デジタルKYC

デジタルKYCとは？

デジタルKYCとは、完全な書類手続きや対面手続きを必要とせず、顧客の本人確認、実在性の確認、金融犯罪リスクの評価、本人確認記録の管理を行う電子的なプロセスです。

KYCは「Know Your Customer（顧客を把握する）」または「Know Your Client」を意味します。

暗号資産分野では、アカウントの作成、取引限度額の引き上げ、特定の金融サービスの利用、法定通貨による暗号資産の購入、規制対象のサービス提供者を通じた資産の移転などの際に、デジタルKYCが一般的に利用されます。

手続きでは、法的氏名、生年月日、居住地住所、識別番号、公的機関発行の書類、顔写真、電話番号、メールアドレス、資金源に関する情報などの提出を求められる場合があります。

デジタルKYCシステムでは、書類のセキュリティ確認、公的データベースとの照合、生体情報の比較、生体検知、制裁対象者のスクリーニング、不正分析、リスクスコアリングツールなどを用いて情報を検証する場合があります。

デジタルKYCはブロックチェーンのコンセンサスメカニズムではなく、暗号資産取引が技術的に有効かどうかを検証するものでもありません。

その代わり、コンプライアンスとリスク管理を目的に、実在する個人または法人とアカウント、金融上の関係、ブロックチェーン上の活動を結び付けます。

FATFのデジタルアイデンティティに関するガイダンスでは、信頼性の高いデジタルIDシステムが、セキュリティ、効率性、金融サービスへのアクセスを改善しながら、顧客管理を支援できると説明されています。

暗号資産においてデジタルKYCが重要な理由

暗号資産は国境を越えて迅速に移転でき、公開取引記録に法的氏名を記載せずにブロックチェーンアドレス間で送金できます。

この特徴はオープンなデジタル決済を支えますが、規制対象の事業者が誰がアカウントを利用しているか特定するのを難しくする場合もあります。

デジタルKYCにより、暗号資産サービスは顧客の本人確認情報を、入金、出金、購入、送金などのアカウント上の活動と結び付けられます。

この連携は、なりすまし、アカウントの乗っ取り、制裁対象との関係、マネーロンダリング、テロ資金供与、詐欺、盗難資金、他人の身元情報の不正利用などの検知に役立つ可能性があります。

規制対象の暗号資産事業者は、マネーロンダリング対策およびテロ資金供与対策の基準を導入する国内法に基づき、顧客管理を実施するよう求められる場合があります。

一般にFATFと呼ばれる金融活動作業部会は、仮想資産および仮想資産サービスプロバイダーに関する国際的なAML・CFT勧告を策定しています。

FATFは、2026年7月の仮想資産に関する実施状況の更新報告で、各国・地域が暗号資産分野のライセンス、登録、リスク評価、監督、トラベルルールの枠組みを引き続き整備していると報告しました。

FATF勧告は、各国・地域が独自の法制度を通じて導入する必要があるため、すべてのユーザーに直接適用される法律となるわけではありません。

そのため、デジタルKYCの要件は、顧客の所在地、サービスのライセンス状況、利用する商品、取引額やリスクに応じて異なります。

デジタルKYCと従来のKYCの違い

従来のKYCでは、顧客が実店舗を訪れ、原本書類を提示し、紙のフォームに記入して、従業員と直接やり取りする必要がある場合があります。

デジタルKYCでは、ウェブサイト、モバイルアプリ、電子データベース、カメラ、自動化システム、遠隔コミュニケーションを通じて、同様の本人確認やリスク確認を行います。

デジタル手続きでは、異なる場所にいる顧客を、通常の営業時間外でも確認できます。

また、手作業によるデータ入力を減らし、専門ツールを使わない目視確認よりも迅速に改ざん書類を見つけられる場合があります。

一方、遠隔での本人確認には、ディープフェイク、盗難書類、合成ID、自動化された攻撃、安全でないデータ保管、不正確な生体情報照合などのリスクがあります。

そのため、強固なデジタルKYCシステムには、顧客に本人確認書類の写真をアップロードしてもらうだけでは不十分です。

証拠を評価し、申請者と証拠の関連性を確認し、不正の兆候を検知したうえで、リスクレベルに応じた管理策を適用する必要があります。

デジタルKYC、AML、CDD

デジタルKYCは、マネーロンダリング対策およびテロ資金供与対策の広範なプログラムの一部です。

AMLとは、犯罪収益の移転を防止または検知するために用いられる法律、管理策、モニタリングシステム、調査、報告手続きを指します。

一般にCDDと略される顧客管理では、顧客の本人確認、取引関係の目的の把握、リスク評価、継続的な取引状況のモニタリングを行います。

KYCは、CDDのうち本人確認に関する部分を指す言葉として非公式に使われることが多いものの、事業者によって使い方が異なる場合があります。

米国金融犯罪取締ネットワーク（FinCEN）のCDD枠組みでは、顧客の本人確認、実質的支配者の特定、顧客リスクプロファイルの作成、継続的なモニタリングに関する主要な義務が説明されています。

