1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 生成AIの進化で身元確認書類の偽造が容易に、KYCの終焉

生成AIの進化で身元確認書類の偽造が容易に、KYCの終焉

セキュリティニュース

投稿日時: 更新日時:

生成AIの進化で身元確認書の偽造が容易に、KYCの終焉

AI技術の急速な進化がもたらした影響は数多くありますが、特に深刻なのが「本人確認（KYC）プロセス」における信頼性の崩壊です。これまで有効とされてきたパスポートや運転免許証などの書類確認は、AIにより生成された偽造書類によって容易に突破されつつあります。

GPT-4oで誰でも「本物そっくりの偽造ID」が作れる時代に

2025年4月、HYPRのCEOであるペン・ボヤン・シミック氏が「AI Forgery Epidemic（AI偽造のパンデミック）」というブログ記事を公開し、AIによって生成される偽造書類がいかに急速かつ容易に生成可能であるか、そしてそれが現行の本人確認手法に与える深刻な影響について警鐘を鳴らしました。

シミック氏によれば、GPT-4oやMidjourneyのような生成系AIツールを利用すれば、ほんの数分で本物そっくりのパスポートやIDカードを作成でき、そのクオリティは従来のKYCツールを容易にすり抜けるほどです。これまで犯罪者が精巧な偽造書類を作るために必要だった専門技術や機材はもはや不要。今や、誰でも手軽に高度な偽造を行える時代が到来しています。

実際の事例：GPT-4oによって再現された「偽パスポート」

実際に、SMOK.vcの創業パートナーであるボリス・ムシェラク氏が、自身のLinkedIn投稿にてわずか5分で自身のパスポートをAIで複製し、その画像を公開したことで話題となりました。

この画像は、本人によると「多くのKYC自動認証システムを通過できるクオリティ」だとされており、その事実が示すものは極めて深刻です。ムシェラク氏は投稿の中で「写真に依存したKYCはもう終わりだ。ゲームオーバーだ」と明言しています。

実際の事例：GPT-4oによって再現された「偽パスポート」

なぜ従来のKYCは機能しなくなるのか

本人確認プロセスでは、ID書類と本人の写真やセルフィーを突き合わせる「画像ベース」のKYCが一般的ですが、生成AIはこれを完璧に模倣可能です。これにより、次のような問題が顕在化しています

  • AIによる完璧な偽造画像の生成
    フォント、レイアウト、影、偽造防止印刷を再現した高解像度の偽造書類が作成可能。

  • セルフィー(自撮り)すら意味をなさない
    Deepfake技術により、動画での本人確認（まばたきや首の動き）も騙すことが可能。

  • 検知の困難さ
    従来のKYCシステムでは、これらのAI生成画像と本物を区別するアルゴリズムを持っていないケースが多い。

このように、画像とセルフィーによる本人確認は、もはやセキュリティとしての機能を失っているといっても過言ではありません。

ディープフェイクでeKYCも機能しなくなる

ディープフェイクによるリアルタイムの合成音声、なりすましが可能です。

日本でも警察官や検事を名乗り、ビデオ通話で実在する人物の顔をAIで合成しながら、令状やIDカードを提示することで被害者を信じ込ませる手口が確認されています。

AI偽造時代の新KYC戦略：多要素認証とデジタルID

KYCの未来は、画像1枚ではなく多要素認証へと移行すべき段階に来ています。以下は、AI偽造に対抗するための有効な構成要素です：

デバイス信頼性

利用者のスマートフォンやPCが過去に信頼されたデバイスかどうかを判断。信頼できる端末でない場合、警戒レベルを上げる。

ネットワークと地理情報

VPNやプロキシ経由、通常とは異なる位置情報からのアクセスがないかをチェック。

高度な文書分析

AIが生成した偽造文書を見抜くため、物理的特徴のデジタル検出（ピクセル解析、照明の異常など）を組み込む。

同時検証のオーケストレーション

単一要素ではなく、上記の複数要素を一括して検証することで、突破難易度を飛躍的に向上。

このような多要素アプローチにより、単に画像を提出しただけでは認証されない構造を作る必要があります。

デジタルIDウォレットがもたらすKYCの進化

さらに先を見据えると、EUがeIDAS 2.0で推進しているような「デジタルIDウォレット」が本人確認の未来です。これは、スマートフォンなどのデバイスに暗号的に証明されたIDを格納する仕組みで、次のようなメリットがあります

