ベトナムIDカード認証：NFCによるCCCDチップの読み取り
ベトナムのICチップ付きIDカード（CCCDおよび2024年のthẻ căn cước）の認証方法を解説します。チップに格納されたデータ、NFC読み取り、パッシブ認証、ライブネス検知と顔照合、失敗パターン、VNeIDとの関係を取り上げます。
By Alberto RosasDidit 共同創設者兼CEO更新日 
要点
ベトナムの身分証の確認は、チップから行うのが最も確実です。国民身分証（CCCD）には2021年からチップが搭載されています。2024年7月1日以降に発行される身分証は、所持者の氏名、個人識別番号、生年月日、顔画像を国際民間航空機関（ICAO）の規格に沿ってチップに保存しています。[2][3] 近距離無線通信（NFC）に対応したスマートフォンであれば、チップを読み取り、発行者の署名を検証し、チップ内の写真とライブのセルフィーを照合できます。
- チップ検証では、チップのデータが発行者によって署名され、改ざんされていないことを確認できます。[9] ライブネス検知と顔照合では、顔写真と一致する本人がその場にいることを確認します。
- Decree 320/2026/ND-CPは、対象として列挙されたプラットフォームに対し、アカウントを電子識別アカウント（VNeID）と連携させるよう求めています。銀行以外の既存アカウントの期限は2026年12月31日より前までです。[5]
- チップ検証は、この連携の代わりにはなりません。チップ検証は、VNeIDを持たないユーザーをカバーし、アカウントの背後にある身分証を確認するものです。
ベトナムの身分証の確認といえば、以前は身分証の写真とセルフィーを意味していました。2024年7月1日以降に発行されるすべての身分証にはチップが搭載されており、その中核となる本人情報の項目は、電子パスポートで使われるICAO規格に準拠しています。[2] 同日以降、ベトナム国家銀行は、顧客の生体情報とCCCDのチップとの照合を、一部のオンライン決済における認証方法の一つとして定めています。[7]
本ガイドでは、プロダクトチームとコンプライアンスチームに向けて、チップから身分証を確認する方法、チップを読み取れない場合の対応、そしてこの確認がDecree 320/2026/ND-CPで現在義務付けられているVNeID連携とどう位置付けられるかを解説します。
ベトナムのチップ付き身分証の概要
| 項目 | 規定の内容 | 根拠 |
|---|---|---|
| 名称 | 2024年7月1日から「Thẻ căn cước」（身分証）。それ以前のCCCDは券面に記載された有効期限まで引き続き有効[1] | Identity Law 第45条および第46条 |
| 所持者 | ベトナム国民。14歳から義務、14歳未満は申請により発行[1] | Identity Law 第19条 |
| 更新 | 14歳、25歳、40歳、60歳の時点[1] | Identity Law 第21条 |
| 身分証の裏面 | チップ、QRコード、機械読取領域（MRZ）[2] | Circular 16/2024/TT-BCA 第3条および第6条 |
| チップのICAO部分（2024年版身分証） | 氏名、個人識別番号、国籍、生年月日、性別、有効期限、出身地、顔画像[2] | Circular 16/2024/TT-BCA 第6条(3)(a) |
| チップ、暗号化領域(2024年カード) | 指紋、虹彩、民族、宗教、血液型その他の項目[2] | Circular 16/2024/TT-BCA、第6条(3)(b) |
| 発行機関 | 公安省 (MPS)[1][2] | Identity Law、第18条(2) |
自社のフローで試す
テスト用ワークフローで、ベトナムのIDカードのチップを読み取り、ライブネス検知を行い、顔照合を実行できます。無料で始める、またはベトナムでのオンボーディングについてお問い合わせください。
CCCD、căn cước、2024年の名称変更
現在も多くの人がCCCD(căn cước công dân、国民身分証)と呼んでいます。Identity Law 2023(Law 26/2023/QH15)は2024年7月1日から2014年のLaw on Citizen Identificationに代わり、この書類の名称を「thẻ căn cước」に変更しました。[1] 発行済みのカードは無効になっていません。CCCDは券面に記載された有効期限まで有効です。[1] 有効期限が2024年以降まであった旧IDカード(chứng minh nhân dân)は、2024年12月31日の終了をもって無効になりました。[1]