本人確認が完了しても、顧客管理のプロセスが終了するわけではありません。

法律で求められる場合、サービス提供者は顧客情報の更新、不審な活動の確認、高リスクの送金の調査、疑わしい取引の報告を行う必要があります。

デジタルKYCと顧客確認プログラム（CIP）の違い

一般にCIPと呼ばれる顧客確認プログラムは、顧客がアカウントを開設する際に、本人確認情報を収集・検証するための正式な手続きです。

デジタルKYCは、そうした手続きの一部またはすべてを実施するために利用できる、テクノロジーを活用したプロセスです。

CIPでは、収集すべき情報、受け付ける書類、記録の保管方法、本人確認ができない場合の対応などを定める場合があります。

デジタルKYCソフトウェアは情報を取得して確認を実施できますが、コンプライアンスプログラムに関する責任は規制対象の事業者に残ります。

本人確認をテクノロジー提供者に委託しても、法的責任がすべて自動的にその提供者へ移るわけではありません。

デジタルKYCの手続きの流れ

デジタルKYCは通常、顧客がアカウントを作成するか、規制対象の商品を利用しようとしたときに始まります。

サービスは、アカウントとリスクレベルに応じた本人確認情報の提出を求めます。

その後、顧客は本人確認書類をアップロードする、スマートフォンのカメラでスキャンする、または承認済みのデジタルID認証情報を使用する場合があります。

システムは書類を確認し、そこに記載されたデータと顧客が入力した情報を照合します。

システムが顔と書類上の写真を比較できるよう、顧客にライブ写真や動画の撮影を求める場合があります。

サービスは、顧客を制裁対象者、重要な公的地位にある者（PEP）、法執行機関、不正行為、その他リスク関連のデータと照合する場合もあります。

自動システムがリスクスコアを割り当てる一方、自動承認できないケースは訓練を受けたスタッフが確認する場合があります。

その後、サービスはアカウントを承認する、追加証拠を求める、利用できる機能を制限する、または申請を却下します。

KYCは常に一度限りの手続きではないため、アカウント作成後も顧客の活動がモニタリングされる場合があります。

本人確認情報の特定

本人確認情報の特定とは、誰が実在する個人または組織としてアカウントを作成しようとしているのかを判断するプロセスです。

システムは、似た氏名や個人情報を持つ他者と申請者を区別するために必要な属性を収集します。

属性には、法的氏名、生年月日、住所、公的な識別番号、国籍、電話番号、メールアドレスなどが含まれる場合があります。

情報は、明確な目的なく収集するのではなく、リスクに応じた範囲にとどめる必要があります。

現行のNISTの本人確認ガイドラインでは、本人確認情報の特定を、対象となる集団の中で本人を識別するために必要な最小限の証拠と属性を収集することと説明しています。

不要な個人データを収集すると、プライバシーリスクが高まり、後にセキュリティ侵害が発生した際の被害が大きくなる可能性があります。

本人確認書類の検証

検証では、提出された本人確認書類が真正で、期限内であり、適切な形式で、正当な機関によって発行されたものと見られるかを確認します。

デジタルKYCシステムは、書類番号、有効期限、機械読み取り領域、バーコード、セキュリティパターン、フォント、画像レイヤー、デジタル改ざんの兆候などを検査する場合があります。

