韓国、SIM購入に顔認証を義務化――KYC強化の即効性と、深まる「生体データ集中リスク」をどう捌くか

今日の深掘りポイント

• 政策の狙いは「盗まれた個人情報だけでは開通できない」状態の実現で、SIMを悪用した詐欺の即効的な抑止が期待できる一方、生体情報の集中管理が新たなハイバリュー標的を生むリスクが跳ね上がります。
• ライブネス検知（PAD）の実装品質が実効性のボトルネックになります。深層生成（Deepfake）やカメラインジェクション対策の評価体制を、第三者検証とレッドチーミングで常態化する必要があります。
• 設計上の肝は「どこで照合するか」と「何を保存するか」です。オンデバイス照合・テンプレート化・目的限定・最小化・短期保存が鍵になります。中央集権的なテンプレート保管は、侵害時の不可逆被害を拡大します。
• 犯罪者の適応は必至です。身分なりすましの高度化、端末販売現場の社会工学、本人確認フローの例外運用の悪用、あるいは他国での迂回開通など、攻撃面のシフトを前提に備えるべきです。
• 日本のCISO/SOCにとっては、SMS OTP依存の見直し、韓国拠点・越境データフローの見直し、KYCベンダーのPAD実装に対する技術監査、そしてSIM起点のアカウント回復手続のハードニングが当面の実務課題になります。

はじめに

韓国政府が、新規の携帯電話契約における本人確認として顔認証スキャンを義務化する方針を発表しました。大手キャリアが提供するデジタル認証アプリ「PASS」を経路に、書類確認に加えて顔の生体認証を求めるというものです。狙いは、流出した個人情報一式だけでは携帯アカウントを開設できない設計にすることで、通信回線を足場にする詐欺の抑止にあります。The Registerによる報道が一次報として出ていますが、政府の詳細な施行条件（開始時期、保存期間、テンプレート管理の所在、例外運用の範囲など）は現時点で公的資料が確認できていないため、以降は公表済み情報に基づく分析と、必要に応じて仮説で補完します。

読者の多くにとっては、国内のSIM不正やSMSベース多要素の限界を直視するうえで示唆の多い動きです。施策は一見シンプルですが、実装の細部とガバナンス設計こそが効果と副作用を決定します。攻撃者の適応スピードを織り込んだ現実的な運用戦略が問われます。

深掘り詳細

事実の整理（現時点での一次報）

• 韓国政府は、新規のSIM/携帯契約において本人確認書類の提示に加え、顔認証スキャンを義務化する方針を発表したと報じられています。
• 生体認証は国内キャリア提供の「PASS」アプリを経由して用いられ、盗まれた個人情報のみでのアカウント登録を難しくすることが目的です。
• 既存のKYCプロセスを拡張する位置づけで、特殊詐欺（いわゆる音声フィッシングや開設回線のアンダーグラウンド流通）対策として導入されます。
• 具体的な運用要件（保存形式、保存先、保存期間、ライブネス検知の方式、障害者・高齢者・未成年への配慮や例外処理、オフライン時の代替手段、事業者の責任分界など）は、今後の当局通知・事業者実装で明確化される見込みです。
• 出典: The Register

