画像によるeKYCは2027年4月1日に終了：オンラインの本人確認をICチップ読み取りへ移す

片手にスマートフォン、もう片手にテイクアウトのコーヒーカップ

2027年4月1日から、犯罪収益移転防止法（犯収法）の対象となる事業者は、本人確認書類の写真と自撮りの画像だけを根拠に、オンラインで口座を開設することができなくなります。警察庁は2026年7月23日、これを1文で示しました。同日以降、口座開設などの取引の際の本人確認には、マイナンバーカードなどのICチップの読み取りが必要になる、というものです（JAFICのお知らせ）。

オンラインでの本人確認では、マイナンバーカード、運転免許証、その他のICチップ付き本人確認書類のチップを読み取るか、マイナンバーカードによる公的個人認証（JPKI）の電子署名を受け取らなければなりません。犯収法の対象には、銀行、保険会社、証券会社、暗号資産交換業者、貸金業者、資金移動業者、クレジットカード事業者などが含まれます。携帯電話事業者も、同じ日に、それぞれの法律に基づく同様の変更を迎えます。

この記事は、これらの事業者で本人確認の流れを担うプロダクト部門とコンプライアンス部門の責任者、そして日本で事業を行う海外企業に向けたものです。

施行規則で何が変わるか

この変更は、犯収法の施行規則（犯罪による収益の移転防止に関する法律施行規則）の改正によるもので、2025年6月24日に公布され、2027年4月1日に施行されます。パブリックコメントの結果は、その理由を示しています。本人確認書類の画像を受け取る方法はいずれも、偽造・変造された書類によるなりすましのリスクが高い、というものです。意見の中には施行を早めるべきだというものも遅らせるべきだというものもありましたが、当局は事業者がシステムを改修する期間を確保するため、2027年4月1日を維持しました。

以下は、e-Govで公開されている2027年4月1日時点の施行規則の条文に基づいています。対象は、国内に居住する個人の顧客です。

終わるもの

自撮りと本人確認書類の画像。 業界でホ方式と呼ばれている方法で、顧客がアプリを通じて自分の容貌と写真付き本人確認書類を撮影するものです。完全に廃止されます。
本人確認書類の画像と、金融機関との連携。 現在は、本人確認書類の画像に、ほかの特定事業者による確認記録の照会や、顧客の既存の預金口座への振込を組み合わせることができます。画像による選択肢はなくなり、ICチップを使う方法だけが残ります。
本人確認書類またはその画像と、書留郵便。 本人確認書類やその画像の送付を受け、取引関係文書を転送不要の書留郵便で送る方法はなくなります。紙による方法として残るのは1つだけで、住民票の写しや印鑑登録証明書といった公的な証明書の原本を郵送してもらう方法です。
2種類の書類の写しと、書留郵便。 住民基本台帳に記録されていない人、つまり非居住者と国外に転出した人に限って使えるようになります。勤務先を通じて開設する一部の給与口座など、狭い例外は残ります。

オンラインの本人確認で残るもの

JPKIの電子署名。 顧客がマイナンバーカードの署名用電子証明書で署名し、事業者は電子証明書と署名されたデータを受け取ります。
自撮りとICチップ。 事業者のソフトウェアで顧客の容貌を撮影し、氏名、住居、生年月日、写真が記録された写真付き本人確認書類のICチップを読み取ります。
ICチップと、金融機関との連携。 事業者のソフトウェアでICチップを読み取り、そのうえで、ほかの特定事業者がすでに顧客の本人確認を済ませていることを確認するか、顧客の既存の預金口座に振り込み、その記帳の写しを受け取ります。
ICチップと書留郵便。 まずICチップの情報を受け取り、その後、ICチップに記録された住居に宛てて、取引関係文書を転送不要の書留郵便で送ります。
スマートフォンのマイナンバーカード。 番号法に基づく認定を受けたプログラムを通じて、顧客のスマートフォンからカードの情報を送信してもらいます。
電子証明書。 認定または認証を受けた認証事業者が発行したものと、署名されたデータです。

対面でも同じ

2026年3月6日に公布され、同じく2027年4月1日に施行される追加の改正により、対面での確認もこれにそろえられます。ICチップ付きの写真付き本人確認書類の提示を受け、そのICチップを、情報を画面に表示する機器で読み取ります。ICチップのない本人確認書類も引き続き使えますが、その後に転送不要の書留郵便を送ることが条件になります。

警察庁の利用者向けチラシには、サポート担当者が知っておくべき点が2つあります。運転免許証のICチップの読み取りには2つの暗証番号が必要なこと、そして一部の金融機関は2027年4月1日より前に切り替える可能性があることです。

作業を担うのは誰か

ベンダーがホストする本人確認サービスやSDKを使っている場合、ICチップの読み取りとJPKIの処理の多くはベンダーの担当です。ICチップによる方法がいつ使えるようになるか、残る方法のうちどれに対応するか、記録のために何を返してくれるかを尋ねてください。自社の仕事は、切り替え、代替手段、データです。

