dアカウントの本人確認でも対応、マイナンバーカードのJPKIで安全な本人確認

いろいろと話題を振りまくマイナンバーカードですが、個人的には日本のデジタル化／DX化の一助になるものと期待しています。その中でも期待しているサービスがオンラインの本人確認です。

公的個人認証サービスを活用することで安心安全な本人確認が可能という触れ込みですが、今後の金融・決済サービスの契約、携帯契約など、様々なシーンで利用することになる機能だと見込まれます。

7月7日には、NTTドコモがdアカウントの本人確認でこのJPKIに対応することを発表。dポイントクラブの「dポイントを送る機能」などで利用されます。そんなJPKIの本人確認機能に関して、改めて紹介します。

• マイナンバーカードを読み込んで本人確認ができるJPKI

JPKIとは

このオンラインの本人確認は、マイナンバーカードの機能である公的個人認証サービス（JPKI）を利用するものです。マイナンバーカードのICチップには2つの電子証明書が格納されており、これを使うことで、インターネット上でも安全に本人確認ができます。

• マイナンバーカードのICチップには電子証明書が保管されており、民間事業者でも利用できるようになっています

そもそも「本人確認」には身元確認と当人認証という2つのステップがあります。身元確認は、カードの持ち主が身分証明書に記載された人と同一人物かどうかというものです。マイナンバーカードであれば、発行時に対面で本人かどうかを確認した上で公的に発行しているため、カードの持ち主と本人の身元（氏名・住所・生年月日・性別）は一致していることが前提になっています。

当人認証は、マイナンバーカードでいうなら、カードを利用したのが本当に持ち主本人かどうかという認証です。対面であれば、カード券面の顔写真と本人の顔を見比べることで当人かどうかを認証します。

今まで、こうした本人確認は運転免許証やパスポートなどの本人確認書類で行うことができましたが、それはあくまで対面のこと。物理カードそのままでは確認できないオンラインの場合は、本人確認書類のコピーを郵送させるなどして、同封した申込書の氏名や住所などを確認していました。

これには時間もかかりますし、コストもかかります。そこで生み出されたのが「eKYC」です。KYCというのは本人確認のことで、eKYCというのはこれを電子化するというぐらいの用語ですが、要はオンラインで本人確認書類を使った本人確認をするための仕組みです。

技術的な話はともかくとして、日本の法的には個人向けに複数のeKYCの仕組みがあり、犯罪収益移転防止法（犯収法）では6種類の手法が規定されています。

eKYCの手法で一般的によく使われているのは「写真付き本人確認書類の画像」と「自撮り画像」を使ったものです。犯収法施行規則6条1項1号ホに記載されているため「ホ」方式と言われます。運転免許証やマイナンバーカードの正面、斜め上の写真を撮って、さらに自撮りを送ることで本人確認するというもの。AIを使うなどしてマッチングをしています。

• 犯収法施行規則にある「ホ」方式。身分証明書の写真と自撮り画像を送信する

たいていの本人確認はこの「ホ」方式ですが、最近増えてきているのが「ワ」方式です。これは犯収法施行規則6条1項1号ワの方式で、「マイナンバーカードの署名用電子証明書」を使った本人確認です。

この「ワ」方式では本人の自撮り写真は不要で、「本人である」という確認には署名用電子証明書のパスワードを使います。マイナンバーカードと同時に署名用電子証明書も申し込んでいた場合、交付時に6～16ケタのパスワード（英数字）を設定しており、これは「本人のみが知っている情報」となります。

• JPKIはこの「ワ」方式。身分証明書の写真の写真と自分の自撮りを送信する必要はありません

それに加えて、マイナンバーカード自体を保有していないと署名用電子証明書で署名できないため、「知識」＋「所持」という2要素認証によって、本人であると判断できます。

その上で、マイナンバーカードのICチップに格納された署名用電子証明書を使って電子データに署名をすると、なりすましや改ざんがないことが保証されます。「本人確認書類をコピーして郵送する」という場合、封書が途中で開封された形跡もなく、間違いなく届けられたということが保証されるからこそ、本人確認として成り立ちます。それと同じことを、署名用電子証明書では実現できるわけです。

実際には、申し込みフォームなどに入力した住所や氏名などの申し込み情報と、署名用電子証明書から読み込んだ氏名／住所／生年月日／性別の基本4情報のデータに署名して送信します。

事業者はそれを受け取ったら、署名を検証して正しく送られて途中経路での改ざんがないことを確認したのち、申し込み情報と署名情報を突合して両者が一致しているかを確認し、一致していれば本人確認がなされたと判断します。

郵送も不要、証明書の撮影や自撮りも不要なので、手軽に手早く本人確認ができるというのがメリットです。事業者側も郵送費や書類の保管費が不要ですし、24時間365日の申請に対応できます。もちろん、電子証明書にはマイナンバーが含まれないので、管理コストが増えることもないでしょう。

ちなみに、犯収法はマネーロンダリングなどを想定した法律で、銀行やクレジットカードなど、金融・決済サービスを中心とした本人確認での根拠となりますが、携帯電話の契約では、「携帯電話不正利用防止法」が根拠法となります。

こちらは本人確認方式の指定が施行規則第3条1項1号にあり、「ハ」が本人確認書類と自撮りを送る方式（犯収法の「ホ」方式）、「ニ」が電子証明書を使うもの（犯収法の「ワ」方式）となっています。

