情報流出を受け、日本の銀行が本人確認書類の写真確認を前倒しで廃止　2027年4月の規則改正に先行

免許証画像の流出で銀行の対応が加速

タイムズカーシェアリングサービスへのサイバー攻撃で、約160万口座に関連する本人確認書類の画像が流出したことを受け、日本の銀行はオンライン口座開設の手続き変更を前倒ししている。みずほ銀行は2026年10月19日、本人確認書類の写真を使った確認を終了し、カード内のICチップを読み取る方式への移行を進めている他の金融機関に加わった。

法令上の期限は2027年4月1日だ。警察庁は、犯罪による収益の移転防止に関する法律の施行規則に関する改正規則のFAQでこの日付を示している。金融庁が10月9日に早期移行を促したことを受け、銀行は準備を加速している。

利用者にとって、直ちに必要となる対応は銀行や申込方法によって異なる。マイナンバーカード（日本の国民IDカード）が必要となるサービスもある。一方、運転免許証を受け付け続けるサービスもあるが、その場合は書類の写真を送るだけでなく、ICチップを読み取る必要がある。

銀行が対処しようとしているのは、企業から本人確認書類のコピーを盗む犯罪と、そのコピーを使って他人名義の口座を開設しようとする犯罪という、相互に関連した二つの問題だ。なりすましで取得された口座が、他人の身元を使って金融サービスにアクセスするために悪用されるおそれがある。

変更は大手銀行にとどまらない。地方銀行、ネット銀行、暗号資産取引所のZaifも変更を発表した。複数の期限は10月下旬から11月上旬に設定されており、全国的な規則の施行より数カ月早い。

タイムズカーで何が起きたのか

パーク24の関連会社が運営するタイムズカーで不正アクセスが発生し、銀行が対応を加速させる大きな要因となった。約660万口座に関連する情報が取得され、そのうち約160万口座に関連する本人確認書類の画像が含まれていた。

情報流出の説明によると、運転免許証の画像が流出した現・元利用者は100万人を超える。160万口座というより広い数字には、免許証以外の書類を含む本人確認書類の画像が含まれる。口座数を基にすると、影響を受けた660万口座の約24％で本人確認書類の画像が流出したことになる。

タイムズカーは、登録時の確認が完了した後に本人確認書類の画像を削除し、既に保存されている画像も10月末までに削除する方針だ。これにより、特に機微性の高い顧客情報をサービスが保管する期間が変わる。

銀行は、盗まれた書類が次に使われる可能性のある段階で対策を講じている。新しい確認方法では、カードのICチップや電子証明書の情報が必要となり、コピーした書類に見える氏名、住所、生年月日、顔写真を確認するだけでなく、追加の本人確認手順を設ける。

大手銀行の対応状況

みずほ銀行は10月19日、リモートでの口座開設時に運転免許証などの本人確認書類を撮影する方式を終了し、マイナンバーカードなど対応カードのICチップ情報を使う確認方式に切り替えた。これに先立ち、三井住友信託銀行と三菱UFJ銀行も変更を進めていた。

三井住友信託銀行は3月に書類の写真による本人確認を終了した。三菱UFJ銀行は5月29日の更新で、スマート口座開設アプリにおけるICチップの読み取りを必須とした。対応する運転免許証を使う申込者は、引き続きチップ読み取りで手続きできる。

三井住友銀行は、書類の写真を使う方式を終了する予定だ。りそなホールディングスは10月16日、オンライン口座開設で免許証の写真による確認を行わない方針を発表し、傘下4銀行での移行前倒しを検討している。三菱UFJ信託銀行も変更を検討中だ。これらの移行について、実施日はまだ発表されていない。

これから申し込む人にとって、各行の対応段階の違いは重要だ。旧方式を既に終了した銀行、終了日を設定した銀行、準備中の銀行がある。変更の対象は、各銀行が特定する口座開設サービスや申込方法に限られる。

申込者が確認すべき今後の期限

SBI新生銀行は10月27日、本人確認書類と申込者の顔写真を使った確認を終了する。10月28日以降は、原則としてアプリから口座を申し込む方式となり、マイナンバーカードまたは運転免許証のICチップ読み取りが必要になる。

あおぞら銀行は10月29日、BANKの預金口座開設ウェブサービスをマイナンバーカード認証に切り替える。京都銀行は10月15日の発表に続き、11月2日から京銀アプリで新規口座を開設する際にマイナンバーカードを必須とする。

