個人情報流出、その先のリスクにどう備えるか

企業にとって、サイバー攻撃への備えを強化し、個人情報を「漏らさない」ための対策を徹底することは、いまや大前提の取り組みとなっています。また、仮に情報が漏洩した場合には、利用者自身も不審な連絡やなりすましなどの二次被害に注意する必要があります。

しかし、一度流出してしまった個人情報そのものを、なかったことにはできません。

では、氏名や住所、さらには本人確認書類の画像まで第三者に知られてしまったとしても、その情報を使って誰かが「自分」になりすますことを防ぐには何が必要なのでしょうか。
これからの時代に求められるのは、「個人情報を漏らさない」ための対策に加えて、「漏れた情報だけでは本人になりすませない」ための仕組みです。
情報を守ることから、一人ひとりのアイデンティティそのものを守ること。本人確認のあり方が、あらためて問われています。

本人確認では、氏名や住所、生年月日などの情報や運転免許証などの本人確認書類をもとに、「本人であること」を確認します。
しかし、こうした情報や本人確認書類の画像そのものが第三者の手に渡ってしまった場合、「本人しかもっていないはずの情報だから、本人である」とは、必ずしも言えなくなります。
さらに生成AIなどの技術進化によって、画像や映像を精巧に生成・加工することが可能となったいま、「本人らしく見えるか」だけで判断することも難しくなっています。

これは、本人確認を必要とする取引やサービスを提供する企業にとって無関係ではありません。自社が個人情報を漏洩していなくても、他社から流出した情報が、自社の契約や取引におけるなりすましに利用される可能性があるためです。
十分な本人確認ができず、不正な契約や取引を許してしまえば、企業自身も不正利用の被害を受ける一方で、本来の「本人」や取引先などへの被害を防げなかった側にもなり得ます。金銭的な損失だけでなく、顧客からの信頼低下といったレピュテーションリスクにつながる可能性があります。

こうしたなりすましによる不正を防ぐため、本人確認の方法も変わろうとしています。
2027年4月1日からは、犯罪収益移転防止法※に基づく対面での本人確認方法が見直され、本人確認書類の提示を受ける方法から、原則としてICチップに記録された情報を読み取る方法へ移行します。
ICチップを活用することで、券面に記載された情報を目視するだけではなく、ICチップに記録された情報を読み取り、提示された書類の真正性を確認することで、「情報を持っている人」と「本人」をより確実に見分けることが可能になります。
　これは、単なる制度対応にとどまりません。企業が個人情報を「漏らさない」ためのセキュリティ対策を「第一の防波堤」とするなら、流出した情報だけでは第三者が本人に成りすませないための本人確認は「第二の防波堤」となります。
個人情報の流出や偽造技術の高度化が進むなか、これからの本人確認には「本人の情報を知っているか」ではなく「本人であること」を確かめる仕組みが求められています。

※出典：警察庁「犯罪収益移転防止法の概要」
犯罪収益移転防止法では、金融機関、クレジットカード事業者、宅地建物取引業者、宝石・貴金属等取扱事業者など、「特定事業者」が定められています。

個人情報のデジタル化が進む一方で、サイバー攻撃や偽造技術の高度化により、私たちは「自分の情報がどこから流出するかもしれない」というリスクと向き合う時代を迎えています。
だからこそ、本人確認は単なる手続きではなく、一人ひとりのアイデンティティを守るための社会インフラとして、その重要性を増しています。
フライトソリューションズでは、こうした社会の変化を見据え、対面でのICチップ読み取りに対応した本人確認サービス「myVerifist（マイ・ベリフィスト）」を通じて、安心して本人確認を行える基盤づくりを進めています。
今後も、制度や技術の変化だけでなく、本人確認を取り巻く社会課題を継続的に発信するとともに、誰もが安心して「自分が自分であること」を証明できる社会の実現を目指してまいります。

対面本人確認の厳格化への対応や、ICチップを活用した本人確認については、本人確認サービス「myVerifist」のWebサイトでご紹介しています。