「何」に、「どうして」署名をするのかを明確に

というわけで誰にとっても便利なマイナンバーカードの電子証明書を使った本人確認ですが、少し気になることもあります。

「公的個人認証サービス利用のための民間事業者向けガイドライン 第1.2版」は、事業者側への留意事項として、こうした電子署名を「何に対して行い」「なんのために署名用電子証明書のパスワードを入力するのか」という2点が、「利用者に対して明らかではない事例が見受けられる」と指摘しています。

この場合の電子署名は、申込者が入力した住所／氏名／生年月日／性別の4情報と、署名用電子証明書に含まれる同じ4情報が同一かどうかを確認するため、「他人が送信したものではない」、「送信される途中で書き換えられていない」ことを保証するために実施します。そのために署名用電子証明書のパスワードを使う、という説明が必要になるというわけです。

ガイドラインは以下のように記載しています。

• 利用者が、署名用電子証明書に係る暗証番号の入力による電子署名を行う前に、どのような情報に対して当該電子署名を行うのかを明らかにする。
• 暗証番号の入力により電子署名が行われること自体やその意義について明らかにする。

例えばドコモは今回、dアカウントでのJPKI対応を発表しましたが、決済サービスのd払いでは「かんたん本人確認」という機能名ですでにJPKIに対応しています。その使い方を紹介した同社のYouTube動画を見る限り、署名用電子証明書のパスワード（暗証番号）を入力する前に「公的個人認証機能により、氏名・生年月日・住所・性別を確認し、本人確認申請情報に電子署名します」と記載されています。

• 「かんたん本人確認」の操作手順の動画より。赤枠（筆者挿入）の部分に署名用電子証明書を使う理由と、何に署名するかが書かれています。もう少し分かりやすい表現の方がよさそうです

dアカウントの本人確認の実際

dアカウントの本人確認は11日にスタートしました。「dアカウント設定アプリ」を最新版にアップデートし、アプリから「会員情報」→「本人確認」と進むと、マイナンバーカードによる本人確認が可能になります。

• dアカウントの設定アプリ。この画像は「本人確認レベル：高」となっていますが、マイナンバーカードで本人確認をしていない段階だと「中」になっていました

• マイナンバーカードでの本人確認を選択すると、下部の赤枠（筆者挿入）に「公的個人認証機能により、氏名・生年月日・住所・性別を確認し、本人確認申請情報に電子署名します」と同じ文面があります。これがガイドラインに対応した文面とのことです

• 署名用電子証明書のパスワードを入力してマイナンバーカードをかざします。読み取り位置も確認できます

• マイナンバーカードから読み取られた氏名／生年月日／住所／性別の4情報が表示されます

• 最後に申請データを確認。この4情報＋カナが電子署名をする申請データになります。マイナンバーカードにカナが含まれないため、これだけは手入力します。ちなみに、「半角カナ」のみの受付でした

ドコモの場合、ガイドラインに則って「電子署名を行う対象」と「暗証番号入力で電子署名が行われること」などが記載されているとは言えそうですが、全体として分かりにくいというか、もう少し明確な表現にできそうです。

ちなみに、マイナンバーカードの電子証明書を使った本人確認では、基本4情報に加えて、署名用電子証明書のシリアル番号が電子署名を付与された上で送信されます。このシリアル番号を使うことで、事業者はそのマイナンバーカード保有者の利用者証明用電子証明書のシリアル番号を取得できます。

例えば事業者が契約者にマイページなどを提供する場合、ログインのためにIDとパスワードを郵送することもできますが、このシリアル番号を活用すれば、ユーザーがアカウントを作成しなくても利用者証明用電子証明書を使ったログインが可能です。

ユーザーIDとパスワードを作成する必要もなく、「契約完了したら即時ログイン」というのも可能です。利用者証明用電子証明書を使うので安全性が高く、確実に契約者本人という証明ができるので事業者側も安心できます。

• 公的個人認証サービスの利用フロー。署名用電子証明書を使った申込に連動して利用者証明用電子証明書を紐付け、本人を特定した安全なログインが可能に

その後、パスキーを使うなど安全なログイン情報を登録すれば、毎回マイナンバーカードを使わなくてもサイトへのログインの安全性を高められます。

銀行や携帯事業者など、フィッシングなどの不正ログインに悩まされるあまり、どんどん使い勝手の悪いサイトになっています。この署名用電子証明書と利用者証明用電子証明書の紐付けからのログインと、さらにパスキー作成を組み合わせる方法は、現時点でフィッシング耐性の高さと利便性を両立させたログインの仕組みとなるはずです。

なお、このシリアル番号は、電子署名などの確認業務以外で、個人を識別して管理するための符号としては直接使用できず、外部への提供もガイドラインでは禁じられています。利用には一定の慎重さが求められる番号ではあります。それでも、契約から会員サイトのログインまで、安全性と利便性をバランスよく実現できる機能として、今後の普及を期待したいところです。

政府の「デジタル社会の実現に向けた重点計画では、前述の犯収法と携帯電話不正利用防止法に規定された本人確認方法のうち、非対面での本人確認は原則としてJPKIに一本化する、という計画が持ち上がっています。

具体的な工程表はありませんが、2026年度までの重点計画なので、それまでに運転免許証の一体化を経るなどして一本化するのでしょうか。犯収法や携帯電話不正利用防止法の法改正も必要になりますが、政府の計画でJPKIによる本人確認自体は確実に広まりそうです。