JPKIとマイナンバーカード：日本の公開鍵による本人確認の仕組み (JA)

日本は、政府が支援するデジタルIDにおいて、世界で最も野心的な実験の一つを静かに進めています。その中心にあるのがJPKI（Japanese Public Key Infrastructure）です。これは、マイナンバーカードのICチップに保存された暗号証明書を使って、オンラインで本人が誰であるかを証明できるシステムです。2026年1月中旬以降、この機能はリモートでのオンボーディングにおける本人確認に利用できるようになり、2027年4月からは、銀行や金融機関における非対面での口座開設において、チップベースの本人確認が義務化されます。この解説記事では、JPKIとは何か、その仕組み、2026年1月に何が変わったのか、そして現在ほとんどのプラットフォームが使用している書類写真によるeKYCとどのように比較されるのかを説明します。

要約

- JPKIは、マイナンバーカードのICチップに保存されたデジタル証明書を使用して本人確認を行います。これは、プラスチックカードの写真ではなく、暗号による証明です。

- 2026年1月中旬以降、JPKIを介した、またはID書類のICチップデータと保持者の顔画像を照合するリモート本人確認が利用可能です。

- 2027年4月からは、リモートでの口座開設においてICチップベースの本人確認が義務化され、ID書類の写真やコピーの提出は禁止されます。

- 日本の金融庁は、2026年3月31日付けでAML/CFTガイドラインを改訂し、金融機関に対するリスクベースアプローチの期待値を明確にしました。

- チップの読み取りは、写真ベースのeKYCの根本的な弱点である、画像からでは見破るのが難しい偽造・模造書類への対策となります。

情報源に関する注記。この記事は2026年7月現在の情報に基づき、日本の金融庁（FSA）、JAFIC、デジタル庁、The Japan Times、Biometric Updateの出版物および報告書を参考にしています。規制は変化します。詳細な情報については、金融庁、JAFIC、デジタル庁に直接お問い合わせください。誤りを発見された場合は、didit.me/contactまでお知らせください。

JPKIとは？

JPKIはJapanese Public Key Infrastructureの略で、日本居住者が利用できる身分証明書であるマイナンバーカードのICチップに、政府発行のデジタル証明書を格納する国家的な枠組みです。

暗号技術は複雑ですが、その考え方はシンプルです。カードが発行される際に、証明書がチップに書き込まれます。その後、カード保持者がオンラインで本人であることを証明する必要がある場合、チップは本物のカードだけが実行できる暗号操作を実行し、利用サービスは公開鍵インフラストラクチャに対して結果を検証します。証明書のステータスは確認できるため、紛失または無効化されたカードは本人確認に利用できなくなります。

実用的な結果として、JPKIを介して誰かを検証するサービスは、カードの写真をみて本物かどうかを推測するわけではありません。これは、有効な政府発行の証明書（実際の登録された身元に紐付けられている）が、それを解除できる人物によって使用されたという暗号による証明を受け取っているのです。

JPKIは、オンラインでの税務申告などの電子政府手続きのために構築され、その利用は民間サービスへと段階的に拡大してきました。デジタル庁のマイナンバーFAQ（digital.go.jp）は、カードとその証明書の仕組みについて、最も平易な言葉で書かれた参考資料です。

マイナンバーカードがリモートで本人確認を行う仕組み

デジタル庁の資料によると、マイナンバーカードのチップには、それぞれ異なる役割を持つ2つの電子証明書が搭載されています。

証明書	機能	解除方法
電子署名証明書	文書やアプリケーションにデジタル署名を行い、コンテンツが保持者から発信され、改ざんされていないことを証明します	保持者が設定した英数字のパスワード
利用者証明用電子証明書	「この接続の相手が登録された保持者である」ことを証明します。ログインや本人確認の主要な機能です	保持者が設定した短い数字のPIN

