AIなりすまし対策を強化する企業向け本人認証刷新ガイド

公開日：2026年10月23日文：クリスタルメソッド編集部監修：河合継（代表取締役）

AIなりすましがeKYCと企業認証を脅かしている現状

2026年10月、NHKニュースはAIを使ったなりすまし攻撃とeKYC（電子本人確認）突破の事例が相次いでいることを報じた（ＡＩ・ネット・ＩＴ、深掘りコンテンツ、サイバー攻撃）。被害に遭った方々の実態は軽く扱えるものではなく、この問題は個人だけでなく、本人確認プロセスを運用するすべての企業・自治体に直結する課題として認識しなければならない。

具体的には、生成AIで偽造されたパスポート画像を使ってeKYCシステムを突破した事例がすでに登場しており（ビジネス+IT）、従来の「まばたき検出」や「頭部回転」などのライブネス確認は、高度なディープフェイク映像に対して脆弱化しつつあることがトレンドマイクロの調査で指摘されている（トレンドマイクロ (JP)）。Juniper Researchの推計では、ディープフェイクを用いた不正による経済損失は2026年に15億ドル規模に達するとされる（didit.me）。

この脅威の本質は「攻撃がAI化した」という一点に集約される。人間の目視確認を前提に設計された認証フローは、AI生成コンテンツを素材とした攻撃に対して構造的に弱い。企業が取り組むべきAIなりすまし対策は、認証フロー全体の再設計という段階に入っている。なお、ディープフェイク技術の基盤となる生成モデルの仕組みは、敵対的生成ネットワーク（GAN）の解説で詳しく確認できる。

AIなりすまし攻撃のフローと、高度ライブネス検出・行動バイオメトリクス・異常検知AIという3つの対策レイヤーがどこに介在するかを示す。単一の対策では突破されるリスクがあるため、各レイヤーを組み合わせることが実務上の要点となる。

生成AIで作られた偽の映像や画像を見分けるポイントは、ディープフェイクの見分け方と対策で解説しています。

関連記事ディープフェイクの活用シーンは？

なぜ従来のAIなりすまし対策が企業で通用しなくなっているか

従来のeKYCや社内認証システムは、「人間が本物の顔・書類を提示する」という前提のもとで設計されてきた。まばたきや頭部の動きを検出する受動的ライブネス確認は、2020年代前半時点では実用的な対策だった。しかし生成AIの能力が向上した現在、高品質なディープフェイク映像はリアルタイムで生成でき、従来のライブネス検出を回避できる精度に達しつつあることが指摘されている（didit.me）。

書類偽造の問題も同様だ。生成AIを使えばパスポートや運転免許証の画像を視覚的に精巧に偽造することが可能になっており、光学的な画像スキャンに依存したeKYCシステムはその影響を受けやすい（ビジネス+IT）。eKYC市場では世界的にMicroblink、IDScan、Onfido、Jumio、Sumsub等の大手が、高度化する脅威への対応を急いでいる（トレンドマイクロ (JP)）。

日本では、デジタル庁がアイデンティティアーキテクチャの整備とガイドライン策定を進めており（ビジネス+IT）、民間企業に対しても認証フローの見直しを促す方向性が示されつつある。ガイドラインへの準拠だけを目標にするのではなく、攻撃手法の進化に即した技術的対応が求められている。

課題は三点に集約される。第一に、AI生成コンテンツを識別できない単一レイヤーの認証。第二に、認証後のセッションを継続的に監視する仕組みの欠如。第三に、インシデント発生後の検知・対応プロセスの未整備だ。いずれも「攻撃がAI化する以前」に設計されたシステムが抱える構造的弱点であり、部分的なパッチでは対応しきれない。

