本人確認情報は、その人を演じる「素材」――タイムズカー漏えいが問う、本人確認のありかた

660万件のうち160万件は「本人そのもの」だった

タイムズモビリティは2026年9月25日午前9時7分に自社システムへの不正アクセスを検知し、翌26日朝までに経路を遮断した。28日の第2報で、約660万件のアカウント情報が第三者に取得されたことを確認したと発表した。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報に加え、他社サービスとの連携IDも含まれる。対象は現会員だけでなく、退会済みの人、入会を申し込んだが手続きを終えなかった人、法人向けサービスの現・旧会員にまで及ぶ。クレジットカード情報の漏えいはなく、パスワードは復元できない形式で保管されていたという。

続く29日の第3報で、事案の重みが変わった。運転免許証画像、現住所確認書類（公共料金の請求書など）の画像、学生証画像、家族確認書類画像といった本人確認書類そのものが漏えいしたアカウントが、約160万件あると確認されたのである。侵入経路や原因は、本稿執筆時点で公表されていない。

カーシェアは、運転資格と本人を確かめなければ車を貸せない事業である。免許証画像を預かること自体は業務上の必然だった。疑問なのは、審査が終わった後も、退会した人や入会しなかった人の分まで画像が残っていたことだ。同社は会員に「当社を装うメール・SMS・電話に注意」と呼びかけている。これ自体は正しい。しかし、160万件の免許証画像が外に出たという事実の重さは、その注意喚起の中には収まらない。

そして、タイムズカーだけの話でもない。9月26日にはニッポンレンタカーがアプリへの不正アクセスを公表し、41名と少数ながら免許証番号・住所・生年月日が閲覧された恐れがあるとした。同月29日にはセイコーマートが約57万アカウントの氏名・性別・生年月日・住所・電話番号・メールアドレスの漏えいを、さらにそれに先立つ15日には家電通販のムラウチドットコムが約772万件の氏名・住所・電話番号（一部は生年月日も）の持ち出しを、それぞれ確認している。免許証の画像ではなくても、氏名・住所・生年月日・電話番号がそろえば、本人確認の申し込み欄は埋まる。この1カ月だけで、本人確認に使える情報が1,000万件規模で出回ったと見るべきである。

漏れたのは「鍵」ではなく、その人を演じる「素材」

氏名、住所、生年月日、顔写真、免許証番号。これらは、パスワードのように変えることができない。クレジットカード番号なら再発行で無効化できるが、生年月日は再発行できない。つまり今回漏れた情報の賞味期限は、本人の寿命と同じと考えてよい。

ここで、本人確認の仕組みを振り返りたい。多くの会社の本人確認は「免許証の写しを提出してもらい、申込内容と一致していれば本人とみなす」という設計である。暗黙の前提は「免許証の写しを持っているのは本人だけだ」ということだが、それは160万件の免許証画像が流出した時点で崩れた。写し提出型の本人確認は、「本人」を通す仕組みではなく、「本人の情報を持っている人」を通す仕組みと言える。免許証の偽造や他人の免許証の使用自体が犯罪であるため、「提示されたものは本物」という立て付けが、前述の暗黙の前提を支えていたと推測する。

つまり、現在の社会では多くの場合において、本人であることを証明する必要はなく、本人を演ずることができればよいということが、改めて明らかになったとみるべきだろう。言い換えれば、本人確認情報は、本人を証明するものではなく、その人を演じるための素材になったということだ。素材をそろえれば、本人を演じられるのである。

さて、この素材が誰に使われるかを整理してみる。脅威は3つの系統に分かれるだろう。

①確認する側がだまされる。銀行口座、携帯電話回線、クレジットカード、ローン、各種の会員契約など、本人確認を行う会社が、素材を持った別人を本人として通してしまう。

②本人がだまされる。氏名・住所に加えて「どのサービスを使っているか」までそろった名簿は、詐欺の口上を本人仕様に仕立てられる。「不審な電話に注意」が効きにくくなる。

③本人の名で、勝手に契約が作られる。悪徳事業者が本人を装った申込書を仕立て「あなた、申し込みましたね。お金を払ってください。」などと迫るケースに加え、真っ当な会社の中でも、ノルマや成約率に追われた担当者が、出回った情報を使って架空の契約をそれらしく通してしまう可能性がある。これは、保険や携帯販売の不適切契約として、形は違えど前例のある話だ。

多くの報道の注意喚起が示しているのは、②の一部にすぎない。①と③は、本人がどれだけ注意してもなりすまし自体は防げない。防げるのは、確認する側だけである。しかも、確認を怠ると被害者に多大な迷惑をかけるだけではなく、組織としても信頼基盤を揺るがしかねない事態になることは容易に想像ができる。

だまされるのは、消費者より先に「会社」

①の構図を、より一般的なケースに置き換えてみる。

なりすましで結ばれた契約は、原則として本人に効力が及ばない。本人は誰にも代理を頼んでいないので、債務を負わない。つまり、なりすまし契約で第一に損をするのは、信用を供与した会社の側である。携帯端末を分割払いで渡していれば端末代は回収できず、ローンなら貸し倒れになる。ここまでは会社の自己責任で済む。

問題はその先にある。契約が無効でも、本人のもとには督促状が届き、信用情報には延滞が記録され、口座は凍結され、場合によっては犯罪に関与した疑いの目が向けられる。本人は「自分は契約していない」という、本来証明しようのないことを自ら証明して、一つひとつ解いていかなければならない。負担は丸ごと本人に転嫁される。