注記: 政府の正式告示や監督ガイダンスの一次資料は本稿執筆時点で未確認です。実務に直結する要件は必ず当局の原資料で確認する必要があります。

インサイト（効果と副作用を分けて考える）

• 即効性と置換効果のバランスです。本人確認に顔認証を重畳すれば、名義貸しや流出データ起点の「書類だけ開設」を難しくできます。一方で犯罪者は「顔の調達」（協力者のリクルート、合成顔の高度化、現場の社会工学）へと戦術をシフトします。制度導入直後は効果が出ても、数カ月スパンで最適化が進む点を前提にKPIを設計すべきです。
• 決定的なボトルネックはライブネス検知（Presentation Attack Detection: PAD）です。静止画や動画の再生、3Dマスク、あるいはモバイルOSレイヤでのカメラインジェクションといったプレゼンテーション攻撃に対して、どの手法（動作チャレンジ、スペクトル解析、3D深度、リモート監督等）をどう組み合わせ、どう第三者検証するかが核心になります。ここを曖昧にしたまま普及させると、認証失敗時の例外運用が実質的な抜け道になります。
• データ設計がリスクの大きさを決めます。オンデバイス照合（テンプレートは端末セキュアエンクレーブに留め、サーバ側は結果のみ取り扱う）と、サーバ側でのテンプレート集中保管では、侵害時の被害相場が桁違いになります。生体はパスワードと異なり「再発行不能」なので、中央集権のテンプレート保管は慎重であるべきです。保存するなら「テンプレートの不可逆性」「鍵分離」「短期保存」「目的限定」「消去可能性（キャンセラブル・バイオメトリクス）」を最低限の設計原則に据えるべきです。
• アクセシビリティと冗長性の設計も鍵です。高齢者や顔に関する医療事情などで顔認証が困難な層への代替フロー（対面、代理人、他の生体、多段確認）を整えないと、現場は例外運用で回避し、かえって不正の入口になります。
• 組織側の依存関係を見直す好機です。SIMが犯罪基盤として使いにくくなると、攻撃者はSMS OTPのハイジャックに代わるルート（音声通話乗っ取り、メール回復、メッセージングアプリの端末移行など）へと重心を移します。企業側はこの機会に、SMSベースの多要素やアカウント回復の脆弱性を棚卸しするべきです。

脅威シナリオと影響

以下は仮説に基づく脅威シナリオで、MITRE ATT&CKの観点で思考のフレームを示します。具体的なテクニックは環境依存のため、実組織でのテイラリングが必要です。

• シナリオ1: Deepfake/PAD回避による本人確認突破

  • 仮説: 攻撃者は被害者の身分情報と顔画像・動画を収集し、生成AIや顔交換ツールでライブネス検知を迂回してSIMを開設します。
  • ATT&CK視点:
    • 資源開発/情報収集: 身元情報やメディアの収集（Reconnaissance / Credential & Identity Information Gathering）
    • 能力獲得: Deepfakeツールやマスク、カメラインジェクションツールの入手（Obtain Capabilities）
    • 初期アクセス: 正規手続を悪用した「Valid Accounts」（Valid Accounts）
  • 影響: 詐欺用回線の開設が継続、企業側ではSMS OTP・音声認証の安全性が相対的に低下します。

• シナリオ2: 身元確認SDK/アプリのサプライチェーン妥協

  • 仮説: PASS連携やライブネスSDKのアップデートに悪性コードが混入し、撮像データやテンプレートが外部へ送信されます。
  • ATT&CK視点:
    • 供給網の侵害（Supply Chain Compromise）
    • データ搾取: Webサービス経由の外送（Exfiltration Over Web Service）
  • 影響: 生体テンプレート流出の不可逆被害、なりすましの長期化、規制対応・訴訟コストの増大が見込まれます。

• シナリオ3: 内部不正/運用の抜け穴の悪用

  • 仮説: 現場での「例外承認」や代理手続を標的に、販売店スタッフの社会工学や賄賂で本人確認を骨抜きにします。
  • ATT&CK視点:
    • ソーシャルエンジニアリング（Phishing/Social Engineering）
    • 権限の悪用（Abuse Elevation Control Mechanism/Valid Accounts）
  • 影響: 技術的対策を運用が相殺し、制度の実効性が低下します。

• シナリオ4: テンプレートやメタデータの大規模侵害

  • 仮説: 集中管理された生体テンプレートや照合ログが侵害され、二次悪用（ブラックメール、監視、クロスサービスなりすまし）が生じます。
  • ATT&CK視点:
    • 資料探索（Discovery）
    • 資料窃取（Collection）
    • 外送（Exfiltration Over Web Service）
  • 影響: 生体は再発行不能のため、顧客一生分のリスクが残留します。補償コストとブランドダメージは長期化します。

