オンラインサービスの事業者にとって、ユーザー登録のハードルを下げ、なおかつ本人確認の手間と時間を大幅に削減できるソリューションが入手可能となりつつある。携帯キャリアが提供する本人確認API、銀行が提供する本人確認API――。そして、それらを組み合わせることで、利便性と厳密性を併せ持つことも可能だ。

コロナ禍でこれまでにも増して業務が非対面に移行する中、さまざまなサービスで必要となる本人確認（KYC）にも大きな変化が進行中だ。犯罪収益移転防止法（犯収法）が定めたeKYCが普及し始めているだけでなく、公的身分証などで身元を確認済みの情報を、オンラインで確認できるAPIサービスが各種スタートしている。

これらのAPIは、金融機関や通信キャリアが提供を始めており、ユーザーおよび事業者にとって利便性が高いだけでなく、高い確からしさをもって本人確認ができるのが特徴だ。それぞれ異なる特徴を持つ本人確認APIについて、OpenIDファウンデーションジャパンのKYCワーキンググループ座長、本人確認APIを提供する三菱UFJ銀行、ドコモの3者に、今後の本人確認の展望を聞いた。

鍵となるのは、シングルサインオンやID連携の標準技術OpenID Connectだ。複数のソリューションを組み合わせると、最初の登録のハードルを下げ、その後にオンラインで本人確認を完結させる仕組みも構築可能となる。サービス拡大の大きなハードルである登録と本人確認の手間を大幅に減らせるシナリオが実現できる。

異なる特徴を持つ、さまざまな本人確認APIサービス

オンラインサービスの事業者にとって、ユーザー登録のハードルを下げ、なおかつ本人確認の手間と時間を大幅に削減できるソリューションが入手可能となりつつある。それは、性格が異なる複数の本人確認サービスを組み合わせ連携するやり方だ。

オンラインで完結する本人確認には、複数のサービスがある。代表的なものの1つが、ドコモなど、携帯キャリアが提供する本人確認サービスだ。携帯回線の申込み時に登録した質が高い本人確認情報と、スマートフォンによる確実で利便性が高い当人認証を行える。携帯キャリアのサービスは、確実性が高い認証手段でありながら、スマートフォンを使い手軽にサービスにログインできる点で大きな魅力がある。

一方、銀行も信頼性のおける本人確認済みの顧客情報を持つ。法改正により、銀行が提供する本人確認サービスは、法規制下にある業種（証券会社など）でのオンライン本人確認に活用できるようになった。規制業種以外にも適用でき、銀行口座という「お金」の情報にひも付いた銀行のサービスは要注目だ。

こうした複数の本人確認サービスおよびサービスログインの仕組みを組み合わせる技術として、OpenID Connectがある。これらの取組みを見ていこう。

共通の技術仕様「OpenID Connect」で複数のサービスを連携させる

三菱UFJ銀行はeKYCに対応する本人確認サポートAPIを提供

2018年11月の犯収法の改正により、本人確認をオンラインで完結する「eKYC（electronic Know Your Customer）」が可能となった。法規制により本人確認が義務付けられたサービス、たとえば証券会社に口座を開設する場合などに適用が可能だ。三菱UFJ銀行は、このeKYCに対応する本人確認サービス「本人確認サポートAPIサービス」を提供している。

eKYCでは、書面の郵送なしにオンラインで本人確認の手続きが完結する。24時間365日サービスを提供できる点もデジタルサービスならではの利便性だ。マネックス証券、SBI証券というネット証券大手2社が、三菱UFJ銀行の「本人確認サポートAPIサービス」を活用中だ。

三菱UFJ銀行の柳澤隆氏（デジタル企画部 調査役）は、「銀行が提供するAPIは、銀行にあるさまざまな情報や機能を外部に開放するのが役割です」と説明する。「これまでは家計簿アプリなどへの入出金明細の提供が中心でしたが、改正犯収法を受け、本人確認済の住所、氏名、生年月日、これらの情報をユーザー同意のもとAPIサービスとして提供しています」

20年5月7日には、NEC、みずほ銀行、三井住友銀行、ふくおかフィナンシャルグループ、横浜銀行、ポラリファイと共同で「マルチバンク本人確認プラットフォーム」を発表した。これはさまざまな事業者が、プラットフォームを通じて各銀行の本人確認済情報を取得できる仕組みだ。

柳澤氏は「我々（三菱UFJ銀行）も個別行として本人確認サポートAPIを提供していきますが、当行の口座を持っていない人もいます。事業者およびお客さまにとって、より使い勝手がいいのは、共通のプラットフォームを提供することです」と説明する。

ドコモの本人確認アシストAPI

一方で、携帯キャリアの本人確認アシストAPIは広く使えて確実という特徴がある。スマートフォン（携帯電話）の新規契約時も、携帯電話不正利用防止法に基づき本人確認を行っており、この情報を応用することで質が高い本人確認ができる。また携帯回線にひも付いた確実な認証が行える。

