オンラインKYC

暗号資産におけるオンラインKYCとは？

オンラインKYCとは、暗号資産サービスを利用する前または利用中に、顧客の身元をデジタルで特定・確認するプロセスです。KYCはKnow Your Customer（顧客確認）の略称です。暗号資産分野では、仮想資産サービスプロバイダー、暗号資産サービスプロバイダー、決済プラットフォーム、カストディアン、法定通貨のオンランプ事業者、機関投資家向け取引サービス、トークン発行体、その他の規制対象事業者が、利用者を把握する必要がある場合にオンラインKYCを導入しています。その目的は、正当な利用者が遠隔でデジタル資産サービスを利用できるようにしながら、金融犯罪のリスクを低減することです。オンラインKYCでは、氏名、生年月日、住所、国籍、政府発行の本人確認書類、自撮り写真、生体検知、住所証明、資金源の情報、事業の所有者情報、ウォレット情報、制裁対象者との照合データなどを収集する場合があります。具体的な要件は、利用者の種類、サービスの種類、取引リスク、法域、コンプライアンスの枠組みによって異なります。

FATFの仮想資産に関するページでは、仮想資産はデジタルで取引・移転したり、支払いに利用したりできる価値のデジタル表現と説明されています。

暗号資産は国境を越えて迅速に移動できるため、規制対象事業者には、顧客の特定、取引の監視、制裁リスクの確認、法律に基づく疑わしい行為の報告が求められることがあります。そのため、オンラインKYCは単なる登録手続きではありません。AML/CFT、詐欺防止、制裁遵守、リスク管理を含む、より広範なシステムの一部です。

オンラインKYCの要点

• オンラインKYCは、暗号資産ユーザーの身元を遠隔で特定・確認するデジタルプロセスです。
• 多くの規制対象暗号資産サービスが、AML/CFT、制裁対象者のスクリーニング、詐欺防止、アカウントセキュリティのために利用しています。
• 本人確認書類、自撮り写真、生体検知、住所証明、デバイスデータ、ブロックチェーン分析、取引モニタリングが含まれる場合があります。
• オンラインKYCはウォレットの所有者確認と同じではありません。1人が複数のブロックチェーンアドレスを管理できるためです。
• KYCは通常、事業者やサービスに適用されます。セルフカストディウォレットは、初期設定では利用者の身元を確認しない場合があります。
• オンラインKYCは不正な資金移動のリスクを低減する一方、プライバシー、データセキュリティ、サービス利用の制限に関する懸念も生じさせます。
• FATFのトラベルルールは密接に関係しています。対象事業者間で行われる一定の仮想資産送金では、送金元と受取人に関する情報を送金に付随させることが求められます。
• 最新のオンラインKYCでは、デジタルID、生体認証、書類確認、リスクベースのモニタリングがますます活用されています。
• 個人情報は、公式かつ安全な手段を通じてのみ提出してください。
• 適切なオンラインKYCプロセスでは、コンプライアンス、利用者の安全、プライバシー、アクセシビリティ、詐欺対策のバランスが必要です。

暗号資産でオンラインKYCが重要な理由

暗号資産は、迅速な決済、世界中からのアクセス、仮名性のあるアドレス、プログラム可能な送金、取り消し不可能なトランザクションを組み合わせているため、オンラインKYCが重要です。こうした特徴はイノベーションを支える一方、詐欺、制裁回避、マネーロンダリング、ランサムウェアの支払い、テロ資金供与、盗難資金の移動を引きつける可能性もあります。オンラインKYCにより、規制対象サービスはプラットフォームの利用者と、その活動が想定される行動に合致しているかを把握できます。盗まれた身元情報を使ってアカウントが開設されるのを防ぐのに役立つ場合があります。該当する場合、制裁対象者や利用制限のある法域の利用者を排除するのに役立つことがあります。名義貸し口座、詐欺収益、取引の分割、アカウント乗っ取り、不自然なウォレットの資金移動など、疑わしい活動の検知に役立つ場合もあります。偽アカウントや詐欺グループを減らすことで、利用者を保護することにもつながります。ただし、機微な本人確認データを保護する責任が生じるため、オンラインKYCには注意も必要です。本人確認書類、自撮り写真、住所、取引情報を収集する暗号資産事業者は、それらのデータを慎重に保護しなければなりません。KYCが不十分であることにはリスクがありますが、不注意なデータ収集にもリスクがあります。

