総合研究部 研究員　吉田　基

カメラ画像の利活用：eKYC

１．はじめに

近年、「犯罪による収益の移転防止に関する法律」（以下「犯収法」という。）の改正を受けて、金融機関を中心にオンラインでの本人確認システム（eKYC）が注目を集めています。2021年9月に情報セキュリティトピックスにおいて、防犯カメラを中心に「カメラによる個人情報の取得や利活用」をテーマに検討しましたが、今回は、カメラ画像の利活用の内、eKYCについてみていきます。

２．オンライン本人確認システム：eKYC

(1)eKYCとは

eKYCとは、「electronic Know Your Customer」の頭文字をとったもので、本人確認を電子的な方法で行う仕組みを指し、手続きがデジタル・Web上で完結します。2018年11月に犯収法が改正され、法令上必要な本人確認をeKYCで行うことが認められるようになりました。制度の導入背景は、従来までは、顧客の住居に宛てて転送不要郵便で取引関係文書の送付が必要となっており、オンラインで取引が完結しないため、特に顧客と対面する店舗等を保有しない暗号資産交換業者、資金移動業者やFinTechビジネスで支障をきたしていたことです。

(2)オンラインで完結する本人確認の方法

本人確認の方法は、犯罪収益移転防止法施行規則6条で定められており、金融庁「犯罪収益移転防止法におけるオンラインで完結可能な本人確認の方法の概要」より、本改正で新たに追加されたもののみを記載しておきます。

• 1号ホ：「写真付き本人確認書類の画像」+「容貌の画像」を用いた方法
• 1号へ：「写真付き本人確認書類のICチップ情報」+「容貌の画像」を用いた方法
• 1号ト（1）：本人確認書類の画像又はICチップ情報」+「銀行等への顧客情報の照会」
• 1号ト（2）：「本人確認書類の画像又はICチップ情報」+「顧客名義口座への振り込み」を用いた方法

1号ホと1号へでは、「容貌の画像」を用いることが求められ、これは、なりすましによる不正を防止し、的確な本人特定事項の確認を行うことを趣旨としています。そのため、事前撮影されたものではないことを確認する必要があり、具体的には、顔を正面から撮影し、画像を送信した後に、ランダムの指示（上を向く等）に従って再度、顔を撮影し、画像を送信する等の措置をとることが想定されます。

(3)なりすましについて

さて、株式会社日立製作所研究開発グループが、機械学習技術を使用し、既存の動画の顔画像を別の人物に変更する技術を用いて、他人になりすましオンライン上の本人確認を突破できるかに関する検証を行っています。具体的には、上記の容貌確認のフェーズで、運転免許証上の人以外の人が、運転免許証上の人になりすますというもので、リアルタイムで女性の顔画像をベースに男性の顔画像を生成（変更）するというものです。同検証の結果、なりすました顔が運転免許証上の顔と同一であるとeKYCシステムサイドで評価されており、日立製作所研究開発グループは、機械学習技術を使用し、既存の動画の顔画像を別の人物に変更する技術はeKYCへの現実的脅威としています。加えて、このようなフェイク動画を可能とするAIテクノロジーは急速に進化を遂げています。したがって、なりすましを見抜く側が技術を向上させても、なりすまし・加工を判別することは、AIをもってしても難しくなるものと予測されます。なお、同技術で成りすましの画像を生成することができるのは顔画像であり、手のひらや腕を生成できないため、ランダムの指示を高度化させることがなりすましへの対策として有用ともされています。ただ、上記の通り、技術は急速に進化しており、常に対策を進化させることは必要となります。

(4)本人確認

渋谷区は、令和2年4月に住民票の写し等をLINE上で申請することを可能にし、本人確認方式としてeKYCを採用しています。もっとも、令和3年8月20日、総務省は「住民基本台帳の一部の写しの閲覧並びに住民票の写し等及び除票の写し等の交付に関する省令の一部を改正する省令（案）に対する意見募集」を開始し、これを渋谷区は、「本人確認方式eKYC（AI顔認証による本人確認）を違法とすることを目的とした改正と言わざるを得ません。」としています。

また、当時の高市早苗総務相も記者会見で渋谷区の方式に対して「セキュリティ、法律の観点から問題がある」と述べています。これに対し渋谷区は、「LINE申請では顔認証に使用した本人確認書類と申請者の顔写真を目検でも確認できるため、AIによる顔認証と職員による照合確認とで二重に本人確認を審査できるようになっており、既存の手続きに比べ、より安全安心が担保された仕組みを採用しています。法律上におけるご指摘に関しましては、「総務省関係法令に係る情報通信技術を活用した行政の推進等に関する法律施行規則」第4条第2項ただし書に基づき適法に執り行っています。」とコメントしています。