主な変更と期限は数カ月にわたる。

• 2026年3月：三井住友信託銀行が書類の写真による確認を終了。
• 2026年5月29日：三菱UFJ銀行がスマート口座開設アプリでICチップの読み取りを必須化。
• 2026年9月28日：ドコモSMTBネット銀行が個人口座開設で写真を使う方式を終了。提携店舗も段階的に移行。
• 2026年10月9日：金融庁が金融機関に移行の加速を要請。
• 2026年10月13日から19日：Zaifが個人の新規口座開設で免許証の受け付けを停止、岩手銀行が「そら支店」の手続きを変更、みずほ銀行が書類の写真による確認を終了。
• 2026年10月22日から29日：百五銀行、SBI新生銀行、あおぞら銀行が対象サービスの変更を予定。
• 2026年11月2日：京都銀行がアプリでの口座開設にマイナンバーカード認証を必須化する予定。
• 2027年4月1日：改正後の全国規則が施行。

百五銀行が10月22日に行う変更は、新規口座開設にとどまらない。登録住所や電話番号の変更などの手続きでも、書類の写真を使った認証が対象となる。ICチップの読み取りと公的個人認証は引き続き利用できる。

ICチップによる確認の仕組み

金融庁のオンライン本人確認の概要では、銀行がリモートで顧客を確認する際に用いてきた方法を説明している。本人確認書類の写真を使う方式では、顔写真付き本人確認書類の画像と申込者の顔画像を組み合わせる。

この手続きでは、氏名や顔写真を撮影するだけではない。書類が真正なものかを判断するため、申込者の住所や生年月日などの情報に加え、厚みやその他の特徴が画像で確認できる必要がある。画像送信に使うソフトウェアは、銀行または委託先が提供する。

別の方式では、書類のICチップから読み取った情報と申込者の顔画像を組み合わせる。チップには氏名、住所、生年月日、顔写真などの本人確認情報が記録されている。銀行は書類の表面を撮影した画像に頼るのではなく、カードに電子的に記録された情報を利用できる。

マイナンバーカードは、公的個人認証サービス（JPKI）にも対応している。これは電子証明書と電子署名を使う。簡単に言えば、電子証明書はデジタル上の本人確認情報を示し、電子署名によって銀行は申込情報が改ざんされていないかを確認できる。

金融庁の概要は、電子証明書の有効性と電子署名を確認する必要があると説明している。京都銀行とあおぞら銀行は、対象サービスをこの方式に移行する。銀行は、認可を受けたサービス事業者に電子証明書と電子署名の確認を委託できる。

2027年4月に何が変わるのか

犯罪による収益の移転防止に関する法律の施行規則改正により、リモート取引で使われている、書類の写真と顔を照合する方式が廃止される。これに代わる手続きでは、ICチップ情報と電子認証が中心となる。

警察庁のFAQは、2025年12月5日から2026年1月3日まで実施されたパブリックコメントを経て公表された。ICチップの読み取りに伴う事業者の義務についても説明している。該当する書類提示方式を使う場合、チップから読み取った情報と書類に表示された情報を照合しなければならない。

警察庁によると、この照合は偽造・改ざん書類によるなりすましを防ぐことを目的としている。そのため、ICチップの読み取りに成功することは、電子情報と実物の書類が一致するかどうかも確認する手続きの一部となる。

FAQは、要件を満たすICチップを備えた書類の例として、マイナンバーカード、運転免許証、在留カード、特別永住者証明書、パスポートを挙げている。銀行などの規制対象事業者は、法律で認められた本人確認方法の中から提供する方式を選べるため、必要な書類は利用者によって異なる。

過去の本人確認に基づく記録を利用するための条件を満たす場合は、既存の確認記録を引き続き使える。FAQによると、新規則の施行を理由に、完了済みの本人確認をやり直す必要はない。

免許証は引き続き使えるのか

SBI新生銀行が予定する手続きでは、マイナンバーカードまたは運転免許証をICチップの読み取りで利用できる。三菱UFJ銀行も、対象アプリでICチップを搭載した免許証を引き続き受け付ける。免許証を使う申込者は、免許証交付時に設定した4桁の暗証番号を2つ用意するよう案内されている。

京都銀行はアプリで別の方式を採用し、11月2日以降、申込者にマイナンバーカードを求める。支店で口座を開設する場合は、引き続き運転免許証を使える。あおぞら銀行の対象ウェブサービスも、変更後はマイナンバーカードが必要となる。