  • 改ざん不能なIDデータ
    ブロックチェーンや公開鍵暗号を用いたサインにより、偽造が実質不可能。

  • 最小限の開示
    「年齢が18歳以上である」といった属性だけを開示でき、プライバシーを保護。

  • 相互運用性
    国や業種を問わず使える標準仕様（eIDAS、W3Cなど）に準拠。

  • パスワードレス認証
    スマートフォンやFIDO2準拠の認証により、ID提示からログインまでスムーズに実行。

これにより、ユーザーは自らの個人情報をコントロールできると同時に、より安全で簡単なオンライン体験が得られるようになります。

業界ごとのKYC課題とAI偽造のリスク

各業界で、旧態依然のKYCを使い続けるリスクは深刻です

  • 銀行・金融：不正口座開設、マネーロンダリングの温床。

  • 保険：虚偽請求やなりすまし契約。

  • 仮想通貨：制裁回避や匿名取引のための偽装利用。

  • 旅行・航空：テロリストや逃亡犯の足取り隠蔽。

  • 行政サービス：不正受給や不法アクセス。

  • シェアリングエコノミー：なりすましドライバー、偽の信用スコア操作。

今こそKYCの未来を再構築する時

KYCは、今まさに歴史的転換点を迎えています。AIによる偽造ドキュメントの波が現実の脅威となった今、企業や行政は従来のやり方から脱却し、信頼できる多要素認証、ひいてはデジタルID基盤への移行を急ぐ必要があります。

これは単なるセキュリティの問題ではありません。顧客の信頼を守る、未来のプライバシーと本人性の在り方そのものに関わる課題です。

私たちは「便利さ」と「安全性」の両立という、次世代KYCへの挑戦を避けては通れません。

一部参照

https://blog.hypr.com/ai-forgery-epidemic

関連記事

ChatGPT、GPT-5の安全性はデフォルトでは不十分-1,000超の攻撃プロンプトで見えた弱点ChatGPT、GPT-5の安全性はデフォルトでは不十分-1,000超の攻撃プロンプトで見えた弱点 CrowdStrike(クラウドストライク)、内部情報をハッカー グループへ漏洩した社員を解雇CrowdStrike(クラウドストライク)、内部情報をハッカー グループへ漏洩した社員を解雇 Default ThumbnailAzure ネットワーク サービスタグで脆弱性が発生　悪用の可能性 AIや生成AIの情報漏洩 事例を解説AIや生成AIの情報漏洩 事例を解説 フロントエンドフレームワークAstroのCloudflare Adapterで危険度の高い脆弱性(CVE-2025-58179)フロントエンドフレームワークAstroのCloudflare Adapterで危険度の高い脆弱性(CVE-2025-58179) Splunk、未認証のブラインドSSRF脆弱性(CVE-2025-203716件)を含む6件の脆弱性を修正Splunk、未認証のブラインドSSRF脆弱性(CVE-2025-203716件)を含む6件の脆弱性を修正 ChatGPTの脆弱性でSSRF悪用が可能に OpenAIは既に修正ChatGPTの脆弱性でSSRFが可能に OpenAIは既に修正 サイバー攻撃の事例 【2025年】サイバー攻撃の事例 【2025年】 最大600万ユーザーに影響か-Chrome 拡張機能に潜むユーザートラッキングコード最大600万ユーザーに影響か-Chrome 拡張機能に潜むユーザートラッキングコード