ここに会社側の確認の甘さが絡めば、本人から損害賠償を求められる可能性が出てくる。携帯電話や金融のように法律等で本人確認が義務づけられている業種なら、行政処分の対象にもなる。「契約が無効になるだけ」では済まないのである。

だまされるのは会社だけではない。行政などの公的機関でも、本人確認が甘ければ同じことが起こり得る。住所の変更や各種証明書の交付、給付金の受け取りといった手続きが他人に乗っ取られれば、本人への影響は会社の契約とは次元が異なるほど大きいと推測される。行政にも国家賠償法上の責任が問われ得る。決められた確認手順を省いていれば当然であるが、手順どおりに確認して通してしまった事案の裁判例は「券面が本物らしければ窓口に過失はない」という判断に寄ってきたと私は理解している。それはまさに、本稿で「崩れた」と述べた前提の上に立った判断である。

経営者が問うべきは一つだ。自社の本人確認は「その人を演じている人」を通さない設計になっているか。

本人確認を扱う組織の多くが規制の外にいる

実は、国もこの問題を認識している。2024年6月、政府の犯罪対策閣僚会議は「国民を詐欺から守るための総合対策」を決定し、非対面の本人確認をマイナンバーカードの公的個人認証（カード内の電子証明書で本人を証明する仕組み）に原則一本化し、対面でもICチップの読み取りを義務づける方針を打ち出した。

携帯電話では、2026年4月からオンライン契約の本人確認が、免許証画像のアップロードや写しの送付を廃止して、ICチップ読み取りと電子証明書に一本化された。店頭でも2027年4月から、券面を見せるだけの確認は認められなくなる。NTTドコモは先回りして、2026年8月20日から全国の店舗でICチップを使った本人確認を順次導入している。銀行や貸金業、暗号資産交換業などが対象の犯罪収益移転防止法でも、画像を送るだけで完結するオンライン本人確認（いわゆる「ホ方式」）が2027年4月1日に廃止され、対面でもICチップ付き書類の読み取りを必須とする改正が予定されている。

当然の対応である。ただし、見落とされがちな点が一つある。これらの規制の対象は、金融機関などの「特定事業者」と携帯電話事業者である。カーシェア、レンタカー、サブスクリプション、賃貸、人材、会員制サービス、オンラインサービス。こうした業種は規制の外にいながら、免許証画像や撮影動画等で本人確認をしている。私の見立てでは、本人確認情報を奪われ得る組織と、その人を演じる情報で本人確認を通してしまう組織の多くが、この規制の外側にいる。

ちなみに私は、大量の組織で大量の情報が奪われている現状を、生成AIの劇的な進化が後押ししており、本人を演ずる情報をもとになりすますことも容易になってきていると推測している。

経営者が見直すべき3つのこと

以上を踏まえて、経営者が見直すべきことは次の通りである。

第1に、自社の本人確認が「何を確認しているのか」を棚卸しすることである。新規契約だけではない。名義変更、解約、問い合わせ窓口での本人再確認、採用、取引先担当者の確認まで、本人確認が必要な場面を洗い出し、そのうち「写しと申込内容の一致」を本人の証明とみなしている場面がどれだけあるかを数える。そこが、素材を持った別人が通れる穴である。

棚卸しをすると、確認をしていない事業や取引も見つかるはずだ。それ自体が悪いことではなく、匿名のまま成立させる商売は残ってよい。ただし、確認しない代わりに、例えば前払いにする、1回の上限を設ける等の考慮をしておくことは重要であろう。2026年5月に新潟市の弁当店が、電話での注文200個分を当日に無断でキャンセルされ、約10万円の損失を被った件は、確認も条件もない取引の損失が、確認しなかった側に返ってくることを示している（当サイト「弁当無断キャンセル事件に見る『仕組み』の問題」参照）。匿名で取引するとは、本来、双方がその分のリスクを引き受けると合意することである。

第2に、ICチップ読み取りや公的個人認証を使った確認手段へ移行する。費用が心配なら、本人確認を2段に分けて考えるとよい。本人を実在の人物と結びつける「身元確認」は最初の1回だけ重くやり、以後の「本人かどうかの確認」はパスキーのような軽い仕組みで済ませる。重い確認は数年に一度、軽い確認は毎日何度でも、という配分にすれば、費用は見た目ほど膨らまないだろう。マイナンバーカードやICチップ付き書類を持たない顧客への配慮は必要だが、それは例外として設計するものであって、原則を曖昧にする理由にはならない。

第3に、人が確認を省く動機をつぶすことである。成約数やノルマと、本人確認の品質を同じ人事評価の上に乗せない。「確認を省いて取った契約は、売上ではなく将来の不良債権と賠償リスクである」と経営が言い切ることである。あわせて、自社の名義で契約が結ばれたことを本人が知れる仕組みと、本人からの「身に覚えがない」という申告を受け止める窓口を用意しておきたい。

最後に、守りの向きを変えたい。従来の「当社を装う連絡に注意」は、顧客に偽物を見抜かせる守りである。これからは、「本物の側が本物であることを証明する」守りに移るべきだ。顧客への連絡は送信元が証明されたメールや公式アプリの中に限ると決めてしまえば、顧客は見抜く必要がなくなる。本人確認の見直しも同じ発想で、偽物を見抜く力を磨くのではなく、本物しか持てないものを提示させる仕組みに変えることである。

社内で一度、次の2つの問いを話してみてほしい。我が社の本人確認は、「その人を演じている人」を通さない設計になっているか。そして、本人確認書類の写しは今、どこに、何件残っているか。