総務省と渋谷区で対立しており、双方の主張の当否はわかりません。現状、運転免許証については、実物を見ても偽物か判別できない程に精巧な偽の運転免許証を作ることが可能です。したがって、自治体側が運転免許証の原データを参照しない限り、なりすましを防ぐことが難しくなります。また、改めて、eKYCにおける本人確認について、みておくと、本人確認というのは、証明証上の本人と容貌画像上の本人が同一であることを推定させるものです。渋谷区の事案で考えたとき、住民票の交付申請をしてきた人物Aは本人であろうという推定が働きます。もっとも、渋谷区は顔画像のデータを保有しているわけではないため、保有する住民データ上のAと同一かにつき検証を行うことができず、せいぜい、運転免許証上の氏名、生年月日、住所でマッチングさせるにとどまります。もっとも、そもそも運転免許証上の氏名、住所と住民票上の氏名、住所が常に一致するとは限りません。それにも関わらず、住民票という重要な情報が記載された書類を氏名、生年月日といった必ずしも秘匿性が高いとまではいえない情報のみで判定し、交付する点で、私見では疑問の余地が残るように思われます。

(5)情報の保管

eKYCを採用する場合、顧客より、運転免許証等の公的証明書の画像と顔画像が送付されてきます。また、「容貌の画像」の撮影に付随し、室内が写りこんでしまうこともあり（筆者もeKYCで本人確認する際に、本棚・漫画が写り少し恥ずかしかった記憶があります。）、例えば、書籍であれば同人の思想等を推測することも可能となります。したがって、それだけ、機微な情報を取得する可能性があるということとなるため、企業サイドも暗号化する等の保管方法を検討しておく必要があります。また、従業員による持ち出しを防止することが重要です。実際に、従業員により「氏名、生年月日、住所、電話番号、性別、銀行口座情報、顔写真、本人確認書類画像(運転免許証等)」が持ち出され、カードローンの不正申し込みがなされています。eKYCを通じ取得する情報が悪用される可能性も念頭に置き、従業員の不正行為をはじめとする情報インシデント防止のための情報セキュリティ体制を検討しておく必要があります。

３．最後に

カメラ画像を用いたオンラインで完結する本人確認は、様々な場面において活用されていくものと思われます（顔認証の話であり、直接は関係ありませんが、旅行客が事前に顔画像とクレジットカードを登録し、施設に設置された顔認証用カメラで撮影した画像を照合し、一致した場合、決済を行う実証実験がなされています。）。一方で、本稿では、なりすましの防止と本人確認について検討していきました。オンライン上で本人確認手続きが完結することは利用者にとって便利なものですが、改めてeKYCを導入する企業は専門家も交えたセキュリティ対策等、多方面から検証を行うことが重要となります。

最近の個人情報漏えい事故（2022年3月、4月）

下記の表は、2022年3月と4月に発生した情報漏えい事故やトラブル一覧です。会社や組織で公表されているもので、かつ当社で把握しているものであり、国内すべての事案というわけではない点につきましてはご了承願います。

3、4月も引き続きEmotetによる情報インシデントが確認されています。また、4月26日に「2022年4月25日頃より、Emotetの感染に至るメールとして、ショートカットファイル（LNKファイル）あるいはそれを含むパスワード付きZipファイルを添付したメールが新たに観測されています。ファイルを実行すると、スクリプトファイルが生成、実行され、Emotetの感染に至ります。」（筆者下線）とJapan Computer Emergency Response Team Coordination Center (JPCERT/CC)より、「マルウェアEmotetの感染再拡大に関する注意喚起」で公表されています。「新たに」とされており、Emotet自体のアップデートが確認されています。また、警察庁より「マルウェアEmotetの新たな手口に係る注意喚起について」が公表されており、注目度は高いように思います。

また、警視庁より「マルウェア「ランサムウェア」の脅威と対策（脅威編）」が2022年5月2日に更新されており、かつ、ランサムウェアによる被害並びに事業の停止する情報インシデントが散見されます。4月28日には、大阪の病院においてランサムウェアと思われる身代金要求型のコンピューターウイルスによる攻撃があったとされる報道もされています（大阪 藤井寺の病院に身代金要求型サイバー攻撃か カルテ使えず）。改めて、バックアップ体制を確認しておき、もしもランサムウェアに感染した場合に備えておく必要があります。