- 2021年1月23日チップ付きCCCDCircular 06/2021/TT-BCAにより、CCCDの裏面にチップが搭載されます。[3]
- 2024年7月1日新カードIdentity Law、Circular 16/2024、Decree 69/2024が施行されます。[1][2][4]
- 2024年12月31日旧IDの終了最後のchứng minh nhân dânカードが無効になります。[1]
- 2026年9月28日Decree 320口座紐付けルールを含むDecree 320が施行されます。[5]
- 2026年12月31日紐付け期限銀行以外の既存口座は、この日までに紐付けを完了する必要があります。[5]
2021年のCCCDと2024年の身分証はどちらも流通しています。書類の種類は1つで、世代が2つあります。
注意すべき例外が2つあります。国籍が未確定のベトナム系の人には紙の身分証明書(giấy chứng nhận căn cước)が交付され、読み取るチップはありません。[1][2] このカードは国民に発行されるため、外国人居住者は保有していません。[1] 外国人居住者については、パスポートのチップ読み取りが実務上の書類確認手段です。
チップに格納される情報と、リーダーで確認できる情報
Identity Lawは、カードに券面記載情報と暗号化された記憶領域を設けると定めています。この記憶領域には顔画像、指紋、虹彩、および同法に列挙された身元データが格納されます。[1] 2024年7月1日以降に発行されるカードの様式に関するMPSの規則であるCircular 16/2024/TT-BCAは、この記憶領域を2つに分けています。[2] 2021年のCCCDについては、旧通達は国民の基本情報を格納するチップを規定していますが、その符号化方式は定めていません。[3]
第6条(3)(a)Circular 16/2024/TT-BCA
「Thông tin lưu trữ trong chíp điện tử được mã hoá theo tiêu chuẩn ICAO gồm: Họ, chữ đệm và tên khai sinh; số định danh cá nhân; quốc tịch; ngày, tháng, năm sinh; giới tính; ngày, tháng, năm hết hạn; quê quán; thông tin sinh trắc học về ảnh khuôn mặt」
日本語訳:ICAO規格に従って符号化されたチップ内の情報は、出生時の氏名、個人識別番号、国籍、生年月日、性別、有効期限、出身地、顔画像の生体情報で構成されます。出典:vbpl.vn、Circular 16/2024/TT-BCA[2]
| 記憶領域 | 格納内容 | 標準的なNFCリーダーで取得できる情報 |
|---|---|---|
| チップ、ICAO領域 | 上記8項目(顔画像を含む)[2] | データ、顔画像、発行機関の署名 |
| チップ、暗号化領域 | 指紋、虹彩その他の項目。身分証発行当局独自のアルゴリズムで保護[2] | 利用可能な情報なし |
| QRコード | ID番号、氏名、生年月日、性別、住所、発行日[2] | カメラで読み取り可能。顔画像なし |
設計を左右する法的なポイントは2つあります。カードの提示を求める権限のある当事者は、カードに印字済みまたは組み込み済みの情報を重ねて求めることはできません。[1] また、組織は市民の同意があれば、カードに組み込まれた暗号化情報を読み取ることができます。[1] NFCのステップの前に同意を取得し、チップに格納されている事項についてアップロードを求めないでください。
パッシブ認証によるチップデータの検証方法
ICAOチップは、Basic Access Control（BAC）のもとでカードのMRZ（文書番号、生年月日、有効期限とそれぞれのチェックディジット）から導出した鍵で開くか、Password Authenticated Connection Establishment（PACE）で開きます。[9] その次に重要なチェックがパッシブ認証です。ICAO Doc 9303はこれを5つのステップで定めています。[9]
1Document Security Objectを読み取る
Document Security Object（SOD）には、各データグループのハッシュとDocument Signer Certificateが格納されています。[9]