次に読む：AIの法規制と倫理的リスクとは？

AIの法規制と倫理的リスクについて解説します――経営判断のための実務整理

AIで企業のなりすまし対策を強化する3つの技術アプローチ

未然に防ぐ：高度ライブネス検出とドキュメント真正性確認

受動的ライブネス検出に代わる技術として、3Dライブネス検出とテクスチャ分析が実用段階に入っている（didit.me）。3Dライブネス検出は顔の立体構造をリアルタイムで解析し、2Dのディープフェイク映像との差異を捉える。テクスチャ分析は皮膚の微細な質感パターンを検査し、スクリーン越しに表示された映像や印刷物との識別に用いる。

書類確認においては、AIを使ったドキュメント真正性検証が有効だ。フォントの整合性、印刷パターン、セキュリティ機能の特徴をAIが自動解析し、偽造書類を入力段階で弾く仕組みが実装されている。人間の目視確認を補完するのではなく、AIが一次判定を行い人間が最終確認する構造への転換が、処理精度と速度の両立につながる。これらの画像認識・パターン分析には深層学習が基盤技術として用いられており、その仕組みは深層学習の技術解説で詳しく確認できる。

早く見つける：行動バイオメトリクスと異常検知AI

認証後のセッション監視には、行動バイオメトリクスが実務的な選択肢となっている。タイピングリズム、マウスの動き方、スクロール速度、画面タップのパターンといった操作行動は個人ごとに一定の特性を持つ。ログイン後のセッション中にこれらの特性を継続的にスコアリングし、基準から逸脱した場合に追加認証や警告を発動する仕組みだ。

異常検知AIはアクセスログ・時刻・IPアドレス・デバイス情報・操作フローをリアルタイムで分析し、通常パターンから外れた動作を自動フラグする。同一アカウントが地理的に離れた場所から短時間に連続してログインしたケースや、通常業務外の時間帯に機密ファイルへのアクセスが集中するケースは、AIが即時に検知して担当者に通知する構成が取れる。

被害を小さくする：ゼロトラストとインシデント対応の自動化

なりすましが成立した後の被害を最小化するには、「認証済み＝信頼済み」という前提を捨てたゼロトラスト設計が有効だ。すべてのアクセスをリソースごとに都度検証し、最小権限原則に基づいてアクセス範囲を限定する。認証の突破に成功しても、横展開（ラテラルムーブメント）できる範囲を構造的に絞る。

インシデント対応においては、SOAR（Security Orchestration, Automation and Response）ツールがAIの検知シグナルを受け取り、アカウント一時停止・セッション切断・管理者通知を自動実行するフローが実用化されている。人手で対応する場合と比べて検知から初動措置までの時間を短縮しやすい。ただし自動対応が正当なユーザーを誤ってロックアウトするリスクもあるため、閾値の設計と例外処理のフローは人間が事前に精緻化する必要がある。

日本企業・自治体が取り組むAIなりすまし対策の実務手順

認証フローの刷新は一度に全部行う必要はない。現場の混乱を最小化するため、リスクの高い接点から段階的に実施することが現実的だ。以下に優先度順の実務ステップを示す。

フェーズ	対象	実施内容	優先度
1. 現状棚卸し	全認証エンドポイント	受動的ライブネスのみの箇所・人手書類確認の箇所をリスト化	最優先
2. 書類・顔認証の高度化	eKYC・入社・口座開設フロー	3Dライブネス検出・AIドキュメント検証の導入評価	高
3. MFA強化	全社内システムログイン	SMS OTPからFIDO2/WebAuthn（パスキー）への移行検討	高
4. 行動監視の導入	機密情報アクセス権を持つロール	行動バイオメトリクスツールのパイロット実施	中
5. 異常検知AI連携	SIEM・認証ログ基盤	既存SIEMへのAIアドオン、またはMDRサービスへの委託評価	中
6. ゼロトラスト整備	全社ネットワーク・クラウド	マイクロセグメンテーション・最小権限設計のロードマップ策定	中長期
7. インシデント対応自動化	SOC・IT管理部門	SOAR連携による検知→初動措置フローの設計・訓練	中長期