法律上アクセスが認められている場合、システムは抽出した情報を公的または信頼できるデータベースと照合することがあります。

書類が本物に見えても、他人のものである場合や、身元情報の盗用によって取得された場合は十分ではありません。

そのため、書類の検証は、申請者がその書類に結び付いた本人であることを示す証拠と組み合わせる必要があります。

本人確認

本人確認では、申請者と検証済みの本人確認書類とのつながりを確認します。

申請者は、写真撮影、短い動画の録画、ライブ面談、知識ベースの質問への回答、承認済みデジタルIDサービスを通じた認証などを求められる場合があります。

顔認証システムは、ライブ画像の顔が本人確認書類の写真に似ているかを測定する場合があります。

結果が不確かな場合や特殊な書類が関係する場合、人間の審査担当者が確認することがあります。

本人確認の品質は、画像の品質、システムの精度、不正対策、従業員の訓練、本人確認書類の信頼性によって左右されます。

いかなる本人確認方法も、あらゆる状況で完璧だとみなすべきではありません。

生体認証

生体認証では、身体的または行動的な特徴を使って、申請者と登録済みの本人情報や信頼できる参照情報を比較します。

多くの本人確認書類には顔写真があり、ほとんどのスマートフォンにカメラが搭載されているため、デジタルKYCでは顔の照合が一般的です。

他のシステムでは、指紋、声の特徴、目のパターン、端末が対応する生体認証などを利用する場合があります。

顔や指紋はパスワードのように簡単に変更できないため、生体情報は機微な情報です。

デジタルKYC提供者は、生体情報テンプレートを保護し、アクセスを制限し、保存期間を定め、適用されるプライバシー法に従う必要があります。

生体情報の照合では誤一致や誤拒否が生じる場合があるため、自動判定には追加審査が必要となることがあります。

サービスは、属性の異なる集団間で性能に差が生じないかを検証し、生体認証を完了できないユーザーには合理的な代替手段を提供する必要があります。

生体検知

生体検知は、生体情報が印刷写真、録画動画、マスク、加工画像、自動化された提示ではなく、実在する人物から取得されたかを判断するために使用されます。

アクティブ方式の生体検知では、申請者に顔を動かす、まばたきをする、話す、指示に従うなどの操作を求める場合があります。

パッシブ方式の生体検知では、目に見える動作指示を求めず、画像、奥行き、動き、照明、端末、撮影情報などを分析します。

人工知能によって偽の画像や動画がより本物らしく見えるようになっているため、生体検知の管理策は新たな攻撃手法に合わせて適応し続ける必要があります。

生体検知に成功したことは、実在する人物が提示されていた可能性を示しますが、その人の法的な本人確認を単独で証明するものではありません。

書類とデータの抽出

デジタルKYCシステムでは、本人確認書類からテキストを抽出するため、光学文字認識（OCR）がよく使われます。

抽出されるデータには、顧客の氏名、生年月日、書類番号、国籍、有効期限などが含まれる場合があります。

システムはこの情報を顧客の申請内容やその他の利用可能な記録と照合します。

自動抽出は入力ミスを減らせますが、誤認識により不一致や誤拒否が生じる場合があります。

サービスがその選択肢を提供している場合、顧客は送信前に抽出された情報を確認してください。

書類画像は鮮明で全体が写っており、光の反射がなく、四隅やセキュリティ機能が隠れないように撮影する必要があります。

住所確認

一部のKYC手続きでは、本人確認書類に加えて居住地の証明を求められます。

受け付けられる証明書類には、政府機関の記録、銀行取引明細書、税務書類、公共料金の請求書、賃貸借書類、またはサービスの規則で認められたその他の書類が含まれる場合があります。

書類の発行後に許容される期間や形式は、法域や提供者によって異なります。

ウォレットアドレスは通常、個人の居住地を特定するものではないため、居住地住所とは異なります。

サービスは、法的な利用資格、制裁対象との関係、税務上の状況、地域ごとの商品制限を判断するため、所在地に関する情報を求める場合があります。

制裁対象者のスクリーニング

制裁対象者のスクリーニングでは、顧客情報を、制限対象の個人、組織、政府、船舶、アドレス、その他指定対象のリストと照合します。

氏名が同じ、または似ている人は複数存在するため、候補として一致したからといって、顧客がリスト掲載対象者だとは限りません。

一致を確定する前に、サービスは生年月日、国籍、住所、識別番号、別名、その他の詳細を比較する場合があります。

制裁対象の活動に関連付けられたブロックチェーンアドレスも、取引スクリーニングシステムに含まれる場合があります。

制裁に関する義務は法域によって異なり、アカウントの作成、資産の移転、サービスの利用、資金の引き出しを制限する場合があります。

重要な公的地位にある者（PEP）のスクリーニング

一般にPEPと呼ばれる重要な公的地位にある者とは、公的な役職によって贈収賄、汚職、公的資金の不正利用のリスクが高まる可能性のある人物です。

PEPに該当することは、その人が犯罪を犯したことを意味しません。

通常は、サービスが取引関係をより慎重に評価し、強化したモニタリングや追加情報を必要とする場合があることを意味します。

関連するPEP規則では、家族や親しい関係者も対象となる場合があります。

すべての対象者を網羅する単一の完全な世界共通リストは存在しないため、デジタルKYCシステムは複数のデータソースを用いてユーザーをスクリーニングする場合があります。