オンラインKYCの仕組み

オンラインKYCは通常、ユーザーがアカウントを作成するとき、またはリスクの高い機能を利用しようとするときに始まります。プラットフォームは、氏名、生年月日、居住地、国籍などの個人情報を求めます。ユーザーは、パスポート、国民IDカード、運転免許証など、政府発行の本人確認書類をアップロードする場合があります。書類を提出した本人が実際にその場におり、書類に記載された人物と一致することを確認するため、自撮り写真やライブ動画による確認を求める場合があります。書類の真正性を確認するため、セキュリティ機能、情報の整合性、有効期限、書類形式を確認することがあります。制裁リスト、重要な公的地位にある者（PEP）のデータ、不芳情報、詐欺の兆候、社内のリスク管理基準と照合する場合があります。IPアドレス、デバイスフィンガープリント、電話番号、メールアドレス、位置情報、ウォレットの利用状況も確認することがあります。顧客が法人の場合、会社登記書類、実質的所有者の情報、経営管理者の詳細、資金源に関する情報が必要となる場合があります。承認後も、KYCは一度限りの手続きではないため、アカウントのモニタリングが続く場合があります。継続的なモニタリングによって、登録後に生じる新たなリスクを検知できます。

オンラインKYCと従来型KYCの違い

従来型KYCは、支店、オフィス、ブローカーの窓口などで対面で行われることが多くありました。オンラインKYCは、ウェブサイト、モバイルアプリ、安全なアップロードポータル、ビデオによる手続き、デジタルIDシステム、自動認証フローなどを通じて遠隔で行われます。従来型KYCでは、書類を物理的に確認し、対面でやり取りすることが比較的多い場合があります。オンラインKYCでは、デジタル本人確認、書類認識、生体情報の照合、生体検知、データベース確認、デバイス情報、詐欺分析がより重視されます。サービス提供者が顧客を直接確認できないため、リスクの性質も異なります。ディープフェイク、盗難された本人確認書類の画像、合成ID、偽造書類、遠隔操作型詐欺、アカウントの大量作成などのリスクが生じます。

FATFのデジタルIDに関するガイダンスでは、信頼性、独立性、リスクへの適合性を備えたデジタルIDシステムは、顧客管理措置に利用できると説明されています。

適切に設計されたオンラインKYCは、効率的で利用しやすいプロセスとなる可能性があります。一方、質の低い書類、不鮮明な自撮り写真、検証されていない本人確認技術を受け入れると、十分に機能しない場合があります。

オンラインKYCと顧客管理措置

顧客管理措置（CDD）とは、顧客を特定し、サービスとの関係を理解し、リスクを監視するためのより広範なプロセスです。オンラインKYCは通常、CDDの一部です。CDDには、本人確認、アカウントの利用目的の把握、実質的所有者の特定、取引パターンの評価、リスクが高い場合の強化された顧客管理措置などが含まれます。

FinCENの顧客管理措置ルールのページでは、CDD要件は金融の透明性を高め、企業が不正な活動に利用されるのを防ぐことを目的としていると説明されています。

暗号資産では、法定通貨の入金、ステーブルコインの送金、セルフカストディウォレット、クロスチェーンブリッジ、DeFiプロトコル、プライバシーツール、NFT、さまざまな種類のトークンが関わる可能性があるため、CDDがより複雑になる場合があります。顧客の身元情報だけでは、リスクを把握するのに十分ではありません。サービス提供者は、想定される利用状況、資金源、資産形成の背景、取引行動、ウォレットの関連性も理解する必要がある場合があります。そのため、KYCと取引モニタリングは併せて行われることが多くあります。KYCは顧客を特定し、モニタリングはその顧客の行動が妥当かを確認します。