リモートでの本人確認フローは通常、次のようになります。

1. 申請者は銀行またはプロバイダーのアプリでオンボーディングを開始します。
2. マイナンバーカードをスマートフォンのNFCリーダーにかざします。
3. 関連する証明書を解除するためのPINを入力します。
4. チップが暗号的に応答し、その応答は証明書のステータスを含め、JPKIインフラストラクチャに対して検証されます。
5. サービスは、本物の有効なカードが、そのPINを知っている人物によって使用されたという確認を受け取ります。

2つの要素が組み合わされています。物理的なカードの所持（チップは写真に撮ったりコピーしたりして存在させることはできません）とPINの知識です。この組み合わせが、JPKIを写真アップロードよりも実質的に強力なものにしています。

2026年1月に何が変わったか

2026年1月中旬以降、日本ではリモートでの本人確認に2つのチップベースの経路が利用可能になりました。

1. マイナンバーカードを使用したJPKI認証 — 上記の証明書ベースのフロー。
2. ICチップデータと顔画像のマッチング — ID書類のチップに保存されたデジタルデータ（チップに保存された肖像を含む）を読み取り、オンボーディング中に取得された申請者の顔画像と照合します。

2番目の経路が重要なのは、マイナンバーカード以外のものにもチップレベルの保証を拡大するからです。2027年4月に施行される改訂された規則の下では、リモート申請者はマイナンバーカードまたは運転免許証に埋め込まれたICチップを読み取る必要があります。チップと顔の組み合わせは、チップデータは持っているもののJPKIの証明書フローには参加しない運転免許証が、強力なリモート認証を提供する仕組みです。チップが書類が本物であることを証明し、生体認証による照合が、それを提示している人物がその保持者であることを証明します。

市場はすでに動き始めています。ある日本の主要プロバイダーは、チップベースのチェックが1.8倍に増加し、合計6,000万件以上の認証の中で1,400万件に達したと報告しています。導入は義務化よりも先行しています。

Diditがお手伝いできること：日本のチップベース認証への転換は、Diditがすでに世界中で提供している機能に直接対応しています。NFCチップの読み取り（ユーザー認証の下で1件あたり0.15ドルの項目）は、チップ搭載の身分証明書に暗号的に署名されたデータを抽出し検証します。生体認証による顔照合は、チップに保存された肖像とライブセルフィーを比較します。これは、日本の新しい規則が記述するチップと顔画像の論理と同じです。これに加えて、フルKYCバンドル（1回成功するごとに0.33ドル：ID検証、パッシブライブネス、顔照合1:1、IP分析）、1,300以上のリストに対するAMLスクリーニング、および取引監視は、金融庁のリスクベースの期待に応えます。220以上の国と14,000以上の書類タイプを対象とし、2秒未満の推論速度で対応します。日本の犯罪収益防止法制度にどのように適合するかは、Diditジャパンソリューションページをご覧ください。

範囲について正確に言うと、DiditはJPKIプロバイダーではなく、日本のマイナンバーインフラストラクチャとは統合されていません。関連するマッピングは、チップ搭載書類のチップ読み取りと生体認証照合（日本が義務付けている検証ロジック）であり、JPKI証明書スキーム自体ではありません。

JPKIとチップ読み取り vs 書類写真eKYC

世界中のほとんどのeKYCは依然として同じ方法で機能しています。申請者がIDを撮影し、セルフィーを撮り、ソフトウェア（そして時には人間）が書類が本物に見えるか、顔が一致するかを判断します。日本の規制当局は、口座開設においては、もはやこれでは不十分であると結論付けました。偽造・模造IDは画像から検出するのがあまりにも難しくなっているためです。以下に、これらのアプローチを比較します。

	書類写真eKYC	ICチップ / JPKI認証
確認される内容	書類の視覚的外観	暗号的に署名されたチップデータまたは証明書
偽造耐性	限定的 — 高品質の偽造品は目視検査を通過する可能性があります	強力 — 有効なチップ署名を偽造することは実用的ではありません
スクリーンショット / リプレイのリスク	写真は加工、再利用、または合成生成される可能性があります	チップは物理的に存在し、NFCを介して読み取られる必要があります
保持者の紐付け	セルフィーと印刷された肖像を比較	チップに保存された肖像との顔照合、またはPINで解除された証明書
2027年4月以降の日本でのステータス	リモート口座開設では禁止	義務化

