、実物のカードが必要です。
さらに、ICチップ自体にも、内部の情報を不正に読み出しにくくする仕組み（耐タンパー性）があります。金庫にたとえると、鍵を確認するだけでなく、こじ開けようとする行為にも対策している、ということです。不正な解析への対抗措置として、記録情報を自動的に消去する機能などが備わっています。
秘密鍵で署名し、公開鍵で確かめる
では、オンラインでサービスを申し込むとき、相手はマイナンバーカードを使った本人であることをどう確かめるのでしょうか。
まず、暗証番号を入力してカードの署名機能を使えるようにすると、ICチップが「秘密鍵」を使い、申込内容に対応した電子署名を作ります。その署名を確かめるために使うのが、秘密鍵とペアになっている「公開鍵」です。どちらも、利用者が入力する暗証番号とは別のデータです。
| 名前 | 何に使う？ | どこで使う？ |
|---|---|---|
| 秘密鍵 | 電子署名を”作る” | カードのICチップ内で使い、誰にも渡さない |
| 公開鍵 | 電子署名が正しいか”確かめる” | 申込先へ渡し、確認に使ってもらう |
申込先は公開鍵を使い、受け取った署名が、ペアの秘密鍵でその申込内容に対して作られたものかを確かめます。印鑑にたとえると、秘密鍵は実印、電子署名は書類に押した印影に当たります。公開鍵は、その印影を確かめるためのデータです。
ちなみに、公開鍵で署名を確かめることはできても、それだけで新しい署名を作ることはできません。 確認する相手に公開鍵を渡せるのは、このためです。
電子証明書は、印鑑登録証明書のようなもの
電子署名を確かめられても、公開鍵だけでは持ち主が誰かまでは分かりません。そこで使うのが、印鑑登録証明書に似た役割を持つ「電子証明書」です。
実印を使う手続きでは、書類に印鑑登録証明書を添えることがあります。証明書には登録された印影と氏名などが記載され、その実印が誰のものとして登録されているかを確認できます。
電子証明書では、公開鍵と持ち主の情報を組み合わせ、発行元が「この公開鍵は、この人のものです」と証明します印鑑登録証明書が「印影と持ち主」を結び付けるように、電子証明書は「公開鍵と持ち主」を結び付けます。マイナンバーカードの署名用電子証明書は、J-LIS（地方公共団体情報システム機構）が発行します。
次の本人確認で、マイナンバーカードを使ってみよう
ここまで見てきたように、マイナンバーカードを使った公的個人認証サービス（JPKI）は、しっかり考えて（ベストプラクティスに沿って）セキュリティ対策されているので積極的に利用していきたいなとわたしは思っています。少なくとも、「免許証の画像を送る」ような方法よりは何倍もマシなはず。
次に本人確認が必要な機会があればマイナンバーカードぜひ使ってみてください。もしまだ持っていないという方も、これを機にカードを作ってみても良いのでは！