リスクスコアリング

リスクスコアリングは、顧客に関連する金融犯罪、不正、コンプライアンス、本人確認上のリスクレベルを推定します。

要素には、顧客の所在地、職業、事業活動、利用商品、想定取引高、支払方法、資金源、端末情報、高リスクとされる法域との関係などが含まれる場合があります。

リスクスコアは、説明のない自動判定としてではなく、人による判断や文書化された手続きを支援するために利用すべきです。

誤りや偏りのあるデータは、不正確なスコアにつながる可能性があります。

スコアが定められた基準を超えた場合、顧客は追加情報を求められることがあります。

強化された顧客管理（EDD）

一般にEDDと略される強化された顧客管理では、顧客、取引、商品、所在地のリスクが高い場合に、追加の審査を行います。

サービスは、雇用、事業収入、投資収益、資産売却、相続、その他の資金源を示す証拠を求める場合があります。

また、顧客の資産形成の経緯、事業上の関係、実質的支配者、想定される活動、サービス利用の理由を調査する場合もあります。

EDDはリスクに応じて適用すべきであり、特定の集団に属するすべての顧客が違法行為に関与していると決めつけるために使うべきではありません。

求められる情報は、取引関係の規模や性質によって大きく異なります。

資金源と資産形成の経緯

資金源とは、特定の取引で使用する金銭または暗号資産がどこから得られたかを説明するものです。

資産形成の経緯とは、顧客が取引関係を支える幅広い財産をどのように築いたかを説明するものです。

資金源の確認では、給与記録、取引履歴、売買契約、マイニング記録、投資明細、税務書類、ブロックチェーン上の証拠などが求められる場合があります。

資産形成の経緯の確認では、事業の所有、長期雇用、不動産、投資、相続、その他の蓄積資産を調べる場合があります。

ブロックチェーンの取引履歴から暗号資産の移動は確認できますが、顧客が当初どのように獲得したかを完全には説明できない場合があります。

そのため、サービスはオンチェーン記録とオフチェーンの裏付け書類の両方を求めることがあります。

事業者KYCとKYB

企業向けのデジタルKYCは、一般にKYB（Know Your Business）と呼ばれます。

事業者の確認では、登記書類、事業所住所、納税者番号、所有権記録、取締役情報、事業活動の詳細などを収集する場合があります。

サービスは、法人を最終的に所有または支配する自然人を特定する必要がある場合が多くあります。

こうした個人は一般に実質的支配者と呼ばれます。

複雑な企業構造、信託、名義人を介した仕組み、複数の法域にまたがる所有関係については、追加調査が必要となる場合があります。

企業の存在を確認するだけでは、誰がその企業を支配しているのか、なぜ暗号資産を利用しているのかをサービスが把握できない場合には不十分です。

継続的なKYCモニタリング

デジタルKYCは、アカウント開設後も継続する場合があります。

本人確認書類の期限が切れた場合や顧客情報が変更された場合、サービスは書類の更新を求めることがあります。

活動が想定されるリスクプロファイルと一致しなくなった場合にも、アカウントを確認することがあります。

当初は少額の購入を時々行うと申告していた顧客が、大規模な事業関連の送金を処理し始めた場合、追加質問を受けることがあります。

制裁対象、PEP、不利なリスク情報は、オンボーディング後に変化する場合もあります。

継続的なモニタリングは、以前に収集した情報が今も正確で適切かどうかをサービスが判断するのに役立ちます。

取引モニタリング

取引モニタリングでは、詐欺、マネーロンダリング、制裁回避、アカウント乗っ取り、その他の不正利用を示す可能性のあるパターンがないか、アカウントや支払いの活動を調べます。

暗号資産では、モニタリングにアカウント記録とブロックチェーン分析情報を組み合わせる場合があります。

注意すべき兆候には、複数のウォレットを経由した資金の急速な移動、既知の盗難資金との関係、プライバシーツールの不自然な使用、顧客プロファイルに一致しない活動、報告基準を回避しようとする動きなどがあります。

正当なユーザーも複雑なブロックチェーン上の活動を行う場合があるため、注意すべき兆候があっても違法行為の証明にはなりません。

自動アラートは通常、結論を出す前に調査と状況の確認が必要です。

デジタルKYCとブロックチェーン分析

ブロックチェーン分析では、公開台帳のデータを調べ、取引経路、アドレス群、サービス、潜在的なリスクとの関係を特定します。

暗号資産提供者は、入金された資産が最近、盗難、詐欺、ランサムウェア、制裁対象、ダークネット上の活動、その他の高リスクな資金源と関係していないか確認する場合があります。

ブロックチェーン上のラベルは調査に基づく推定であり、不完全または不正確な場合があります。

1つのウォレットに多くの無関係なユーザーの資金が入る場合がある一方、1人が複数のウォレットアドレスを管理することもあります。

不審なアドレスを経由した暗号資産を受け取っても、現在の保有者が元の活動に関与したことが自動的に証明されるわけではありません。

サービスはオンチェーンリスクを評価する際、取引経路上の距離、タイミング、所有権の証拠、顧客の説明、その他の状況を考慮すべきです。

デジタルKYCとトラベルルール

トラベルルールは、規制対象の金融機関または仮想資産サービスプロバイダーが処理する対象送金について、送金人と受取人に関する所定の情報を送金に付随させるか、確認できる状態にすることを求めます。