画像の撮影を自社で作った場合、あるいはベンダーの画像APIを自社の画面で包んでいる場合は、変更が自社のチームに降りかかります。撮影画面、書類画像を前提に作られた審査キュー、そして記録の形式です。

JPKIの検証そのものは、自社で作るものではありません。 デジタル庁のJPKIのページは、2つの方法を説明しています。1つは、主務大臣の認定を受けた署名検証者として、自らJ-LISに電子証明書の有効性を確認する方法で、技術仕様書の受領から認定まで「6か月から1年程度」かかります。もう1つは、サービスプロバイダとして、認定を受けたプラットフォーム事業者に確認を委託する方法で、料金は事業者によって異なります。2026年10月に着手するなら、期限に間に合うのは後者だけです。

同じページには、25のプラットフォーム事業者の連絡先が載っており（掲載に同意した事業者のみで、すべてがほかの事業者向けにサービスを提供しているわけではありません）、2026年8月31日時点でJPKIを利用している民間事業者は1,411社とされています。

古物商は、貴金属等の取扱事業者として犯収法の対象になります。中古品の買取りの際の日常的な確認は古物営業法施行規則に定められており、2026年10月に当社が確認した時点では、e-Govに2027年4月1日に予定された改正は表示されていませんでした。

アプリで変わること

NFCでICチップを読み取る

iOSでは、Core NFCがNFCTagReaderSessionを通じて、これらのカードをISO 7816のタグとして読み取ります。アプリにはNFCタグ読み取りのentitlementが必要で、選択するアプリケーション識別子をInfo.plistに列挙しなければなりません。セッションはそれぞれに対して順にSELECTを送ります。Androidでは、IsoDepクラスが生のtransceiveチャネルを提供し、その上のプロトコルは開発者に任されます。

ほとんどのチームは、このAPDUの層を自前で書かず、ベンダーのSDKを使うことになるでしょう。いずれにしても、画面は自社のものです。カードをどこにかざすか、どのくらいの時間か、読み取りが途中で途切れたらどうするか。実機と本物のカードでテストしてください。アンテナの位置は機種によって違います。

暗証番号

JPKIと運転免許証の読み取りは、顧客が暗証番号を覚えているかどうかにかかっており、完了率が決まるのはここです。J-LISによれば、マイナンバーカードの利用者証明用電子証明書の暗証番号は数字4桁で、3回間違えるとロックされます。署名用電子証明書の暗証番号は6文字から16文字の英数字で、5回間違えるとロックされます。運転免許証には2つの暗証番号が必要です。

最後の1回の前に残り回数を表示し、J-LISが案内している再設定の方法（スマートフォンのアプリとコンビニエンスストアのキオスク端末、または市区町村の窓口）へのリンクを示してください。入力された内容は、決してログに残したり保存したりしないでください。

JPKIの流れ

アプリが署名用電子証明書を読み取り、顧客が暗証番号を入力し、カードが申込みのデータに署名します。バックエンドは電子証明書と署名をプラットフォーム事業者に渡し、プラットフォーム事業者はJ-LISの失効情報に照らして有効性を確認します。署名用電子証明書には氏名、住所、生年月日、性別が記録されているので、そこから申込みフォームを事前入力できます。デジタル庁は、JPKIが12桁のマイナンバーそのものは使わないことに触れています。

電子証明書はスマートフォンにも搭載されています。デジタル庁によれば、Androidでは2023年5月から、iPhoneでは2025年6月24日から、iOS 18.5以上のiPhone XS以降で利用できます。デジタル庁は、対応はサービスによって異なるとし、利用者には物理的なカードを手元に残すよう案内しています。また、2026年秋ごろにAndroid向けのサービスを置き換える予定なので、2月の時点で提供されているものに対してテストしてください。

自撮りとICチップ：容貌の照合が残る場合

容貌の確認を続けるなら、照合の基準が変わります。自撮りは自社のソフトウェアを通じて撮影しなければならず（カメラロールからのアップロードは認められません）、印刷されたカードの写真ではなく、ICチップに記録された写真と照合します。生体検知と顔照合は残せますが、書類画像の撮影、反射の検出、カードの厚みの確認は不要になります。

代替手段

NFC対応のスマートフォンを持っていない顧客、ICチップのない本人確認書類しかない顧客、暗証番号がロックされた顧客への対応を計画してください。NFCがなければ、住民票の写しの原本を郵送して書留郵便を受け取るか、窓口に来てもらう方法があります。暗証番号のロックは、再設定の方法か、自社が提供するほかの方法に案内します。非居住者は引き続き画像や写しによる方法を使えるので、海外に顧客を持つ外資系企業にとっては重要です。セッションを終わらせるのではなく、どのケースもどこかに案内してください。