自治体においては、デジタル庁のガイドラインを参照しながら、住民向けオンライン手続きのeKYCフローを点検することが出発点となる。特に書類の画像提出を伴う手続きは、AIドキュメント検証の導入効果が出やすい接点だ。

中小企業においては、自前で異常検知AIを構築するよりも、FIDO2対応のIDaaS（Identity as a Service）を採用し、行動バイオメトリクス機能を持つSaaSへ認証基盤を移管する方が現実的な選択肢になる場合が多い。

AIなりすまし対策の限界と注意すべきリスク

AIを活用した対策には、解決できない領域と固有のリスクが存在する。担当者はこれを織り込んで設計する必要がある。

誤検知と正当ユーザーへの影響。行動バイオメトリクスや異常検知AIは、体調の変化・新しいデバイスへの乗り換え・業務フローの変化などによって正当なユーザーを誤検知する。最終判断は必ず人間が行う仕組みを残し、ロックアウトされたユーザーの迅速な復旧フローを整備しておかなければ、業務停止につながる。

プライバシーと個人情報保護。行動バイオメトリクスや顔の生体情報は、個人情報保護法上の取り扱いに細心の注意が必要だ。収集・保管・削除のポリシーを事前に整備し、従業員・利用者への説明と同意取得を適切に行うことが前提となる。監視の粒度が過剰になれば、従業員の心理的負荷やプライバシー侵害の問題を招く。

AIの過信。ディープフェイク検出AIは、より高度な生成AIが登場するたびに検出精度が追いつかない局面が生じる。AI対AIの軍拡競争が常態化しており、導入時点で有効だった対策が数年後には陳腐化するリスクがある。定期的な技術評価と更新のサイクルを運用プロセスに組み込むことが不可欠だ。

コストと運用体制。3Dライブネス検出やSOARの導入は初期コストと継続的な運用コストを伴う。セキュリティ担当者のスキルセットが追いつかない場合は、専門のMDR（Managed Detection and Response）サービスへの委託も選択肢だが、委託先のセキュリティ管理も同様にリスク評価が必要になる。

内部不正はAIだけでは防げない。正当な権限を持つ内部者による不正は、行動バイオメトリクスや異常検知AIでも検出しにくい。ゼロトラスト設計による権限の最小化と、内部不正を抑止する組織的統制の両立が求められる。

明日から着手できる次の一手

大規模な認証基盤の刷新に着手する前に、現場担当者が今週中に実施できる初動がある。

まず、自社のeKYCや社員ログインのフローに「受動的ライブネス検出のみ」「人手による書類目視確認のみ」が残っている箇所を地図化する。この棚卸しがなければ、どこにリソースを投下すべきかの優先順位がつかない。次に、現在使用している認証SaaSのベンダーに対して、3Dライブネス対応・FIDO2対応・異常検知機能の有無を確認するだけでよい。多くの場合、既存契約の範囲内でオプション機能が存在するか、ロードマップに含まれているかを把握できる。

SMS OTPを全社でまだ使用している場合は、SIMスワッピング攻撃への脆弱性があるため、FIDO2/WebAuthn対応デバイスへの移行を中期計画に組み込む検討を始めるタイミングだ。認証器として物理セキュリティキー（YubiKey等）やデバイスのパスキーを採用することで、フィッシング・なりすまし・リプレイ攻撃に対する耐性が向上する。

AIなりすまし対策は、ツールの導入だけで完結しない。攻撃手法の進化に合わせて認証フローを継続的に見直す運用文化の確立が、長期的な防御の核心となる。

参考文献

ＡＩ・ネット・ＩＴ、深掘りコンテンツ、サイバー攻撃　https://news.web.nhk/newsweb/na/nd-20261022de63457
トレンドマイクロ (JP)　https://trendmicro.com/ja_jp/research/24/l/ai-vs-ai-deepfakes-and-ekyc.html
didit.me　https://didit.me/ja/blog/deepfake-detection-identity-fraud-ja/
ビジネス+IT　https://www.sbbit.jp/article/sp/186320