このルールは、決済の追跡可能性を高め、金融犯罪の調査を支援することを目的としています。

必要な情報、基準額、情報の伝達方法、確認義務は法域によって異なります。

欧州連合の暗号資産移転情報規則は、暗号資産サービスプロバイダーが送金に関与する場合の送金人および受取人情報に関する規則を定めています。

トラベルルールは、個人を特定する情報を公開ブロックチェーンに直接記録することを意味しません。

規制対象のサービス提供者は通常、別個の安全な通信システムを通じて情報を交換します。

そのため、ブロックチェーン上の取引と、それに関連するコンプライアンスメッセージは、異なる技術的経路を通じて送られる場合があります。

デジタルKYCと自己管理型ウォレット

自己管理型ウォレットは、カストディアンではなくユーザー自身が直接管理するウォレットです。

ブロックチェーンプロトコルは通常、政府発行書類ではなく暗号鍵を認識するため、自己管理型ウォレットの作成にKYC提供者の許可は必要ありません。

ただし、規制対象のサービスは、顧客が自己管理型ウォレットとの間で暗号資産を送受信する際に情報を求める場合があります。

サービスは、送金先アドレスの所有または管理を顧客に確認するよう求めることがあります。

確認方法には、メッセージへの署名、少額のテスト送金、アカウント画面でのアドレス確認、裏付け情報の提出などがあります。

署名済みメッセージはウォレット鍵の管理を証明できますが、その鍵にアクセスできるすべての人物を自動的に特定するものではありません。

自己管理型ウォレットに対する規制上の取り扱いは、法域によって引き続き異なります。

KYCですべての暗号資産取引が安全になるわけではない

本人確認済みの顧客であっても、誤った投資判断をしたり、詐欺師に暗号資産を送金したり、悪意のあるスマートコントラクトを承認したり、秘密鍵を紛失したりする可能性があります。

KYCは本人確認を行い、コンプライアンス管理を支援しますが、トークンの正当性や取引の利益を保証するものではありません。

犯罪者が盗難または合成された身元情報を使って、脆弱な本人確認手続きを通過する可能性もあります。

そのため、デジタルKYCはサイバーセキュリティ、取引モニタリング、ウォレットのセキュリティ、不正防止教育、責任あるリスク管理と組み合わせる必要があります。

KYCの段階とアカウント上限

一部の暗号資産サービスでは、顧客が求める商品や取引限度額に応じて複数のKYCレベルを設けています。

基本レベルでは限られた本人確認情報のみを求め、入金または出金の限度額を低く設定する場合があります。

上位レベルでは、政府発行の本人確認書類、顔認証、住所証明、資金源に関する情報、手動審査などが必要となる場合があります。

段階制のシステムではリスクに応じて管理策を強化できますが、具体的な要件は法律と提供者の方針によって異なります。

KYCの上位レベルを完了しても、その後の活動によって新たな懸念が生じた場合、出金審査がなくなるわけではありません。

再利用可能なデジタルID

従来のKYCでは、顧客は同じ本人確認書類を複数のサービスに個別に提出する必要があることがよくあります。

再利用可能なデジタルIDシステムは、承認された発行者が一度本人確認を行い、他の認可された検証者にも提示できる認証情報を提供することを目指しています。

検証者は、最初の手続きをすべて手作業で繰り返すことなく、認証情報の発行者、完全性、有効性、状態を確認できます。

W3C Verifiable Credentials Data Model 2.0は、発行者、保有者、検証者の間で交換される、暗号技術で保護された証明情報の標準構造を定めています。

