セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

テレビ朝日および共同通信の報道によると、他人の運転免許証画像などを用いてオンラインで銀行口座を不正に開設し、カードローン契約などで現金をだまし取った疑いで、20代の男が逮捕されました。捜査当局は、本人確認（eKYC）で用いられる顔認証を、成り済まし画像や不審なアプリで突破した可能性があるとみています。 何が起きたか 報道では、容疑者が2025年4月ごろ、群馬県在住の男性ら2人の免許証を使って金融機関の口座をオンラインで開設し、ローン契約で80万円を詐取した疑いがあるとされています。共同通信は、口座開設後に計80万円を送金し、資金洗浄に関与した疑いもあると報じています。また、押収したパソコンからは複数人分の成り済まし画像が見つかったとされ、顔認証の仕組みが悪用された可能性が焦点になっています。 手口のポイント 今回のポイントは、オンライン上で本人確認を完結させる仕組みが、偽装データによってすり抜けられた可能性がある点です。 一般的なeKYCは、身分証画像（免許証など）と、スマートフォン等で撮影した本人の顔（自撮り、動画、動作指示など）を照合します。報道内容からは、次の流れが疑われます。 不正入手した運転免許証画像を提出 免許証の顔写真に見えるよう加工した別人の顔データ（成り済まし画像）を用意 顔認証工程で、その偽装データを送信して照合を突破した可能性 テレビ朝日は、押収端末内の不審アプリについて、容疑者が顔認証専用アプリと説明したとも報じており、捜査当局はこのアプリが成り済ましを補助した可能性を調べています。 匿名・流動型犯罪グループが関与か 共同通信は、秘匿性の高い通信アプリのテレグラムで別の人物と連絡を取り、画像の加工役や身分証の入手役などを分担していたとの情報も伝えています。単独犯というより、役割分担で量産する匿流型の犯行モデルが疑われる構図です。このタイプは、1件あたりの被害額よりも、口座・ローン枠・決済枠を継続的に作ること自体が「収益基盤」になります。金融犯罪とサイバー犯罪が合流しやすい典型例です。 情シス・セキュリティ担当が押さえる実務論点 金融機関の話に見えますが、企業側（情シス）も無関係ではありません。従業員の本人確認情報が盗まれれば、外部での不正口座開設やローン詐取に悪用され、結果として本人・会社双方に照会やトラブルが波及します。特に人事・総務が扱う本人確認書類の取り扱いは再点検が必要です。 顔認証は万能ではない 顔認証は、次の前提が崩れると突破され得ます。 本人確認書類画像が盗まれている 顔データが「静止画」または「弱い動作指示」中心で、偽装が通りやすい 端末・ネットワーク・行動パターンのリスク評価が弱い 同一パターンの申請を検知する仕組みが薄い（速度、再試行、同一端末利用など） 実装・運用で効く対策の方向性 システム側の一般論として、次の組み合わせが一般的な対策 ライブネス検知の強化（動画、動作指示、反射・深度・不自然な瞬き等の検出） 本人確認書類の真贋判定と改ざん検知（文字領域、ホログラム、圧縮痕、再撮影痕など） デバイスフィンガープリントと申請リスクスコアリング（端末同一性、エミュレータ疑い、プロキシ疑い） 申請の異常検知（短時間に多数申請、同一IP帯、同一端末、同型メールアドレス、同一パターン文言） 口座開設後の不正兆候監視（初回送金の宛先集中、少額分割、短期間の資金移動など） 参照 アプリで顔認証を突破か…他人になりすまし口座開設しローン契約 現金詐取容疑で逮捕 成り済ましで顔認証突破か 口座不正開設疑い、男逮捕

ブログ