2証明書チェーンを検証する
Document Signer Certificateから、発行国のCountry Signing Certificate Authority（CSCA）までを検証します。[9][10]
3SODの署名を検証する
検証済みのDocument Signer公開鍵を使用します。[9]
4各データグループのハッシュを計算する
データグループ1（DG1）にはMRZデータ、DG2には顔画像が格納されています。各ハッシュはSODの値と一致しなければなりません。[8][9]
すべてのハッシュと署名が正しい
チップデータを信頼する
印字面と照合し、その後ライブネス検知と顔照合を実行します。
再試行し、その後レビューする
手動レビューに回します。自動承認は絶対に行いません。
パッシブ認証。ICAO Doc 9303 Part 11 第5.1節を簡略化したもの。
ICAOはその限界を明確に述べています。パッシブ認証は「非接触ICの内容の完全な複製やチップの差し替えを防止するものではない」としています。[9] アクティブ認証は、チップが対応している場合、チップの外に出ることのない秘密鍵でランダムなチャレンジに署名します。[9] 証明書の検証失敗はシグナルであり、判定ではありません。それは「それだけでeMRTDを無効とみなす理由にはならない」とされています（eMRTDとは電子機械読取式旅券等をいいます）。[10] レビューに回してください。
| チェック | 確認する内容 | 証明しない内容 |
|---|---|---|
| パッシブ認証 | チップデータが発行者によって署名され、改ざんされていないこと[9] | チップが完全な複製ではないこと[9] |
| アクティブ認証またはチップ認証 | データが真正なチップから取得されたこと[9] | カードを保有しているのは誰か |
| チップと券面の照合 | 券面とチップの項目が一致していること[9] | カードが、チップを複製した偽造品ではないこと |
| ライブネス | 撮影が生身の人物によるものかどうか、および写真、マスク、リプレイ攻撃の兆候 | その人物がどの身元に該当するか |
| 顔照合 | ライブの顔が、カードまたはチップの顔写真とどの程度類似しているか | カードが紛失届出済みでないこと |
ライブネス、顔照合、インジェクション攻撃
真正なカードでも、他人の手にあればチップのチェックはすべて通過します。そのため、本人のステップが重要です。ベトナムの銀行規則がこの考え方を示しています。2024年7月1日以降、ベトナム国家銀行 Decision 2345/QĐ-NHNN により、銀行は一部の区分のオンライン決済について、顧客の生体情報をCCCDチップ内のデータと照合して認証できます。その際は、カードが警察によって発行されたことを検証するソリューションを用いるか、顧客の電子識別アカウントを通じて行います。[7]
ライブネスは、1回の撮影、または動きや光によるチャレンジを用いて、生身の顔が存在することを確認します。顔照合は、その顔を券面の顔写真と比較します。より望ましいのは、チップ内にある発行者署名付きのDG2顔画像との比較です。[8][9] インジェクション検知は、カメラ映像そのものが本物であることを確認します。
注意
インジェクション攻撃はカメラを迂回します。仮想カメラ、フックされたアプリ、エミュレーターが、録画または生成された顔を撮影パイプラインに直接送り込みます。仮想カメラ、フレームインジェクション、画面キャプチャの警告は、レビューまたは拒否が発動するよう設定してください（初期設定では何も対応しないことが多くあります）。また、判定はサーバー側で強制してください。
ベトナムIDカード認証の手順
ユーザーを1つのセッション内に留め、判定はバックエンドで行います。サーバーがセッションを作成し、ユーザーがスマートフォンで完了し、サーバーが結果を読み取ります。
チップを読み取り、署名とハッシュを検証
簡略化した図です。Webhookはステータスを伝えます。完全な判定結果はサーバーから取得してください。
証跡はアカウントと紐づけて保存します。保存対象は、NFCステータス、署名とハッシュの検証結果、顔照合スコア、ライブネス判定結果、警告です。ICチップのデータと券面の印字データが一致しない場合は承認しないでください。
ICチップを読み取れない場合
読み取りの失敗は不正だけが原因ではありません。端末、カードの置き方、ICチップの損傷でも起きます。判断の前に、報告された原因を確認してください。