また、ECサイトにおいて、不正アクセスによりクレジットカード情報が漏えいする事案が多く発生しています。個人情報保護委員会が発表した「ECサイトへの不正アクセスに関する実態調査」によると、不正アクセスの原因として、「SQLインジェクション脆弱性（31％）、決済画面の改ざんを引き起こす脆弱性（37％）」とされており、ECサイト脆弱性に対する不正アクセスが主なものとなっています。また、不正アクセスに関する認識について、脆弱性についての理解不足（66％）、技術的ノウハウの不足（59％）とされています。このように知識やセキュリティ人材のリソースが不足しているため、委託先に依存するという状態が生じるように感じます。この点、リソース等が不足しているからこそ、セキュリティ対策をアウトソースすることが実態かと思います。しかし、実務的には情報漏えい時には、委託元が主体となり、謝罪説明をしていくことが求められ多くのケースで対応に苦慮します。また、通信教育を目的とする事業者における漏えい案件に関する判決が参考となるので確認しておきます。

まず、事件概要についてです。同社は子会社に個人情報を管理・分析するシステムの開発・運用を委託し、この子会社はシステム開発を再委託していました。無論、子会社は再委託先従業員が用いるパソコンに外部へのデータの転送を禁止するセキュリティソフトを導入していました。もっとも、当時、オーディオプレイヤー向けに音楽ファイル等を転送する目的で設計された規格（MTP）については、制限がされていませんでした。また、同規格を用いた漏えいの可能性は公表されておらず、専門家の中にも危険性を認識する者がいなかったと指摘する者いるほどです。すなわち、システム開発事業者たる委託先でも気づくことが難しい事情と思われます。尚、携帯の充電のためにPCに接続することは、何気なく、行われており、これに対し、問題視をしなかったというリスクセンスの欠如が要因であるともされています。

この様な事情があったものの、令和元年大阪高裁は、「MTP対応スマホに対する書き出し制御措置が講じられているか否かを確認し、セキュリティソフトの設定状況について適切に報告を求めていれば、書き出し制御が十分でないことを知り、制御を指示することができた」と判断しています。すなわち、専門家ですら認識が乏しく、専門のシステム開発会社ですら気が付くことが難しい事象であっても、委託元（専門性を問わない）の義務違反が認定されうることとなります。

このように、現実的には、委託元の監視に対して厳しい判断がなされうることから、委託先に丸投げ・依存というのは御法度で、適宜、委託先管理に注力を注ぎどのようなセキュリティを講じているのか、最新状態に保つようにアップデートを行っているのかを事細かく把握する必要があるものと思います。ただ、先にあげた実態調査結果では、「責任範囲を理解し、委託先と合意」していると回答する企業は25%でした。今回、情報インシデントとして、Emotet、ランサムウェア、ECサイトに対する不正アクセスを取りあげましたが、いずれも、被害にあった企業の事業に及ぼす影響は計り知れないものです。これに関連し、内閣府より公表されている「令和元年度企業の事業継続及び防災の取組に関する実態調」を確認しておきます。

調査結果のうち、災害等のリスクに備えた企業経営について、「リスクを具体的に想定して経営を行っているか（問7）」では、行っているとする企業は、61.3％であり、重視しているリスクについて（問8）では、外部委託先のサーバー・データセンター等情報システムの停止は、24.1%となっています。このように、情報インシデントは、事業活動に大きな影響を及ぼし得るものであり、発生可能性も決して低くないのにもかかわらず、あまり重視されていない印象です。改めて、経営者が先頭に立って、情報セキュリティを経営課題としてとらえて全社的に取り組んでいくことが必要になるものと思います。

セミナーや研修について

当社ではSNS利用上のリスクや情報管理（主に情報漏えい対策）に関して、セミナーや研修を企業・自治体・学校、病院等の分野で数多く実施しております。

セミナーや研修を通じて、新社会人（新入生）に限らず、全社的に教育を実施しインターネットの特性や情報リテラシーの理解、意識の向上を検討されている際は是非ご相談ください。

セミナー・研修系サービスの紹介

SPリスク・ラーニング

新型コロナウイルスの影響により、多くの企業で在宅勤務を前提にしたWeb研修や会議が行われている状況を受け、「コンプライアンス」「ハラスメント」「クレーム対応」「情報セキュリティ」「防災・BCP」など、新入社員から入社2～3年目の若手社員に必須の危機管理に関する知識を詰め込んだ9種類の研修用動画を提供しています。

危機管理会社の新入社員・若手社員研修

社会人に求められる常識や、業務の習得に必要な視点・モチベーション、仕事場におけるコミュニケーションスキル等を「リスクマネジメント」の観点から学び、企業と新入社員本人の双方からのアプローチで、早期離職や問題社員化等の「人財ロス」低減を目指します。数々のリスク対応で培った、危機管理会社ならではのオリジナルメニューで、他社ではできない領域の研修が可能です。理論と実践が結びついた早期の危機管理教育が、「人財」を育てます。