• シナリオ5: 迂回行動と地域間の風船効果

  • 仮説: 国内での開設が難しくなると、他国やオンラインの脆弱なKYCを狙う「風船効果」が発生します。
  • ATT&CK視点:
    • インフラ獲得（Acquire Infrastructure）
    • 有効アカウントの悪用（Valid Accounts）
  • 影響: 国際間での相互運用・識別（番号移植、ローミング）を足場にした攻撃が増え、企業の番号ベース信頼はさらに揺らぎます。

総合的には、施策の実装品質が高ければ短期的な詐欺抑止に寄与しうる一方、攻撃者の適応とサプライチェーン・内部統制の穴が新たな主戦場になります。メトリクスが示唆する「実現可能性・即効性は高いが、ポジティブ評価が伸びにくい」構図は、技術的メリットとプライバシー・アクセシビリティ・運用負債のトレードオフが強いテーマであることを物語っています。制度効果を持続させるには、技術・運用・法務・監督の四位一体の継続チューニングが不可欠です。

セキュリティ担当者のアクション

• 身元確認の設計・ガバナンス

  • ベンダー監査でPAD実装を深掘りします。攻撃シナリオ別の成功率、対物・対画面・対注入の各プレゼンテーション攻撃に対する耐性、モデル再学習の頻度、サードパーティ評価の有無を確認します。
  • データ最小化を契約条件にします。オンデバイス照合を第一候補とし、テンプレートの不可逆化、鍵管理の分離、保存期間の短期化、目的限定、消去手続を明文化します。
  • アクセシビリティに配慮した代替フロー（対面、他生体、二者認証）を用意し、例外運用の監査と乱用抑止の牽制を組み込みます。

• アカウント保護の再設計

  • SMS/音声ベースOTPへの過度な依存を段階的に低減します。フィッシング耐性MFA（例: FIDO準拠）を優先し、アカウント回復フローもSIM依存から分離します。
  • 高リスク業務（送金、権限変更、MFAリセット）は、SIM・メール・電話のいずれか単独では完結しない多層確認に切り替えます。

• SOC/TIの検知とハンティング

  • 新規に登録された韓国番号の2FA用途に対し、短期間での多拠点ログイン、異常な端末変更、プロキシ／エミュレータ指標の同時出現といった複合シグナルを相関検知します。
  • 闇市場モニタリングで、ライブネス回避ツールキットや「KYC通過済みSIM」の流通兆候を早期捕捉し、ブランドなりすましの警戒を強化します。

• 事業継続とインシデント対応

  • 生体データ/テンプレートの侵害を想定した特別IR手順を整備します。被害者通知、再認証戦略の切替、該当範囲のアクセス制御リセット、規制当局報告をテンプレート化します。
  • 大手SDKやIDベンダーのサプライチェーン障害に備え、迅速な切替（セカンダリ手段）と機能縮退運用の手順を文書化・訓練します。

• コンプライアンスと越境データ

  • 韓国拠点・韓国居住者データを取り扱う場合、越境移転と共同利用に関する同意・通知・契約条項を更新し、監督当局のガイダンス改定に追随できる体制を維持します。
  • 定例のプライバシー影響評価（PIA）で、本人リスク・差別的影響・誤拒否/誤受理率を定量化し、経営会議体へ定期報告します。

参考情報

• The Register: South Korea to require facial verification to purchase SIM cards（2025-12-22）https://www.theregister.com/2025/12/22/south_korea_facial_verification/
• MITRE ATT&CK（テクニック参照用）https://attack.mitre.org/

本稿は公的な詳細要件が未公表の段階における分析であり、実務適用時は韓国当局の一次資料と通信事業者の実装ガイダンスを必ず確認のうえ、方針・コントロールをチューニングすることを強く推奨します。政策の効果は導入後のアジャイルな改善と、攻撃者の適応を先回りするレッドチーム的評価の継続にかかっているからです。