再利用可能な認証情報では、ユーザーが本人確認を完了していること、必要な年齢を超えていること、利用可能な国に居住していることなどを証明できる場合があります。

通常のKYC書類の代わりに特定の認証情報を利用できるかどうかは、法的な受け入れ状況、発行者への信頼、失効手続き、相互運用性、プライバシー規則によって決まります。

選択的開示

選択的開示では、特定の目的に必要な本人確認属性だけをユーザーが開示できます。

顧客は、生年月日全体を明かさずに最低年齢を超えていることを証明できる場合があります。

また、利用可能な法域に居住していることを、すべてのアプリケーションに自宅住所全体を開示せずに証明できる場合もあります。

この方法により、不要な個人データの漏えいを減らせる可能性があります。

それでも検証者は、認証情報の発行者を信頼し、認証情報が期限切れ、失効、または不適切に複製されていないことを確認する必要があります。

一部のサービスは特定の情報を収集・保存する義務があるため、選択的開示だけですべての法的なKYC要件を満たせるとは限りません。

ゼロ知識KYC

ゼロ知識KYCは、基礎となる個人情報をすべて開示せずに、確認済みの本人情報が特定の条件を満たすことを暗号学的証明によって示します。

証明によって、ユーザーが制限対象国にいないことや、承認済みの提供者によるスクリーニングを通過したことを示せる場合があります。

基礎となる本人確認書類は、すべてのアプリケーションに送信せず、認証情報の発行者が保持する場合があります。

このモデルは、プライバシーを高め、書類の重複保管を減らせる可能性があります。

一方で、発行者、証明システム、失効手続き、コンプライアンス規則、ソフトウェアの実装に関する信頼上の前提が生じます。

誤った認証情報でも、その誤情報に関する数学的に有効な証明を生成できるため、ゼロ知識技術によって誤った元データが正しくなるわけではありません。

プライバシーを保護するKYC手法が規制上認められるかどうかは、法域や利用目的によって異なります。

デジタルKYCと分散型金融

多くの分散型金融プロトコルでは、従来型のアカウントを作成せずに、自己管理型ウォレットを通じて利用できます。

基盤となるスマートコントラクトは、各ウォレットの背後にいる法的な本人を把握していない場合があります。

一方、他のDeFiアプリケーションでは、承認済みウォレットのリスト、本人確認情報、コンプライアンス証明、許可制の流動性プールなどを通じてアクセスを制限します。

基盤となるスマートコントラクトが他のインターフェースから公開利用できる場合でも、フロントエンドのウェブサイトがKYCを適用することがあります。

ユーザーは、ブロックチェーンプロトコル、ウェブサイト運営者、ウォレット提供者、トークン発行者、規制対象の金融サービスを区別する必要があります。それぞれ異なる規則が適用される場合があるためです。