| 状況 | 起きること | 対応 |
|---|---|---|
| スマートフォンにNFCがない、またはNFCがオフ | ICチップの読み取りを開始できない | NFCをオンにするよう案内する。できない場合は写真、ライブネス、顔照合を使い、アカウントにフラグを付ける |
| 読み取り中にカードが動いた | アクセス手順または読み取りが失敗する | ICチップの位置を示して再試行する |
| ICチップの損傷 | 読み取りの失敗が繰り返される | 書類による確認ルートを使う。再発行後に再確認する |
| 発行者証明書が入手できない | 署名のトラストアンカーがない | 否認ではなくレビューに回す |
| ICチップと券面の不一致 | データ不一致の警告 | 否認またはエスカレーション |
| iPhoneのブラウザ | SafariはウェブページにNFCを開放していない | ネイティブSDKまたはアプリを使う |
| 外国人ユーザー | ベトナムのカードを持っていない | パスポートのICチップを読み取る |
| 身分証明書の保有者 | 紙の書類で、ICチップがない[2] | 書類による確認ルートまたは手動レビュー |
チップ検証はVNeIDおよびDecree 320とどう関係するか
2026年8月13日付のDecree 320/2026/ND-CPは、電子識別・認証に関するDecree 69/2024/ND-CPを改正するもので、2026年9月28日に施行された。[5][6] 新設された第40条(9)は、列挙された12分野のデジタルプラットフォーム上の電子取引アカウントについて、電子識別アカウントとの連携と認証を義務付けている。対象分野は、教育、証券、通信、銀行から、EC出品者、ライブ配信販売者、アフィリエイト（当社の出品者検証ガイドを参照）、ベトナムのソーシャルネットワークまでに及ぶ。[5][6] これらの分野で2026年9月28日より前に作成されたアカウントの期限は2026年12月31日より前で、銀行分野は2027年6月30日より前である。[5] 同政令は他の方法を挙げておらず、条文に罰則規定もない。[5] 詳細は当社のDecree 320ガイドを参照。
政令が求めること
電子識別アカウント（VNeID）との連携
- 列挙分野のアカウントに必須。越境サービスについては、当該プラットフォームが条件を満たし、接続された後に限り対象となる[5]
- MPSのシステムと、MPSが認可する事業者を通じて実施される[4][5]
- ユーザー本人のVNeIDアカウントを使用する。外国人にも発行できる[4][5]
Decree 69/2024 第40条(9)（Decree 320/2026により追加）
チップ検証で加わるもの
チップ検証済みのカード、ライブネス検知、顔照合
- カードデータが真正であり、その場にいる本人の顔が一致することを示す
- まだVNeIDを連携していないユーザーにも使える
- それ単体では連携義務を満たさない
Identity Law 2023、ICAO Doc 9303[1][9]
Decree 69/2024は判断基準を示している。認証レベルは4段階で、最上位は生体要素、身分証などの所持要素、知識要素を組み合わせたものである。組織はこれに照らして自社の確認手段を分類する。[4] この枠組みでは、チップの読み取りが所持要素を、ライブ撮影に対する顔照合が生体要素を担う。レベル4の確認には、ユーザーが知っている要素も必要である。また、Identity Lawは、行政手続、公共サービス、取引を扱う際、電子身分情報とカードの内容が異なる場合は電子身分情報を用いると定めている。[1]
ベトナムについてご相談ください
Diditは現在VNeIDを運用していない。VNeID認証へのアクセスは、MPSのシステムとMPSが認可する事業者を通じて行われる。プラットフォームでVNeIDが必要な場合は、同じワークフローを通じた接続についてご相談ください。チップ検証済みカードによる方法は現在利用できる。
プロダクト・コンプライアンスチーム向けチェックリスト
- 改正後のDecree 69/2024第40条(9)の対象となるアカウント種別を洗い出す。[5]
- VNeID連携を計画する。既存の銀行以外のアカウントは2026年12月31日より前、既存の銀行アカウントは2027年6月30日より前に対応する。[5]
- 2021年のCCCDと2024年の身分証を同一の書類種別として受け付ける。[1]
- チップを読み取る前に、画面上で同意を求める。
- 発行国の証明書に対してパッシブ認証を実行する。[9]