オンラインKYCとAML/CFT

AMLはマネーロンダリング対策を意味します。CFTはテロ資金供与対策を意味します。オンラインKYCは、規制対象サービスにおいて犯罪者が偽の身元、盗まれた身元、匿名アカウントを使いにくくすることで、AML/CFTプログラムを支えます。

FATFの勧告では、マネーロンダリング、テロ資金供与、拡散金融に対処するための国際的な枠組みが定められています。

暗号資産のAML/CFTプログラムには、KYC、制裁対象者のスクリーニング、取引モニタリング、疑わしい取引の報告、リスク評価、ブロックチェーン分析、記録保持などが含まれることがあります。法定通貨から暗号資産への交換、または暗号資産から法定通貨への交換を行う場合、オンラインKYCは特に重要です。カストディ、送金、ブローカー業務、カード、決済アカウント、デリバティブ、機関投資家向けサービスを提供する場合にも重要です。AML/CFTプログラムが不十分だと、事業者は犯罪、法執行上のリスク、銀行取引上の問題、利用者の信頼低下に直面する可能性があります。優れたプログラムでは、すべてのユーザーから一律に最大限のデータを収集するのではなく、リスクベースで対応します。実際のリスクに合わせて管理策を設定することが重要です。

オンラインKYCとトラベルルール

トラベルルールでは、対象事業者間で行われる一定の仮想資産送金に、特定の本人確認情報を付随させることが求められるため、オンラインKYCと密接に関連しています。

FATFの2025年の仮想資産およびVASPに関する重点アップデートでは、トラベルルールの実施を含む、仮想資産に関するFATF基準の実施状況が取り上げられています。

実務上、トラベルルールにより対象暗号資産サービスは、送金元と受取人に関する情報を収集、確認、送信、受信する必要が生じる場合があります。顧客を適切に特定できていなければ、信頼できる顧客情報を送信できないため、オンラインKYCが重要です。トラベルルールは、セルフカストディウォレットが送金に関わる場合にも課題を生じさせます。セルフカストディウォレットは、カストディサービスではなく、利用者自身が管理します。規制対象サービスでは、利用者が外部ウォレットを所有または管理しているか判断するために、追加の管理策が必要となる場合があります。こうした管理策には、ウォレットのスクリーニング、アドレス所有者の確認、出金限度額、強化審査、リスクベースの本人確認などが含まれます。暗号資産のKYCが時間とともに詳細化している理由の1つが、トラベルルールへの対応です。

オンラインKYCとセルフカストディウォレット

オンラインKYCで、すべてのブロックチェーンアドレスの利用者が自動的に特定されるわけではありません。セルフカストディウォレットは、中央集権型サービスに本人確認書類を提出せずに作成できる場合があります。そのため、暗号資産は完全な匿名ではなく、仮名性を持つと説明されることがよくあります。ブロックチェーンアドレスは公開されていますが、その背後にいる実在の人物が公に知られているとは限りません。ユーザーがセルフカストディウォレットを規制対象サービスに接続すると、そのサービスがウォレットアドレスと本人確認済みアカウントを関連付ける場合があります。分散型スマートコントラクトだけを利用する場合は、従来型のKYC手続きがないことがあります。この点は、カストディサービスとセルフカストディによる活動の大きな違いです。

FATFの2026年のステーブルコインと非ホスト型ウォレットに関するレポートでは、特に非ホスト型ウォレットを介したP2P取引において、犯罪者がステーブルコインを悪用するリスクが取り上げられています。

政策上の課題は、金融アクセス、プライバシー、イノベーション、犯罪防止のバランスを取ることです。オンラインKYCはそのための手段の1つですが、唯一の手段ではありません。

