業界トレンド 2026年9月3日

1億5000万件超の免許証写真が流出か──ID本人確認サービス侵害疑惑が示す「身分証データ」の危うさ

米TechCrunchは、本人確認に使われるIDカード検証サービスから、1億5000万件を超える運転免許証写真が盗まれた可能性があると報じました。流出を主張していたのは、個人情報の不正検索に関わる犯罪サイトで、現在そのサイトは閉鎖されています。

「ある個人情報窃取検索サイトが、ID確認サービスから盗まれた1億5000万件以上の運転免許証写真を保有していると主張した。その犯罪サイトは現在、閉鎖されている。」

元記事のタイトル「It sure looks like hackers breached a major ID card verification service」は、日本語にすると「大手IDカード検証サービスがハッカーに侵害された可能性が極めて高い」といった意味になります。まだ詳細が限られている段階ではあるものの、もし事実であれば、単なるメールアドレスやパスワードの漏えいとは異なり、顔写真付き身分証という“取り返しのつきにくい個人情報”が大量に流出した可能性があります。

なぜ「運転免許証写真」の流出は深刻なのか

運転免許証やIDカードの画像は、本人確認、金融サービス、暗号資産取引所、EC、シェアリングサービス、オンライン契約など、さまざまな場面で使われています。日本でも、銀行口座開設、スマホ契約、証券口座、フリマアプリ、マッチングアプリなどで、顔写真付き本人確認書類の提出が一般化しました。

問題は、こうした画像データが一度流出すると、パスワードのように簡単に変更できない点です。氏名、生年月日、住所、顔写真、免許証番号などが組み合わされることで、なりすましや不正口座開設、詐欺、ソーシャルエンジニアリングに悪用されるリスクが高まります。

「1億5000万件以上の運転免許証写真」という規模が事実であれば、これは単なるデータベース漏えいではなく、オンライン本人確認の信頼基盤そのものを揺るがす事件になり得る。

日本市場への示唆：eKYC普及の裏側で高まる集中リスク

日本でも近年、eKYCと呼ばれるオンライン本人確認が急速に普及しています。スマートフォンで本人確認書類を撮影し、顔写真や動画を送信するだけで手続きが完了する仕組みは、利用者にとって非常に便利です。一方で、その利便性は、本人確認サービス事業者や委託先に大量のセンシティブデータが集約されることを意味します。

特に金融、通信、決済、暗号資産、ギグワーク、シェアリングエコノミーの分野では、本人確認プロセスの外部委託が進んでいます。もし外部のID検証サービスが侵害されれば、個々の企業が直接攻撃を受けていなくても、広範囲のユーザー情報が一気に危険にさらされる可能性があります。

「どこに提出したか分からない」時代の個人情報管理

ユーザー側から見ると、自分の免許証画像やマイナンバーカード画像を、過去にどのサービスへ提出したのか把握し続けるのは難しくなっています。退会したサービス、数年前に使ったアプリ、キャンペーン登録時の本人確認など、データの保存期間や削除状況が見えにくいケースも少なくありません。

今後、日本でも本人確認サービスを提供する企業には、データをどの期間保存するのか、どのように暗号化するのか、委託先や再委託先をどう管理するのかを、より明確に説明することが求められるでしょう。ユーザーにとっても、本人確認書類の提出先を慎重に選ぶ意識が重要になります。

今後の焦点：本人確認は「集める」から「持たない」設計へ

今回の報道が示しているのは、本人確認のために大量の身分証画像を保存し続けるモデルの限界です。セキュリティの観点では、最も安全なデータは「そもそも保存しないデータ」です。今後は、必要最小限の情報だけを確認し、画像そのものを長期保管しない仕組みや、分散型ID、ゼロ知識証明、認証済み資格情報の活用が注目される可能性があります。

日本でもデジタル庁が進めるデジタルID、マイナンバーカードのスマホ搭載、民間サービスでの本人確認高度化などが進行しています。ただし、利便性を優先しすぎると、万が一の侵害時に被害が巨大化します。本人確認の未来は、「より多くの情報を集めること」ではなく、「必要な確認を、いかに少ないデータで安全に行うか」に移っていくはずです。