バックエンドと記録

記録の義務は変わりません。犯収法第6条は、確認記録を7年間保存することを求めています。変わるのは、方法に応じて何を記録に含めるかです。改正後の施行規則第19条と第20条によれば、次のとおりです。

自撮りとICチップ： 自撮りの画像とICチップの情報（氏名、住居、生年月日、写真）を添付し、それぞれを受け取った日付を記録します。
ICチップと金融機関との連携： ICチップの情報を添付し、それを受け取った日付と、金融機関への照会または振込を行った日付を記録します。
ICチップと書留郵便： ICチップの情報または郵送された証明書を添付し、それを受け取った日付と文書を送った日付を記録します。
JPKIとその他の電子証明書： この方法で確認したことを示す電磁的記録を添付します。電子証明書、署名されたデータ、プラットフォーム事業者の有効性確認の応答をまとめて保存してください。
スマートフォンのカード： スマートフォンから受け取った電磁的記録を添付します。

すべての記録には、用いた方法を記載します。添付ファイルから推測するのではなく、項目として保存してください。顧客の情報が変わったときは記録に追記し、それまでの内容は消しません。

ICチップに記録された住居が現在のものでない場合は、補完書類（過去6か月以内の公共料金の領収証書など）で新しい住居を確認できます。国内の居住者については、写真ではなく原本が必要です。

そして切り替えです。2025年6月の改正省令には施行日を定める1行の附則があるだけで、手続き中の申込みについての経過措置はありません。画像による方法は、2027年4月1日の日本時間0時に止められるスイッチの後ろに置き、日付をまたぐセッションをどう扱うかをコンプライアンス部門に確認してください。

携帯電話事業者も並行して進む

携帯電話事業者は、別の法律である携帯電話不正利用防止法と、総務省のその施行規則に基づいて契約者の本人確認を行っています。e-Govによれば、自撮りと本人確認書類の画像による方法は、2026年4月1日の時点ですでにその施行規則から外れていました。

次の段階は、2026年7月27日に公布され、2027年4月1日に施行される令和8年総務省令第94号です。これにより、店頭が対象になります。ICチップ付きの写真付き本人確認書類の提示を受け、そのICチップを読み取ります。ICチップのない本人確認書類の場合は、SIMカード、端末、契約書類を転送不要の書留郵便で送ります。オンラインでの主な方法は、自撮りとICチップの読み取り、またはICチップの読み取りと書留郵便による送付です。

携帯電話事業者とMVNOにとって、2027年4月の作業の中心は店頭です。すべての店舗でのICチップの読み取りと、暗証番号について顧客を案内できるスタッフです。デジタル庁はマイナンバーカード対面確認アプリを公開しています。自社で作る前に、それが自社の流れに合うかをコンプライアンス部門に確認してください。

6か月計画

2027年4月1日から逆算します。

2026年10月：棚卸し。 顧客の本人確認を行うすべての経路（アプリ、Web、店舗、提携先、郵送）を洗い出し、それぞれを残る方法に対応づけます。本人確認書類の画像に頼っているものは、廃止の一覧に入れます。
10月から11月：方法とパートナーを選ぶ。 JPKI、自撮りとICチップ、またはその両方です。プラットフォーム事業者を選ぶか、ベンダーの日程を確認し、サンドボックスへのアクセスを早めに得てください。契約は、コーディングより時間がかかることがあります。
11月：設計。 NFCの画面、暗証番号の扱いとロック時の文言、代替手段、記録のスキーマ、そして切り替えのスイッチです。
12月から1月：構築。 iOSとAndroidのNFCの流れ、プラットフォーム事業者とのバックエンドの連携、記録の保存、コンプライアンス部門向けの閲覧画面です。
2月：テスト。 利用者の端末構成に合わせた実機と本物のカード、両方のプラットフォームでのスマートフォンのカード、ロックと再設定の経路、郵送による代替手段をエンドツーエンドで試します。記録の内容について、コンプライアンス部門の承認を得ます。
3月：開始と切り替え。 月の初めにICチップによる方法を既定にし、完了率を注視します。サポート担当者に暗証番号と再設定について説明しておきます。4月1日に画像による方法を止めます。

警察庁のチラシにあるとおり、取引のある金融機関が前倒しで切り替えるなら、計画もそれに合わせて前倒しになります。

ご相談先

欧州も、書類の画像から暗号技術による本人確認へと、同じ方向に動いています。その側面は当社のEUデジタルIDウォレットのガイドで扱っています。

当社は、事業者側にある部分を構築します。iOSとAndroidのアプリでのNFCによるICチップの読み取り、本人確認の流れとその代替手段、選んだプラットフォーム事業者との連携、そしてコンプライアンス部門が保存しなければならない記録です。JPKIの検証そのものは、認定を受けた国内のプラットフォーム事業者が担います。今後6か月のためにエンジニアが必要なら、スタッフ増強サービスをご覧いただくか、office@c9group.devまでご連絡ください。