「本人確認をしてください」
電話番号が古い。
「登録したメールアドレスを確認してください」
そのメールに入れない。
「本人確認をしてください」
……あれ？
本人であることを証明するために、本人しか使わないはずのサービスへ入ろうとしているのに、本人が入れない。
こんな「本人確認の堂々巡り」を経験したことはないでしょうか。
笑い話のようですが、実はこれ、日本だけの問題ではありません。
世界中で、デジタル社会が抱えるかなり厄介な問題になっています。
本人確認は、なぜこんなに厳しくなった？
理由はもちろん、セキュリティです。
フィッシング詐欺。
アカウント乗っ取り。
クレジットカードの不正利用。
個人情報の盗難。
犯罪者から利用者を守るため、サービス各社は本人確認を厳しくしてきました。
パスワードだけでは危ない。
そこで、
- SMS認証
- メール認証
- ワンタイムパスワード
- 二段階認証
- 生体認証
- 秘密の質問
- 登録済み端末による確認
など、何重もの仕組みが作られました。
これは当然の進化です。
ところが、ここで新しい問題が生まれました。
偽物を締め出すための仕組みが、本物の本人まで締め出してしまう。
これです。
人間は「10年前の自分」を覚えていない
デジタルサービス側から見れば、
「登録した電話番号を入力してください」
「以前使っていたメールアドレスを入力してください」
という質問は合理的に見えます。
でも、人間の生活は変わります。
電話番号を変える。
メールアドレスを変える。
スマートフォンを買い替える。
パソコンが壊れる。
何年も使っていなかったサービスへ久しぶりに入る。
本人は同じなのに、本人を証明するための道具だけが古くなるのです。
ここに「本人確認の堂々巡り」が生まれます。
セキュリティシステムは昔の情報を覚えている。
でも、人間は忘れる。
このズレです。
日本でも「厳しければいい」ではなくなってきた
日本でも、この問題は認識されています。
デジタル庁は、行政手続などにおける本人確認について、新しいデジタルアイデンティティのガイドラインを整備しています。
現在の考え方は、単純に本人確認を厳しくするのではなく、リスクに応じた本人確認方法を選び、利用者が実際に使える仕組みにすることを重視する方向へ進んでいます。2026年には関連する解説書も整備されています。 デジタル庁
つまり、
「安全にする」だけでは足りない。
「安全で、なおかつ本人が使える」ことが必要。
当たり前のようですが、実際のITサービスでは、この両立がものすごく難しいのです。
アメリカでは「アカウント復旧」そのものが正式なテーマに
この問題をかなり具体的に扱っているのが、米国のNIST（米国国立標準技術研究所）です。
NISTが2025年に公開した最新のデジタルIDガイドラインでは、ログインできなくなった本人をどう戻すかという**「Account Recovery＝アカウント回復」**が、独立した重要な仕組みとして扱われています。 NIST Computer Security Resource Center
その復旧方法として挙げられているのが、
- あらかじめ保存しておく復旧コード
- 必要時に発行される復旧コード
- 登録した復旧用連絡先
- 改めて本人確認をやり直す
といった方法です。 NIST Pages
ポイントは、
「昔の電話番号を覚えていなければ終わり」ではない
ということです。
本人が認証手段を失うことは起こる。
その前提で、複数の帰り道を最初から作っておく。
この発想が重要になっています。
パスキーなら全部解決する？
最近よく聞くのが「パスキー」です。
パスワードを覚える代わりに、
顔認証。
指紋認証。
端末のPIN。
などを使ってログインします。
フィッシングに強く、パスワードより安全性を高めやすい方法として普及が進んでいます。
しかし、ここにも落とし穴があります。
スマホをなくした。
端末を交換した。
パスキーを保存しているサービスそのものに入れなくなった。
こんなことは当然起こります。