SBI新生銀行は、アプリを利用できない申込者向けに代替手段を残す。本人確認書類を郵送するウェブ申込だ。カードを読み取れないスマートフォンを使っている人や、必要な電子認証を完了できない人にとって、こうした代替手段は実用上重要となる。

Zaifは10月13日の変更により、個人の新規申込者にマイナンバーカードと、カードを読み取れるスマートフォンを求めている。本人確認が既に済んでいる顧客には、この変更は適用されない。

地方銀行にも複数の移行方法

岩手銀行は10月16日、デジタル支店「そら支店」の新規口座開設手続きを変更した。利用者はマイナンバーカードのICチップと、署名用電子証明書の暗証番号を使う。北都銀行と荘内銀行は4月20日、ウェブ口座開設をJPKIに切り替え、書類確認と本人限定受取郵便を組み合わせた手続きを置き換えた。

ゆうちょ銀行は10月20日午前9時、ゆうちょダイレクトで投資信託口座やNISA口座を申し込む場合の変更を予定していた。これらの申込手続きでは、本人確認書類の画像アップロードに代わり、専用の本人確認アプリを通じたマイナンバーカード認証に移行する。この変更は投資関連サービスが対象となる。

既存の方式に電子認証を追加した金融機関もある。UI銀行は3月、書類と顔の撮影による確認を残しつつ、ICチップとJPKIの選択肢を追加した。北陸銀行は、セブン銀行ATMでの特定手続きにJPKIを導入し、従来の写真による手続きも引き続き利用できるようにした。

商工組合中央金庫は7月に顔写真の撮影とICチップ読み取りを組み合わせた方式を追加し、10月には公的個人認証を導入した。イオン銀行、千葉銀行、みんなの銀行、PayPay銀行、滋賀銀行も、特定のサービスでICチップや電子証明書を使う選択肢を導入している。現在、利用できる方法は金融機関や手続きによって異なる。

日本では、AndroidスマートフォンのGoogleウォレットにマイナンバーカードを追加する目標日も10月20日に設定された。金融庁の概要では、実物のカードに代わる電子記録を使う法的な方法について既に説明しており、指定プログラムが必要な本人確認情報を送信して検証する。

銀行口座以外にも及ぶリスク

サイバーセキュリティを専門とする北海道大学情報基盤センターの南弘征教授は、運転免許証の画像は特に流出時のリスクが高い情報だと指摘する。犯罪者は盗んだ画像を使い、他人名義でクレジットカードを申し込んだり、消費者金融から借り入れたり、携帯電話の契約を結んだりする可能性があると警告している。

南教授は、免許証の画像が流出したと知った人は、CICなどの信用情報機関に速やかに連絡するよう勧めている。盗まれた身元情報を使って誰かが信用供与を受けようとするリスクへの対策だ。

金融庁は10月9日の要請で、委託先、インターネットに接続されたシステム、インシデント対応体制を含むサイバーセキュリティの見直しを金融機関に求めた。また、銀行がICチップによる確認を急ぐ中で、本人確認書類や顔画像に不審な点がないかを確認するよう促した。

全国銀行協会の加藤勝彦会長（みずほ銀行頭取）は10月15日の記者会見で、本人確認書類のICチップを読み取る方式への移行をできるだけ急ぐよう銀行に呼びかけた。同協会は2027年4月の導入を目指して準備を進めていたが、規制当局の要請を受け、会員に前倒しを促している。

警察庁のFAQはデータの取り扱いについても説明している。対面確認でICチップから読み取った情報は、他の場所に送信する必要はないという。既存の本人確認記録に関する要件は引き続き適用される一方、事業者はICチップを読み取ったことを示すログを任意で保管できる。したがって銀行は、顧客をどう本人確認するかだけでなく、関連情報をどう管理するかも決める必要がある。

要点

• 日本の改正本人確認規則は2027年4月1日に施行される。
• みずほ銀行は10月19日に書類の写真による確認を終了。三井住友信託銀行と三菱UFJ銀行も先行して変更している。
• タイムズカーの情報流出では、約160万口座に関連する本人確認書類の画像が流出した。
• SBI新生銀行、あおぞら銀行、京都銀行は、10月28日から11月2日にかけて変更を予定している。
• マイナンバーカードが必要なサービスがある一方、ICチップ読み取りで運転免許証を引き続き使えるサービスもある。
• 一部の銀行では、支店や郵送による代替手段を引き続き利用できる。
• 金融庁は、サイバーセキュリティとインシデント対応の点検とともに、移行の前倒しを求めている。