「分散型」という言葉は、法的主体、管理者、コンプライアンス義務が存在しないことを自動的に意味するものではありません。

デジタルKYCのプライバシーリスク

デジタルKYCでは、機微な個人情報を含むデータベースが作られます。

データ侵害が発生すると、本人確認書類、顔写真、住所、電話番号、アカウント情報、取引上の関係が流出する可能性があります。

パスワードとは異なり、多くの本人確認情報は流出後に簡単に変更できません。

KYC提供者は、明確な法的目的またはリスク管理上の目的に必要な情報だけを収集すべきです。

また、暗号化、アクセス制御、ログ記録、従業員のアクセス制限、セキュリティテスト、インシデント対応、適切な削除手順を実施する必要があります。

ユーザーは、どの会社が情報を収集するのか、どの処理業者に情報が渡るのか、どこに保管されるのか、どのくらいの期間保存されるのかを確認してください。

KYCを完了すると、これまで仮名性を保っていたブロックチェーンアドレスが、確認済みの実世界の本人情報と結び付く場合があります。

データの保存期間

規制対象の事業者は、本人確認記録や取引記録を一定期間保存するよう法律で義務付けられる場合があります。

アカウントを削除しても、事業者がすべての記録を直ちに消去しなければならないとは限りません。

保存期間は、AML法、税務規則、調査、法的紛争、地域のプライバシー要件によって異なる場合があります。

サービスは、プライバシー通知または顧客契約で保存方針を説明すべきです。

法的、契約上、またはリスクに基づく理由がない限り、記録を無期限に保存すべきではありません。

人工知能とデジタルKYC

人工知能は、書類の検査、顔の照合、改ざんの検知、異常な行動の特定、手動審査の優先順位付けなどに役立つ場合があります。

AIは処理速度を高める可能性がありますが、自動判定が不正確だったり、説明が難しかったりすることもあります。

学習データが、あらゆる書類形式、端末、肌の色、年齢層、障害、利用環境を等しく反映していない場合があります。

法律や公正性の要件に定めがある場合、高リスク判定による却下には適切な審査手続きを設けるべきです。

AIで生成された書類、合成された顔、ディープフェイク動画によって、本人確認詐欺もより巧妙になっています。

そのため、デジタルKYCシステムは、過去の条件下で良好に機能した古いモデルに頼るのではなく、現在の攻撃手法に対するテストを続ける必要があります。

デジタルKYCが失敗する一般的な理由

本人確認書類の期限切れ、破損、非対応、不完全、判読困難などが原因で、KYC申請が失敗する場合があります。

入力した氏名が書類と一致しない場合や、法的氏名の代わりに略称を使用した場合にも失敗することがあります。

光の反射、影、低解像度、書類の端が隠れていること、インターネット接続の品質が低いこと、カメラが遮られていることなどにより、本人確認を完了できない場合があります。

画像のぼやけ、顔の隠れ、照明の悪さ、書類上の写真が古いことなどが原因で、顔認証に失敗する場合があります。

所在地や住所の不一致について、追加の証拠を求められることがあります。

顧客の法域またはリスク区分ではサービスを提供できないため、申請が却下される場合もあります。

デジタルKYCを安全に完了する方法

不審なメッセージで送られてきたリンクではなく、確認済みのウェブサイトまたは公式アプリを利用してください。

フィッシングサイトは正規のKYCページを模倣する場合があるため、ドメインを慎重に確認してください。

公共のコンピューターではなく、個人所有の最新の端末を使用してください。

本人確認書類をソーシャルメディア、暗号化されていないメール、非公式のサポートチャットを通じてアップロードしないでください。

どの会社が情報を収集するのかを確認し、送信前にプライバシー通知を読んでください。

本人確認書類の記載内容と一致する正確な情報を入力してください。

暗号資産ウォレットのシードフレーズや秘密鍵を求められた場合は拒否してください。法的な本人確認にそれらの秘密情報は必要ありません。

正当なKYC審査で公開ウォレットアドレスや取引記録を求められることはありますが、資産を使用するための秘密の認証情報は必要ありません。

デジタルKYC詐欺

偽のKYCメッセージでは、リンクを開いて書類をアップロードしなければアカウントを直ちに閉鎖すると主張する場合があります。

フィッシングページは、本人確認情報、アカウントのパスワード、認証コード、ウォレット認証情報、カード情報などを盗み取る可能性があります。

別の詐欺では、本人確認用の入金だとして暗号資産の送金を求められる場合があります。

正当な本人確認で、リカバリーフレーズの開示や、サポート担当者を装う人物が管理する個人ウォレットへの送金を求められることはありません。

盗まれたKYC書類は、アカウント開設、被害者へのなりすまし、その後のソーシャルエンジニアリング攻撃に利用される場合があります。

本人確認情報が盗まれたと思われる場合は、証拠を保管し、影響を受けたアカウントの認証情報を変更し、関係するサービス提供者に連絡して、地域の本人情報盗難の報告手続きに従ってください。

