要点
- 偽の身分証の「画像」を1枚15ドルほどで売っていたサイト OnlyFake の運営者が、米国で有罪を認めた。2021年から2024年ごろまでに、少なくとも約1万件を作ったと米司法省は言う。
- 404 Media によると、国連の専門家パネルは運営者に書簡を送っていた。北朝鮮の IT 労働者がこのサイトで偽の身分証を作り、仕事への応募やサービスの登録に使っていたという内容だ。
- 日本では、身分証を撮った画像を送るだけのオンライン本人確認が2027年4月1日に使えなくなる。金融庁はそれを待たずに IC チップの読み取りへ移るよう金融機関に求めている。
何が起きたか
OnlyFake は、客が名前や生年月日を入れると、それらしい身分証の画像を作るサイトだった。米国の運転免許証やパスポートの画像を作れると宣伝していた。支払いは暗号資産で受けていた。1,000件をまとめて買える売り方もあった。
オンラインの本人確認では、客が送ってきた身分証の画像を受け取って確かめる。このサイトでは、机に置いて撮ったように見える画像も選んで作れた。
サイトが広く知られたのは、2024年2月5日の 404 Media の報道からだ。404 Media は自分たちで偽の画像を作らせ、暗号資産の取引所 OKX の本人確認を通ったと報じた。サイトは「ニューラルネットワーク」（AI の一種）を使うと宣伝していた。報道のあとサイトは一度消えた。しかし Au10tix（本人確認の会社）の研究者は、別の URL で再開したのを見つけた。
404 Media が2026年11月5日に出した運営者への取材記事によると、流れは次のとおりだ。運営者はウクライナ国籍の男性（A 氏）。最初は手作業で偽造し、のちに自動化した。生成 AI が広まると、それも取り入れた。
- 2024年2月: 国連の専門家パネルから書簡が届いた。A 氏はデータの提供を断ったという
- 2024年5月: 米国の検察と組む捜査員が客を装って買った
- 2025年6月: ルーマニアで逮捕された。404 Media によると、ルーマニアの刑務所で3か月過ごしたあと、ニューヨークへ引き渡された
- その後: 司法省が、A 氏が有罪を認めたと発表した。
- 2026年6月: 404 Media によると、禁錮12か月の判決を受けた。すでに勾留されていた期間で刑期は終わった
北朝鮮との接点は、404 Media が国連の書簡として伝えた内容だ。書簡によると、北朝鮮の IT 労働者の一部が OnlyFake で偽の身分証を作っていた。それを使って在宅の仕事に応募したり、フリーランスの仕事を探すサイトや SNS、決済のサービスに登録したりしていたという。FBI は2026年10月13日の注意喚起で、北朝鮮の IT 労働者が身元確認の書類を偽造していると書いている。
日本の利用者への影響
日本の取引所や会社に被害があったかは、分からない。作れた国の一覧に日本が入るかも、確かめられていない。
ただ、日本の仕組みも同じ弱点を抱えている。eKYC（スマホでオンラインの本人確認をする仕組み）では、身分証の画像と顔の画像を送る方法も認められてきた。2018年11月の規則の改正で、身分証の画像や IC チップの情報を使うオンラインの方法が整えられたためだ。警察庁の資料によると、2027年4月1日からは、口座を開くときなどにマイナンバーカードなどの IC チップの読み取りが原則として必要になる。
金融庁は2026年10月9日に金融機関へ注意喚起を出した。運転免許証などの画像が、不正アクセスで外へ漏れているという。そのうえで、なりすましの手口が「巧妙化している」として、次の2つを求めた。
- 身分証の画像と顔の画像に、不自然な点がないかよく確かめる
- 画像を送る方法は施行日を待たずにやめ、IC チップの読み取りへ移る
今すぐやること
- 本人確認を受け付ける事業者は、画像を送るだけの受付がまだ残っていないか確かめる。金融庁が求めるとおり、施行日を待たずに IC チップの読み取りへ移す。
- 画像での受付が残るあいだは、人の目で見るだけに頼らない。Au10tix は、目に見えない加工を機械で調べる仕組みを、何段にも重ねるよう勧めている。
- 在宅の人を雇う会社は、採用のときだけで確認を終えない。FBI は、身分証を複数出してもらうことや、その場での本人確認（live verification）、雇ったあとも確かめ続けることを挙げている。
- 個人は、身分証の画像を求められる先をしぼる。漏れた画像は、なりすましの材料になる。
背景
画像を送らせる本人確認には、もとから弱点がある。画面の中で本物らしく見えれば通ってしまう。生成 AI で、それらしい画像を大量に安く作れるようになった。404 Media によると、OnlyFake をまねたサイトも生まれ、FBI がそのうち少なくとも1つを摘発した。
北朝鮮の IT 労働者は、身元を偽って海外の会社の在宅の仕事に就いている。FBI は、その稼ぎの85〜90%が北朝鮮の政府へ流れると見ている。
技術者向けの詳細
- 司法省の発表による OnlyFake の中身
- 運営の期間: 2021年ごろから2024年ごろ
- 作った件数: 少なくとも約1万件
- 画像の種類: スキャナで読んだような画像と、机などに置いて撮ったような画像を選べた
- 作れた書類（報道による）: 米国の運転免許証やパスポートなど
- Au10tix の評価（Biometric Update が2024年3月1日に報道）: 再開後のサイトでは、1,000件で1,500ドルのまとめ買いを売っていた。作られた画像は、Au10tix の最初の段の検知で4つの点に引っかかった。チェックの数は40〜60で標準、120〜180で強い、と Au10tix は言う。
- 犯収法施行規則の改正（警察庁、2027年4月1日施行）
- 写真付きの身分証の画像と顔の画像を組み合わせる非対面の方法（いわゆるホ方式）は使えなくなる。
- 金融庁は、IC チップの情報の読み取りを「不正対策として極めて効果が高い」としている。
- FBI IC3 PSA（I-101326-PSA、2026年10月13日）の勧め
- 1つの兆しだけでは見分けられない。いくつもの確認を重ねる「identity in depth」をとる。
- ブラックリストや名前だけで弾くのに頼らない。
- 次のような動きが重なっていないかを見る: リモートデスクトップのソフト、KVM-over-IP の機器、口座や住所のたびたびの変更。