- チップのデータと券面の印字データが一致しない場合は拒否する。
- ライブで撮影した顔をチップ内の顔写真と照合する。
- 仮想カメラ、フレームインジェクション、画面キャプチャの検知を有効にする。
- NFC非対応のスマートフォン向けのフォールバックを定義し、明示する。
- カードの有効期限が切れる、または更新年齢に達するユーザーを再確認する。[1]
Diditによる支援
Diditの本人確認書類の検証とNFC検証は、カード、チップ、顔の各ステップを1つのセッションで実行する。
- ベトナムのIDカードとパスポートは、DiditのNFC対応書類リストに含まれています。[12] Diditはユーザーのスマートフォンでチップを読み取り、発行国の証明書に照らしてSOD署名を検証し、各データグループのハッシュを確認し、チップ内のMRZと券面に印字されたMRZを照合します。[11]
- NFCレポートは、チップ内の顔写真(DG2)、署名とハッシュの検証結果、要確認または拒否に設定した警告を返します。[11]
- iBeta Level 1のプレゼンテーション攻撃検知を備えたパッシブ方式とアクティブ方式のライブネス検知、および顔照合。自撮り画像とチップ内顔写真など、任意の2枚の画像を比較する顔照合APIも含まれます。
- 仮想カメラ、フレームインジェクション、画面キャプチャの検知シグナル、重複アカウントを見つける顔検索、デバイスとIP(インターネットプロトコル)アドレスの分析。
- ベトナム語のフロー、SMSまたはZaloによる電話番号確認、Web、iOS、Android、React Native、Flutter向けのソフトウェア開発キット(SDK)、およびWebhook。
- 完全な本人確認(KYC)チェックは1回あたり$0.33、NFC認証は1回あたり$0.15です(料金)。データはデフォルトでEU内で処理されます。エンタープライズアカウント向けの国内での処理は、提供状況と契約によります。
Diditの国家eIDフレームワークは現在、MitID、BankID Sweden、Finnish Trust Network、Smart-ID、Mobile-IDを運用しています。VNeIDは含まれていません。VNeIDを必要とするプラットフォームは、接続についてDiditに相談できます。
Diditが提供するもの
- カードの撮影、NFCチップの読み取り、パッシブ認証
- ライブネス検知、顔照合、インジェクション検知シグナル
- すべてのチェックの証跡(APIとWebhookで提供)
貴社側に残るもの
- Decree 320が求めるVNeIDとの連携
- 同意、保存期間、個人データに関する義務
- アカウントの開設、制限、閉鎖の判断
要点
- CCCDは2024年7月1日に「thẻ căn cước」に名称が変更されました。旧CCCDカードは券面記載の有効期限まで有効です。[1]
- 2024年7月1日以降に発行されたカードでは、チップに顔画像を含む8つの本人情報項目がICAO規格で格納されています。指紋と虹彩には当局独自の暗号化方式が使われています。[2]
- パッシブ認証は、チップのデータが署名済みで改ざんされていないことを示します。[9] ライブネス検知と顔照合は、顔写真と一致する生身の人物がその場にいることを確認します。
- Decree 320は、対象分野に電子識別アカウントとの連携を義務付けています。銀行以外の既存アカウントは2026年12月31日より前に連携が必要です。チップ確認はこれに代わるものではありません。[5]
よくある質問
ベトナムのCCCDカードとは何ですか。
CCCD(căn cước công dân)は、公安省が発行する市民身分証明カードで、2021年からチップを搭載しています。[3] 2024年7月1日以降、新しいカードはthẻ căn cướcと呼ばれています。それ以前のCCCDカードは券面記載の有効期限まで有効です。[1]
スマートフォンでベトナムのIDカードのチップを読み取れますか。
はい。NFC対応スマートフォンと対応アプリがあれば読み取れます。2024年版カードのチップはICAO規格に準拠しており、[2] ICAOチップはMRZから導出した鍵(BAC)またはPACEで開きます。[9] iPhoneではネイティブアプリが必要です。SafariはWebページにNFCを提供していないためです。
CCCDのチップにはどのようなデータが保存されていますか。