前述した銀行が提供する本人確認サービスと、携帯キャリアが提供する本人確認サービスの違いについて、当社の栗山（ウォレットビジネス部OMOビジネス担当課長）は、次のように説明する。

「ドコモが提供する『 本人確認アシストAPI 』の強みは、普段お客さまがご利用になっているスマートフォンの認証と結びついていることです。またスマートフォンをご利用になっている方がわかることです。もし銀行のサービスと組み合わせて使うことができれば、利便性と信頼性を一層高めることができるでしょう」

たとえば、サービスの登録時に銀行が持つ顧客情報とドコモが持つ顧客情報を突き合わせ、「正しい情報であることを確認して次のステップに進む」といった取組みも可能となる。

本人確認が必要となるサービスといっても、本人確認の厳密さの度合いはさまざまだ。それを大きく分ければ、2つのグループに分類できる。1番目のグループは、犯罪収益移転防止法（犯収法）をはじめ携帯電話不正利用防止法や古物営業法など、法律に基づき本人確認を厳格に実施することが求められる業種の企業だ。たとえば証券会社や銀行のような金融機関、クレジットカード事業者などでは、オンライン本人確認を実施しようとすれば、銀行の本人確認APIサービスなど、法律（犯収法）で定められたeKYCサービスを使うことになる。

2番目のグループは、自主規制による本人確認を行っている企業だ。たとえばシェアリングエコノミー分野の企業のほか、年齢確認のために本人確認を行うたばこ、公営競技なども含まれる。このグループでは、携帯キャリアの提供するサービスは利便性と確実性の両方を得られて使いやすい。

銀行と携帯キャリアの、それぞれのサービスの強みを組み合わせるやり方も検討されている。三菱UFJ銀行の柳澤氏は、「銀行はインターネットバンキングでログイン認証の機能を提供しています。セキュリティもリスクベース認証を取り入れるなど厳格ですが、たとえばスマホアプリを前提としたサービスでは携帯キャリアの認証を組み合わせることでさらに厳格な本人確認を実施できるのではと考えています」と両API連携の方向性について話す。

銀行が提供する本人確認サービスは「お金」や「口座」が紐づくサービスとの相性はとてもいい。一方スマホアプリを前提に複数のサービスに手軽にログインする用途では携帯キャリアのAPIが使いやすい。

サービス登録と本人確認のハードルが下がっていく未来

OpenID Connectの仕組みをベースに、携帯キャリアのAPI、銀行のAPIと、複数の技術、ソリューションが登場してきている。これらを連携させれば、ユーザーが新たにサービスに会員登録する際のハードルを大幅に下げ、本人確認の手間と時間を大幅に削減できる。

たとえば、ユーザー数が多く利用方法が手軽なソーシャルメディアのIDでまず登録し、その後に携帯キャリアや銀行のオンライン本人確認サービスを利用するやり方が可能となってきた。

CTCの富士榮氏は「入口を増やすことが重要です」と語る。「LINEやFacebookのようなユーザー数が多いソーシャルメディアのIDでユーザー層を広げる。そのうえで、携帯キャリアや銀行の本人確認と紐付けて管理できるようにします。モバイル環境からは携帯キャリアのIDでログインし、パソコンからはFacebook IDでログイン後、お金と結びつくサービスには銀行のIDで再度ログインする。そうした形で、さまざまな種類のオンラインサービスが、それぞれのチャンスをつかんでいけるのではないでしょうか」

当社の栗山は、本人確認やOpenID Connectへの基本的な考え方を次のように語る。「一般のお客さまにとって、サービスに登録するたびにIDとパスワードをサービスごとにいちいち考えないといけないのは面倒です。そのうえ個人情報も入力しなければならないので、登録のハードルは高くなります。ドコモの携帯の契約者であれば、回線認証によって簡単にログインでき、さらに本人確認アシストAPIでは本人確認（KYC）の機能もあります。使いやすいログイン時の当人認証と、登録時の本人確認の機能を両方提供できるわけです」

三菱UFJ銀行の柳澤氏は、「銀行の本人確認APIサービスはスタートしたばかりです。今出している情報は、基本3情報と呼ばれる住所、氏名、生年月日だけですが、8月から口座番号、メアド、電話番号などの情報も提供していきます。そうした銀行にあるさまざまな情報を活用することで、口座保有者の利便性を高めていきたいと思います」と話す。

確実性と利便性が高い携帯キャリアのサービス、信頼性が高く、犯収法のeKYCにも対応できる銀行のサービス、それに多くの人々が使えるソーシャルメディアのIDなど複数のサービスを組み合わせ、ハードルが低く手軽で確実なサービス登録と利用が可能になる時代がやってきたのだ。

サービス担当者の視点