オンラインIDスキャンで詐欺被害が急増―2025年に前年比50%超の3,373件

オランダの政府機関CMI（身元詐欺報告センター）に寄せられたIDスキャン関連の個人情報詐欺報告が、2025年に3,373件と前年の2,208件から50%以上増加したことが明らかになった。デ・テレフラーフ紙がCMIの内部記録をもとに報じたもので、2026年に入っても増加傾向は続いており、1月の326件から4月には1,350件へと急伸している。

法的義務のないプラットフォームも相次いでID提出を要求

オランダの法律上、顧客の本人確認にIDスキャンが義務付けられているのは、マネーロンダリング防止法やギャンブル法の対象となる銀行、保険会社、暗号資産取引所、公認ギャンブルサイトなどに限られる。しかし実態として、AirbnbやTinder、LinkedIn、Ryanair、Instagram、Facebook、そしてPornhubやOnlyFansといったプラットフォームも、偽プロフィール対策やEUデジタルサービス法に基づく年齢確認を名目に、IDスキャンの提出を求めるケースが増えている。

こうした認証処理の多くを担っているのが、サンフランシスコを拠点とする本人確認企業「Persona」だ。LinkedIn、Ryanair、Airbnb、Robloxなど複数のプラットフォームがPersonaを経由してID確認を実施している。2026年2月には、Personaが米政府認可サーバー上に政府向けダッシュボードのコードベース全体（2,456ファイル、53メガバイト）を誰でもアクセス可能な状態で公開していたことが研究者によって発覚しており、セキュリティ管理への疑問も浮上している。

米クラウド法リスクとデータ保護当局の見解

プライバシー専門家のブレンノ・デ・ウィンター氏はテレフラーフ紙に対し、**米国クラウド法（Cloud Act）**の下では、米国企業が保有するデータに米当局がアクセスを求めることが可能であり、Personaを通じて処理されたオランダのパスポートスキャンデータが原則として米国当局に提供され得ると指摘した。同様の懸念は、政府のDigiD認証システムを運用するSolvinity社の米国企業による買収計画や、620万人の顧客ID情報が流出したOdidoに対する集団訴訟でも議論の焦点となっている。

オランダのデータ保護局は、SNSなどのプラットフォームがIDスキャンを要求できるのは、ユーザーの身元に合理的な疑いがある場合であり、かつ他の確認手段が存在しない場合に限られるとの見解を示している。スキャンを求められた場合は、その理由を確認し、プラットフォームのデータ保護責任者に問い合わせることを推奨。また、BSN番号などの不要な情報は隠した上で提出することが望ましいとしている。

在蘭日本人への実践的アドバイス

オランダ内務省が提供する「KopieIDアプリ」を使えば、IDコピーに利用目的や日付のウォーターマークを入れることができ、不正利用への抑止策となる。一方、EUでは年齢確認専用のアプリ導入を加盟国に年内実現するよう促しているが、オランダは試験導入7か国（キプロス、デンマーク、フランス、ギリシャ、アイルランド、イタリア、スペイン）には含まれておらず、義務化もされていない。IDの提出を求められた際は、その必要性を慎重に判断し、不要と思われる場合は拒否する権利があることを覚えておきたい。