パスキー時代におけるeKYCの役割とは

はじめに

近年、パスキー（Passkey）をはじめとする新しい認証技術が注目を集めています。
フィッシング耐性が高く、ユーザー体験にも優れることから、金融・証券・ECを中心に導入検討が進んでいます。

一方で、2024年以降の証券口座の不正取引事案等をきっかけに、
「認証を強化するだけで、本当に不正は防げるのか」
という問いも、改めて浮かび上がっています。

実際の不正事案を見ていくと、単純にログイン時の認証を強化するだけでは不正を防ぐことができないケースも少なくありません。

本記事では、

• パスキーが担う役割
• それでもなおeKYCが必要とされる理由
• 2027年に向けて求められる本人確認設計

を整理しながら、パスキー時代におけるeKYCの位置づけを考えていきます。

近年の証券口座の不正事案

2024年以降、証券口座を狙った不正ログインや口座乗っ取りに関する報道がありました。
不正ログイン後に、保有資産の売却・出金、あるいは出金先口座の変更など“重要操作”まで行われるケースもあり、被害は単なるログイン突破にとどまりません。
結果として、利用者対応（補償・調査）や監督当局対応を含め、事業者側の運用負荷が増大しやすい点が特徴です。

こうした不正は、特定の証券会社や一部の利用者に限った話ではありません。

オンラインでの口座開設・取引が一般化する中で、業界全体が直面している構造的な課題と捉える必要があります。

こうした事案を受け、証券業界では、

• 多要素認証の必須化

• フィッシング耐性のある認証手段の検討
• ログイン・出金など重要操作時の認証強化

など、認証強化に向けた動きが加速しています。

その中で、従来のID・パスワード方式に代わる認証手段として注目されているのが、パスキーです。

不正事案を構造的に整理すると何が見えるか

これらの不正事案を、個別の事件としてではなく構造的に整理すると、大きく2つの課題が組み合わさっていることが分かります。

• 架空・なりすましによるアカウント開設

• 開設済みアカウントへの不正ログイン・不正操作

後者については、フィッシングやマルウェアによる認証情報の窃取が主な原因とされています。この点については、認証方式の見直しによって一定の対策が可能です。

一方で、前者──
口座開設時点で、そもそも「誰のアカウントなのか」が十分に確認されていないケース
については、ログイン認証をどれだけ強化しても根本的な解決にはなりません。

2つの課題は、対策の主戦場が異なります。

• 架空・なりすまし開設：登録時（審査・本人確認設計）の問題

• 不正ログイン・不正操作：利用時（認証・検知）の問題

そのため、どちらか一方の強化だけでは“片手落ち”になりやすく、本人確認を工程全体で設計する必要があります。

パスキーが担う「当人認証」という役割

パスキーは、ログインの突破だけでなく“重要操作時の本人性”を担保する手段として注目されています。特に、出金・出金先変更・本人情報変更など、被害に直結しやすい操作で認証強度を上げる設計が議論されやすい領域です。

そのため、

• フィッシングサイトに誘導されても認証が成立しにくい

• 認証情報が窃取されにくい

といった特性を持ち、従来の認証方式と比べて高い安全性を実現します。

パスキーの役割は明確で、
「その操作をしているのが、登録済みの本人であるか」
を確認する、いわゆる 当人認証 の強化です。

証券業界においてパスキー導入の検討が進んでいる背景には、ログイン・出金・設定変更といった重要操作における認証強化が急務となっている現状があります。

当人認証だけでは解決しない理由

当人認証は非常に重要な要素ですが、
それだけで本人確認が完結するわけではありません。

当人認証はあくまで
「登録済みのアカウント利用者が本人であるか」
を確認する仕組みです。

仮に、口座開設時の本人確認が不十分であった場合、

• 架空名義で作成されたアカウント

• 第三者によるなりすましアカウント

であっても、その後の認証が正しく成立してしまう可能性があります。

つまり、
認証がどれだけ強固でも、
登録時の身元確認が誤っていれば、
その強さは十分に発揮されない
という構造になります。

この点は、近年の不正事案を通じて改めて浮き彫りになった論点と言えます。

2027年に向けて変わる身元確認の前提

こうした背景を受け、非対面本人確認の制度そのものも見直されています。

2027年には、撮影方式（いわゆるホ方式）が廃止され、ICチップ読み取りを前提とした本人確認へと移行します。

これは、

• 偽造書類の精巧化

• ディープフェイク技術の進展

• 仮想カメラを用いたなりすまし

といった背景から、撮影方式では不正検知に限界があることが明らかになってきたためです。

今後のeKYCは、

• マイナンバーカードや運転免許証、在留カード、特別永住者証明書のICチップ情報

• 公的個人認証

といった、改ざん耐性の高い情報を前提に設計されることになります。

パスキー時代におけるeKYCの役割整理

パスキーの普及によって、当人認証は大きく進化します。一方で、その効果を最大化するためには、登録時の身元確認が適切に行われていることが不可欠です。

本人確認を整理すると、役割は次のように分かれます。

• eKYC
  初回の本人確認は「誰のアカウントか」を確定する

• パスキー等の認証（LIQUID AuthまたはLIQUID eKYCなど）
  パスキーの登録時に「その本人か」を継続的に確認する

どちらか一方を強化すればよい、という話ではなく、
両者を前提とした設計が求められます。

設計の考え方は、例えば次のように整理できます。

• アカウント開設時
  改ざん耐性の高いeKYC（IC読取等）で身元確認

• 利用時
  パスキーの登録時はLIQUID AuthまたはLIQUID eKYCで本人確認し、安全に登録
  普段のログイン等はパスキーを基本にし、重要操作では必須化

• 例外時
  代替手段を用意しつつ、リスクに応じて追加確認を行う

“アカウント開設時に誰を確認し、利用時に誰が操作しているかを守るか”を分けて設計することがポイントです。

また、パスキーは登録時に脆弱性があるため、パスキー登録時の本人確認を強化することがポイントです。

本人確認を「点」ではなく「設計」で考える

本人確認は、単発の機能ではなく、サービス全体を通じた“設計”の問題です。

• どのタイミングで身元確認を行うのか

• どの操作で強い当人認証を求めるのか

• 不正リスクに応じて、どのように段階的に強度を上げるのか

パスキー時代においては、身元確認と当人認証の役割分担を前提とした本人確認設計が、これまで以上に重要になります。

まとめ

証券口座の不正事案は、
本人確認を部分的に強化するだけでは不十分であることを示しています。

パスキーの普及は、当人認証を大きく前進させます。
一方で、その前提となる身元確認の重要性は、益々、高まっています。

パスキー時代においても、eKYCは
信頼できるデジタルサービスを成立させるための基盤として、
引き続き重要な役割を担います。

LIQUID eKYCは、金融機関や大手事業者で数多くの導入実績を持ち、法令対応からユーザー体験改善まで支援可能です。
詳細な導入方法や運用に関するご相談は、以下よりお問い合わせください。