正直なトレードオフとして、チップベースのフローにはNFC対応のスマートフォンとチップ搭載の書類が必要であり、PINベースのフローは保持者がPINを忘れた場合に失敗します。これらの課題は現実的ですが、日本の規制当局は、詐欺防止のメリットがそれを上回ると判断しました。

コンプライアンスのタイムライン：2025年から2027年

日本の変化は、FATFの2021年の相互評価で指摘された有効性のギャップの後、日本のFATF基準との整合を図るための、犯罪収益移転防止法に基づく広範なAML/CFT近代化の一環です。

日付	内容
2025年8月	電子決済手段サービス提供者（ステーブルコイン仲介業者）が、トラベルルール義務を含むAMLの対象に完全に組み込まれる
2026年1月中旬	JPKI（マイナンバーカード）およびICチップデータ＋顔画像照合によるリモート認証が利用可能になる
2026年3月31日	金融庁の改訂AML/CFTガイドラインが発効：リスクベースアプローチの強化、アウトソーシング、技術導入、取引監視に関する義務、STRデータの国別・顧客属性別の内訳、規制当局による取締役会レベルの報告書へのアクセス、上級管理職の直接的な説明責任
2027年4月	非対面での口座開設においてICチップベースの認証が義務化。写真/コピーIDの提出は禁止

顧客の身元確認、記録の7年間保持、JAFICへの疑わしい取引の報告など、基本的な義務は引き続き適用されます。

オンボーディングチームにとっての意味

銀行、フィンテック、暗号通貨取引所、決済プロバイダーとして、日本の顧客をリモートでオンボーディングする場合、実用的なチェックリストは次のようになります。

• 現在のフローを監査する。写真またはコピーされたIDに依存している場合、口座開設については2027年4月という明確な終了日があります。
• NFC対応を計画する。オンボーディングアプリは、マイナンバーカードと運転免許証のICチップを読み取り、デバイスが対応できない申請者にも対応できる必要があります。
• チップ読み取りと生体認証を組み合わせる。チップと顔画像の照合は承認された経路です。堅牢な顔照合とライブネスは必須であり、オプションではありません。
• 認証だけで終わらせない。金融庁の2026年3月のガイドラインでは、自己主導のリスク評価、取引監視、そしてプログラムに責任を持てる上級管理職を期待しています。オンボーディングは玄関口に過ぎません。
• 期限前に移行する。認証フローの移行には数週間ではなく数四半期かかり、導入データによると競合他社はすでに切り替えを進めています。

結論

JPKIは、政府がプラスチックカードの写真はもはや何の証明にもならないと判断したときに、本人確認がどうあるべきかを示すものです。それは、保持者によって解除され、リアルタイムで検証されるチップ上の暗号証明書です。2026年1月の拡大により、チップレベルの認証が広く利用可能になり、2027年4月にはリモートでの口座開設に義務付けられます。コンプライアンスチームにとってのメッセージはシンプルです。日本のeKYCの写真アップロード時代は既知の日に終わりを迎え、代替技術はすでに稼働しています。

日本市場向け、またはチップ搭載書類が保証レベルを高められるあらゆる場所で、本人確認システムを構築またはアップグレードしている場合、DiditはNFCチップ読み取り、生体認証顔照合、AMLスクリーニング、取引監視を単一プラットフォームで提供し、毎月500回の無料コアKYCチェックを提供しています。無料のDiditビジネスアカウントを作成し、今すぐフローをテストしてください。

この記事は一般的な情報であり、法的助言ではありません。日本の法律に基づく特定の義務に関するガイダンスについては、資格のある弁護士および金融庁、JAFIC、デジタル庁の公式出版物をご参照ください。