偽造IDから本人確認の代行まで
銀行や暗号資産交換業者が顧客の身元を確かめるKYC（顧客確認）をすり抜けるため、偽造書類、加工した顔画像、リアルタイムの本人確認代行を組み合わせるサービスが地下市場で売られています。Flareが2026年3〜9月に観測した広告では、書類の作成に加え、認証済みアカウントの販売や、引き渡し後の再確認支援も扱われていました。
KYCは、金融機関が顧客の身元を確認し、取引関係のリスクを評価する手続きです。本人確認書類と顔写真の照合に加え、連絡先の管理、資金源の確認、制裁対象者リストとの照合などを行い、口座開設後も取引の監視や追加確認を続けます。
こうした不正は、偽造IDだけで成立するとは限りません。売り手は、申込者の氏名や住所、写真などをそろえた書類一式を用意し、顔認証やライブ動画による確認に対応する手段も提供しています。
書類と顔認証を組み合わせる手口
米司法省によると、OnlyFakeの運営者は2021〜2024年に、米国の運転免許証やパスポート、社会保障カードなどの偽造デジタルIDを少なくとも約1万件生成し、販売しました。顧客は約56カ国の米国外のパスポートも選べ、書類をスキャン画像風または机上で撮影した写真風に見せるよう指定できました。
地下市場では、本人確認の申請内容に合わせて身分証や銀行取引明細などを個別に作る広告も観測されています。名前、住所、写真などに食い違いがあると審査で拒否されたり、追加確認になったりするため、複数の書類を一貫した内容に整えてから顔認証へ進む構成です。
顔認証では、書類の写真と申込中の顔を比べるほか、短い動画で実在する人物かを調べたり、まばたきや発話などの指示に応じてもらったりする方式があります。売り手は、書類上の顔を基にした加工画像やAI生成動画、ライブ確認を人が代行する「human KYC」を宣伝し、数字を読み上げる確認への対応方法も案内していました。
口座開設後も続く依存
アカウントの引き渡し後に、追加の本人確認やアカウント復旧を支援する販売者も確認されています。登録に使った本人確認資料や参加者本人が後日の確認にも必要になる場合、購入者はアカウントを維持するために販売者へ依存し続けます。
米司法省は、OnlyFakeで販売された偽造IDにより、利用者が実際の身元を隠し、金融機関のKYCを回避して資金洗浄を行える状態になっていたと説明しています。顧客は暗号資産で支払い、まとめ買いでは最大1,000件のIDを含むパッケージも提供されていました。
FinCENは2024年、生成AIによるディープフェイクを使った詐欺に関する警告を出しました。金融機関から、本人確認をすり抜ける目的で偽造身分証とディープフェイクが使われた疑いのある活動報告が増えているとしています。
本人確認を組み合わせて検証
FinCENは申込全体を確認し、本人情報、補足書類、顔画像、口座の活動に食い違いがないか調べるよう金融機関に促しています。NIST（米国立標準技術研究所）の本人確認指針は、確認中に本人確認書類と顔画像を直接取得し、書類の改変や物理カメラ映像を置き換えるソフトウェアを検出する方法を挙げています。
日本の金融機関がオンラインで個人の本人確認を完結させる方法には、写真付き本人確認書類の画像と顔画像を使う方式があります。本人確認書類のICチップ情報と顔画像を組み合わせる方式や、本人確認書類の情報を銀行などに照会する方式もあります。
ほかに、本人確認書類の情報と顧客名義口座への振り込みを組み合わせる方法、公的個人認証サービスの署名用電子証明書を使う方法もあります。法人顧客については、登記情報提供サービスの登記情報や電子認証登記所発行の電子証明書を利用する方法が挙げられています。
NISTの指針では、本人確認の目的を、申告された身元の特定、証拠書類や属性の検証、申請者が証拠の正当な持ち主かの確認、本人確認後の登録などに分けています。