デジタルKYCのメリット

デジタルKYCにより、顧客は実店舗まで移動することなく、規制対象の暗号資産サービスを利用できる場合があります。

書類の自動確認によって処理時間を短縮し、一部の改ざんを迅速に検知できます。

リスクベースの本人確認システムは、事業者による不正防止、法的義務の履行、不審な活動の調査に役立つ可能性があります。

再利用可能な認証情報や選択的開示によって、書類全体を何度も提出する必要性を減らせる場合があります。

安全な代替手段を提供することで、従来の実店舗に容易にアクセスできない顧客の金融包摂をデジタルIDが支援することもあります。

デジタルKYCの限界

書類、端末、住所、生体的特徴が適切にサポートされないために、正当なユーザーがデジタルKYCを利用できない場合があります。

自動システムでは誤一致、誤拒否、説明のないリスクスコアが生じる可能性があります。

大規模な本人確認データベースは、犯罪者にとって魅力的な標的となります。

KYCを完了しても、将来の取引が合法であることは証明されません。

脆弱なシステムでは、盗難書類や合成IDが審査を通過する場合があります。

KYCによって、公開ウォレットの活動と確認済みの顧客情報が結び付けられ、ブロックチェーン上のプライバシーが低下することもあります。

要件は世界各地で異なるため、あるサービスで完了した本人確認が別のサービスや法域で受け入れられるとは限りません。

よくある質問

デジタルKYCとは何ですか？

デジタルKYCとは、顧客の本人確認、身元の検証、リスク評価、顧客管理記録の維持を行う電子的なプロセスです。

KYCは何の略ですか？

KYCはKnow Your CustomerまたはKnow Your Clientの略です。

暗号資産サービスがKYCを求めるのはなぜですか？

規制対象の暗号資産サービスは、AML、制裁、ライセンス、不正防止、顧客管理に関する義務を果たすためにKYCを求める場合があります。

KYCはブロックチェーンに組み込まれていますか？

いいえ。一般に公開ブロックチェーンが検証するのは暗号学的な取引であり、政府発行の本人確認書類ではありません。

デジタルKYCではどのような情報が収集されますか？

法的氏名、生年月日、住所、識別番号、本人確認書類、顔写真、資金や想定される活動に関する情報などが収集される場合があります。

KYCで自撮り写真が必要なのはなぜですか？

自撮り写真や動画は、申請者と本人確認書類上の写真を比較し、なりすましを検知するために使用される場合があります。

生体検知とは何ですか？

生体検知では、生体情報が写真、録画、マスク、加工された提示ではなく、実在する人物から取得されているかを確認します。

デジタルKYCはAMLと同じですか？

いいえ。デジタルKYCは、モニタリング、調査、管理策、記録の保存、報告なども含む広範なAMLの枠組みの一部です。

顧客管理とは何ですか？

顧客管理では、顧客の本人確認、取引関係の把握、リスク評価、実質的支配者の特定、活動のモニタリングを行います。

強化された顧客管理とは何ですか？

顧客、取引、商品、法域に高いリスクがある場合、強化された顧客管理では追加の確認を行います。

資金源の証明とは何ですか？

資金源の証明は、特定の取引で使用される金銭や暗号資産がどこから得られたかを説明するものです。

資産形成の経緯の証明とは何ですか？

資産形成の経緯の証明は、顧客が金融上の関係を支える幅広い資産をどのように蓄積したかを説明するものです。

KYBとは何ですか？

KYBはKnow Your Businessの略で、法人、その活動、最終的に所有または支配する人物を確認することを指します。

実質的支配者とは何ですか？

実質的支配者とは、適用される規則に基づき、企業または法的な取り決めを最終的に所有、支配、またはそこから利益を得る自然人です。

トラベルルールとは何ですか？

トラベルルールは、規制対象の提供者が取り扱う対象送金について、所定の送金人および受取人情報を送金に付随させるか、確認可能にすることを求めます。

トラベルルールの情報は公開ブロックチェーンに保存されますか？

個人を特定するトラベルルール情報は通常、公開ブロックチェーンの取引に直接記録せず、別個のコンプライアンスシステムを通じて交換されます。

KYCなしで自己管理型ウォレットを利用できますか？

通常、自己管理型ウォレットはKYCなしで作成できますが、規制対象のサービスはそのウォレットとの資産移転時に情報を求める場合があります。

KYCによってウォレットの活動が分かりますか？

KYCにより、確認済みの本人情報が、サービスの把握するウォレットアドレスやブロックチェーン取引と結び付く場合があります。

KYCを完了すれば暗号資産は安全になりますか？

いいえ。KYCによって市場のボラティリティ、詐欺、スマートコントラクトの不具合、ウォレットの盗難、投資リスクがなくなるわけではありません。

KYCは自動で完了できますか？

多くの申請は自動処理されますが、不確実なケースや高リスクのケースでは手動審査が必要となる場合があります。

KYCが却下されたのはなぜですか？

書類の期限切れ、情報の不一致、画像品質の低さ、非対応の本人確認書類、生体認証の失敗、地域制限、未解決のリスク懸念などが理由として考えられます。

期限切れの書類でKYCを完了できますか？

ほとんどのサービスは、規則で別の承認済み確認方法が認められていない限り、有効な本人確認書類を求めます。

KYCに秘密鍵は必要ですか？

いいえ。法的な本人確認に秘密鍵やシードフレーズは必要なく、絶対に共有してはいけません。

再利用可能なKYCとは何ですか？

再利用可能なKYCでは、本人確認書類または確認済みの認証情報を複数の認可されたサービスに提示でき、最初の確認手続きをすべて繰り返す必要がありません。

ゼロ知識KYCとは何ですか？

ゼロ知識KYCは、個人情報のすべてを開示せずに、特定の本人確認条件を暗号学的証明によって確認します。

ゼロ知識KYCはどこでも認められていますか？

いいえ。法的な受け入れ状況や技術的な対応は、法域、提供者、認証情報の発行者、収集が必要な情報によって異なります。

KYCデータはどのくらい保存されますか？

保存期間は、AML法、プライバシー規則、調査、アカウントの状況、サービスが文書化している法的義務によって異なります。

KYCを再度求められることはありますか？

はい。書類の期限切れ、アカウント活動の変化、リスクの上昇、法的要件の更新などに応じて、サービスが本人確認の更新を求める場合があります。

生体認証KYCは完全に正確ですか？

いいえ。生体認証システムでは誤一致や誤拒否が生じる場合があり、適切なセキュリティ、テスト、審査手続きが必要です。

偽のKYCページを避けるにはどうすればよいですか？

確認済みのウェブサイトまたは公式アプリを使い、ドメインを確認し、不審なリンクを避け、ウォレットのリカバリー用秘密情報を決して開示しないでください。

まとめ

デジタルKYCとは、暗号資産の顧客を特定し、本人確認書類を検証し、金融犯罪リスクを評価し、顧客情報を継続的に管理する電子的なプロセスです。

一般に、書類の確認、生体情報の照合、生体検知、データベースの検証、制裁対象者のスクリーニング、リスクスコアリング、手動審査を組み合わせて実施します。

デジタルKYCは顧客管理の一部であり、より広範なAMLおよびテロ資金供与対策の枠組みに含まれます。

ブロックチェーンは人の法的な本人確認ではなく暗号学的な権限を検証するため、デジタルKYCはブロックチェーンの検証とは別のものです。

規制対象の暗号資産提供者は、顧客の本人情報をアカウント、送金、ウォレットアドレス、取引活動と結び付けるためにKYCを利用する場合があります。

具体的な要件は、法域、ライセンス、顧客の種類、取引リスク、提供されるサービスによって異なります。

再利用可能な認証情報、選択的開示、ゼロ知識証明を利用する新しいシステムは、確認を支援しながら、情報収集の重複を減らせる可能性があります。

これらの技術を利用しても、信頼できる元データ、信頼できる発行者、安全なソフトウェア、失効管理、法的な受け入れの必要性がなくなるわけではありません。

デジタルKYCでは、本人確認書類、生体データ、ブロックチェーン上の関係が極めて機微な情報であるため、プライバシーとサイバーセキュリティのリスクも生じます。

ユーザーは確認済みの経路からのみ情報を提出し、KYC手続きで秘密鍵やリカバリーフレーズを決して提供しないでください。

強固なデジタルKYCシステムは、コンプライアンス、不正防止、顧客のアクセス、データ最小化、セキュリティ、正確性、公正な取り扱いのバランスを取ります。