FIDO Allianceも、パスキーを導入しても代替認証やアカウント復旧の仕組みは必要だとしています。同期型パスキーなら端末紛失時に復元しやすくなりますが、それでも復旧経路そのものをなくすことはできません。 FIDO Alliance
つまり、
「パスワードをなくせば堂々巡りもなくなる」
ほど簡単な話ではないのです。
では、どうすればいいのか？
ここからが大事です。
本人確認の堂々巡りを減らす方法は、かなり見えてきています。
1．本人確認方法を一つだけにしない
スマホだけ。
メールだけ。
電話番号だけ。
これに依存すると、その一つを失った瞬間に詰みます。
複数の認証方法を最初から用意する。
これが基本になります。
2．復旧コードを用意する
銀行の非常用暗証番号のように、
「どうしてもログインできなくなったときだけ使うコード」
を発行しておく方法です。
紙に印刷して安全な場所に保管することもできます。
NISTも正式なアカウント復旧方法として扱っています。 NIST Pages
3．昔の情報ではなく「今の本人」を確認する
ここは非常に重要です。
10年前の電話番号。
昔使っていたメール。
昔決めた秘密の質問。
それを覚えているかどうかより、
「今、目の前にいる人間が本当に本人なのか」
を再確認できる仕組みのほうが合理的です。
本人確認書類や電子証明書、生体情報などを使い、必要なら改めて本人確認をする。
FIDO Allianceでも、アカウント復旧時に本人確認を行い、その後に新しいパスキーやパスワードを作成する流れが示されています。 FIDO Alliance
4．「復旧したら通知する」
復旧を簡単にしすぎると、今度は犯罪者に狙われます。
そこで重要になるのが通知です。
「あなたのアカウントで復旧手続きが行われました」
と、登録済み端末やメールなどへ知らせる。
本人がやった手続きでなければ止められる。
NISTも、アカウント復旧時には利用者への通知を求めています。 NIST Pages
「安全」と「便利」は敵ではない
これまでのITセキュリティは、ときどきこんな考え方になりがちでした。
面倒であるほど安全。
でも本当にそうでしょうか。
操作が複雑すぎれば、人はパスワードを紙に書く。
本人確認が難しすぎれば、サービスを使わなくなる。
復旧方法が分からなければ、新しいアカウントを作る。
結果として、かえって危険になる場合もあります。
これから必要なのは、
強いセキュリティと、分かりやすい復旧方法を同時に作ること。
だと思います。
AI時代だからこそ「人間を置き去りにしない」
これからAIがさらに普及すると、本人確認はもっと重要になります。
声も作れる。
顔も作れる。
文章も本人そっくりに書ける。
「本人らしい」だけでは、本人と判断できない時代になります。
だから本人確認は、間違いなく強化されていくでしょう。
しかし、その一方で忘れてはいけないことがあります。
システムを使うのは、人間です。
人間は忘れます。
端末をなくします。
番号を変えます。
歳も取ります。
生活環境も変わります。
完璧に記録を管理できる人だけが使えるIT社会では、便利とは言えません。
セキュリティとは「本人を入れないこと」ではない
本人確認の目的は、
本人を困らせることではありません。
犯罪者を締め出すことでも、それだけではありません。
本当の目的は、
偽物を入れず、本物の本人にはちゃんと帰り道を残すこと。
なのではないでしょうか。
世界では今、その「帰り道」の作り方まで含めて、デジタル本人確認を考える時代へ入り始めています。
パスワードの次。
パスキーの次。
その先で本当に必要なのは、
「本人なら、最後には必ず戻れるIT」
なのかもしれません。
便利になったはずのデジタル社会。
そろそろ、
「本人なのに入れない」堂々巡りからも卒業したいものです。
参考
デジタル庁「デジタル社会推進標準ガイドライン」
米国NIST「Digital Identity Guidelines SP 800-63-4 / SP 800-63B-4」
FIDO Alliance「Passkeys / Account Recovery関連資料」 デジタル庁
