はじめに

銀行口座の開設時に行われるオンライン本人確認（eKYC）が、生成AI技術の悪用によって突破される事例が相次いでいます。偽造された身分証明書やディープフェイク技術を使い、実在しない人物になりすまして口座を不正開設する手口は、匿名・流動型犯罪グループ（トクリュウ）の資金洗浄に悪用されるケースも報告されています。

こうした事態を受け、3メガバンクは身分証の画像撮影による口座開設を前倒しで廃止する方針を打ち出しました。本記事では、生成AIを悪用した本人確認突破の手口と、金融業界が進める対策の最新動向を解説します。

生成AIがもたらす本人確認の危機

eKYCの仕組みと脆弱性

eKYC（electronic Know Your Customer）は、非対面でのオンライン本人確認手法として広く普及してきました。従来の方式では、利用者が運転免許証やマイナンバーカードなどの身分証明書を撮影し、自身のセルフィー（自撮り写真）とあわせて送信することで本人確認を行います。この「ホ方式」と呼ばれる画像ベースの確認手法は、コロナ禍を契機に急速に普及しました。

しかし、生成AI技術の進化により、この方式の脆弱性が顕在化しています。従来、身分証の偽造には専門的な印刷技術や設備が必要でした。ところが現在では、生成AIツールを使えば数分で精巧な偽造身分証を作成できるようになっています。GPT-4oやMidjourneyなどの画像生成AIを活用すれば、従来のKYCツールを突破できる品質の偽造パスポートや運転免許証が、専門知識がなくても作成可能です。

闇サービスの実態

生成AIを活用した偽造IDの問題は、すでに組織的なビジネスとして展開されています。代表的な事例が「OnlyFake」と呼ばれるサービスです。このサービスは、米国・カナダ・英国・オーストラリアなど26か国の運転免許証やパスポートを、わずか15ドル（約2,300円）で偽造できるとして提供されていました。

OnlyFakeはExcelのスプレッドシートデータを使い、一度に最大100件の偽造IDを生成する機能も備えていました。さらにGPS情報や撮影日時、デバイス情報などのメタデータも偽装でき、複数の暗号資産取引所でKYCチェックの突破に成功したとされています。

このサービスの運営者であるウクライナ人のユーリー・ナザレンコ（27歳）は、1万件以上のデジタル偽造文書を販売した罪を認め、最大15年の禁錮刑に直面しています。しかし、同様のサービスは他にも存在しており、KYC突破を目的としたディープフェイク画像作成のオンデマンドサービスが複数確認されています。

ディープフェイクによるなりすましの手口

身分証の偽造に加え、ディープフェイク技術を用いたセルフィー認証の突破も深刻な問題です。攻撃者はSNSなどから標的の顔画像データを収集し、生成AIで学習させて精巧な偽の顔映像を作成します。この偽映像を使ってeKYCの「生体認証（ライブネスチェック）」を突破する手法が確認されています。

トレンドマイクロの調査によると、KYC突破を目的として設計された専用ツールは47種類にのぼります。これらのツールにより、金融機関のオンライン口座開設やクレジットカードの不正申請が可能になっているのが現状です。

トクリュウと不正口座の深い関係

匿名・流動型犯罪グループの実態

不正に開設された銀行口座は、匿名・流動型犯罪グループ（トクリュウ）の犯罪インフラとして悪用されています。トクリュウはSNSを通じて離合集散を繰り返す新たな犯罪組織の形態で、特殊詐欺やSNS型投資詐欺などの資金洗浄に不正口座を利用します。

警察庁の摘発事例では、自称「日本最大の口座仲介組織」が、SNSで募集した協力者に銀行口座や暗号資産口座を開設させ、900以上の口座を詐欺グループに提供していました。口座は1件あたり5,000円から30万円で買い取られ、特殊詐欺やSNS型投資詐欺に使われていたとされています。

また、偽造マイナンバーカードを使って銀行口座を不正開設し、キャッシュカードをだまし取った事件では、グループが開設した口座は168口座にのぼり、クレジットカード発行やローン利用などで約6億円分が不正に使用された疑いが持たれています。

メガバンクと警察の監視網構築

こうした犯罪に対抗するため、金融機関と警察の連携が強化されています。2025年6月、警察庁はみずほ銀行、三菱UFJ銀行、三井住友銀行の3メガバンクを含む8行と、不審口座情報を共有する協定を締結しました。

各銀行はアンチマネーロンダリングシステムを通じて不審な口座の動きを検知し、警察庁と都道府県警に即時共有する仕組みです。2025年1月から5月までに金融機関から提供された口座情報は1,866件にのぼり、そのうち1,262件（67.6%）が実際に詐欺被害に関連していたことが判明しました。

警察庁はゆうちょ銀行など他の金融機関とも同様の協定を締結しており、全国43警察本部が425の地方銀行や信用金庫と連携するなど、監視網は全国規模で拡大しています。

注意点・展望

ICチップ読み取り義務化への移行

政府は画像ベースの本人確認を原則廃止し、ICチップ読み取りへ移行する方針を示しています。携帯電話不正利用防止法の改正により2026年4月から、犯罪収益移転防止法の改正により2027年4月から、身分証の券面撮影や写しの送付による本人確認が原則廃止されます。

3メガバンクはこの法的期限を待たず、前倒しで対応する方針です。IC読み取りに使用できる本人確認書類は、公的個人認証サービス（JPKI）を搭載するマイナンバーカード、または基本4情報を読み取れる運転免許証に限定されます。

残る課題

ICチップ読み取りの義務化により画像偽造のリスクは大幅に低減されますが、マイナンバーカードの普及率や高齢者のデジタルリテラシーなど、移行期における課題も残っています。また、犯罪者側も新たな手口を開発する可能性があり、技術的な防御策の継続的な更新が不可欠です。

まとめ

生成AI技術の進化により、従来の画像ベースのeKYCは深刻な脆弱性を抱えるようになりました。偽造身分証やディープフェイクを使った本人確認の突破は、トクリュウをはじめとする犯罪グループの資金洗浄インフラとして悪用されています。

こうした脅威に対し、金融業界はICチップ読み取りへの移行を加速させ、警察との情報共有体制を強化しています。利用者としては、マイナンバーカードの取得とICチップ対応の本人確認への備えを進めておくことが重要です。金融犯罪の手口が高度化する中、官民一体となった対策の実効性が問われています。

参考資料:

• 生成AIによるディープフェイク対策を強化、本人確認での新たな不正手口に対応
• AI対AI：なりすましの技術とオンライン本人確認の攻防
• 生成AIの進化で身元確認書類の偽造が容易に、KYCの終焉
• ホ方式廃止に伴い、eKYCは「ICチップ読取」の時代へ
• 仮想通貨取引所の本人確認を突破か？ AI生成の偽造IDが15ドルで販売される
• 特殊詐欺対策でメガバンクと協定 不審な口座情報を迅速共有
• メガバンクは前倒し対応へ｜犯収法規則改正でeKYC激変必至