2024年7月1日以降に発行された身分証明カードでは、ICAO部分に氏名、個人識別番号、国籍、生年月日、性別、有効期限、出身地、顔画像が格納されています。[2] 指紋、虹彩、その他の項目には身分証明当局独自の暗号化方式が使われているため、標準的なリーダーでは取得できません。[2]
パッシブ認証とは何ですか
チップのデータが発行国によって署名され、改ざんされていないことを確認するICAOのチェックです。証明書チェーンを検証し、Document Security Objectの署名を検証し、各データグループのハッシュを照合します。[9] チップの完全な複製を排除するものではありません。[9]
政令320の下で、NFCチップチェックはVNeIDの代わりになりますか
なりません。政令320/2026/ND-CPは、列挙された分野のアカウントについて、電子識別アカウントとの連携と認証を求めており、それ以外の方法を挙げていません。[5] チップチェックは署名されたチップデータを検証し、ライブネス検知と顔照合は提示している本人を評価します。これらのチェックは、求められるアカウント連携の代わりにはなりません。
既存アカウントをVNeIDに連携する期限はいつですか
列挙された分野で2026年9月28日より前に作成されたアカウントは、2026年12月31日より前に連携しなければなりません。同日より前に作成された銀行口座は、2027年6月30日より前が期限です。[5]
ユーザーのスマートフォンがNFCに対応していない場合はどうなりますか
チップの手順は実行できません。カード両面の写真にライブネス検知と顔照合を組み合わせる方法に切り替え、そのアカウントをチップ未確認として記録し、後日チップの読み取りを依頼します。
外国人ユーザーはCCCDを持っていますか
持っていません。このカードはベトナム国民に発行されます。[1] 外国人ユーザーはパスポートで本人確認を行い、電子識別アカウントの発行を受けることもできます。[4][5]
DiditはVNeIDに接続できますか
現時点ではできません。Diditの国家eIDフレームワークは、MitID、BankID Sweden、Finnish Trust Network、Smart-ID、Mobile-IDに対応しています。VNeID認証へのアクセスは、公安省のシステムと同省が認可する事業者を通じて行われます。[4][5] VNeIDが必要なプラットフォームは、その接続についてDiditに相談でき、それまでの間はチップ確認済みカードの方法を利用できます。
DiditでのNFC検証の費用はいくらですか
NFC検証は1回あたり$0.15です。書類、ライブネス検知、顔照合、IP分析を含む完全なKYCチェックは$0.33です。
出典
- 身分証明法（Luật Căn cước）No. 26/2023/QH15 全文、ベトナム政府政策ポータル、2023年11月27日可決、第18条から第22条、第33条、第45条および第46条。
- 身分証明カードおよび身分証明書の様式に関する通達16/2024/TT-BCA、公安省、2024年5月15日、第3条、第6条、第8条および第9条。
- 国民身分証明カードの様式に関する通達06/2021/TT-BCA、公安省、2021年1月23日、第3条および第4条。
- 電子識別および認証に関する政令69/2024/ND-CP、ベトナム政府、2024年6月25日、第3条および第20条。
- 政令69/2024/ND-CPを改正する政令320/2026/ND-CP、ベトナム政府法令文書ポータル、2026年8月13日、第3条、第10条、第19条および第20条。
- 政令320/2026/ND-CP ベトナム語全文、LuatVietnam。
- オンライン決済および銀行カードのセキュリティ対策に関する決定2345/QĐ-NHNN、ベトナム国家銀行、2023年12月18日、第5条および付属書。
- ICAO Doc 9303, Part 10: Logical Data Structure、国際民間航空機関、第8版、2021年。
- ICAO Doc 9303, Part 11: Security Mechanisms for MRTDs、国際民間航空機関、第8版、2021年、セクション4.3、5および6。
- ICAO Doc 9303, Part 12: Public Key Infrastructure for MRTDs、国際民間航空機関、第8版、2021年、セクション2。
- NFC検証レポート、Diditドキュメント。
- NFC対応書類、Diditドキュメント。
ベトナムのカードには、すでに署名付きのチップが搭載されています。NFC認証、本人確認書類の検証、eID認証をご覧ください。