オンラインKYCとステーブルコイン

ステーブルコインは、取引ペア、決済資産、支払い手段、暗号資産市場の流動性手段として広く使われているため、オンラインKYCの主要な注目対象です。ステーブルコインは、ウォレット、プラットフォーム、法域の間を迅速に移動できます。この特性は正当な利用者にとって便利である一方、価値を迅速に移転したい犯罪者にとっても魅力となる場合があります。FATFの2026年のステーブルコインと非ホスト型ウォレットに関するレポートでは、特にP2P取引や非ホスト型ウォレットを通じて、犯罪者がステーブルコインを悪用する可能性が指摘されています。オンラインKYCは、ステーブルコインの購入、売却、保管、償還、送金を行う利用者を、規制対象サービスが特定するのに役立ちます。資金を迅速に中継する取引、詐欺収益、名義貸し行為、制裁対象との関連など、疑わしい行動の検知にも役立つ場合があります。ただし、ステーブルコインのリスク管理には、ブロックチェーン分析、準備金の透明性、スマートコントラクト管理、発行体のコンプライアンス、ウォレットのスクリーニング、取引モニタリングも必要です。KYCだけでは、ステーブルコインの送金が安全かどうかを判断できません。KYCがサービスに知らせるのは、顧客が誰かということです。顧客が何をしているかについては、サービスが別途評価する必要があります。

オンラインKYCと制裁対象者のスクリーニング

制裁対象者のスクリーニングでは、利用者、アドレス、法域、取引相手が制裁措置の対象となる可能性があるかを確認します。

OFACの仮想通貨業界向け制裁遵守ガイダンスでは、仮想通貨取引にも従来の法定通貨取引と同様に制裁遵守義務が適用されるとされています。

暗号資産事業者の制裁管理には、氏名、国、IPアドレス、ウォレットのスクリーニング、ブロックチェーン分析、取引モニタリングなどが含まれる場合があります。オンラインKYCは、アカウントの背後にいる利用者を特定することで、制裁遵守を支えます。ウォレットのスクリーニングは、リスクの高いアドレス、クラスター、取引経路を特定することで、制裁遵守を支えます。本人確認を通過した利用者でも、後にリスクの高いウォレットと取引する可能性があるため、両方のスクリーニングが重要です。無関係な利用者が制裁対象者と同じ名前を持つ場合があるため、誤検知にも慎重に対応する必要があります。適切なスクリーニングには、データの品質、人による確認、明確なエスカレーションルール、リストの更新が必要です。不適切なスクリーニングでは、実際のリスクを見落としたり、正当な利用者を不当にブロックしたりする可能性があります。制裁遵守は、一度きりのKYC確認ではなく、継続的なプロセスです。

オンラインKYCと本人確認書類

本人確認書類は、オンラインKYCの基本となることが多くあります。プラットフォームは、パスポート、国民IDカード、運転免許証、在留許可証、その他の政府発行書類を求める場合があります。書類が本物に見えるか、有効期限が切れていないか、氏名がアカウント情報と一致するか、画像が改ざんされていないかを確認する場合があります。書類確認によって、多くの基本的な詐欺を検出できます。ただし、あらゆる攻撃を防げるわけではありません。犯罪者は、盗難書類、高品質の偽造書類、合成ID、ディープフェイクによる偽装などを利用する可能性があります。そのため多くのオンラインKYCシステムでは、自撮り写真の照合、生体検知、デバイス分析、データベース確認を追加しています。書類は、公式の安全なウェブページまたはモバイルアプリからのみアップロードしてください。ソーシャルメディアのメッセージ、未確認のサポートチャット、メール添付、見知らぬリンクを通じて本人確認書類を送らないでください。偽のKYCページは個人情報を盗み、その後の詐欺に悪用する可能性があります。

オンラインKYCと生体認証

生体認証では、自撮り写真やライブ動画を本人確認書類上の顔と照合する場合があります。目的は、書類を提示する人物と書類に写っている人物が同一であることを確認することです。生体検知では、写真、録画の再生、マスク、ディープフェイクの映像注入ではなく、実在の人物がその場にいることを確認します。

NISTのSP 800-63-4デジタルIDガイドラインでは、デジタルIDシステムにおける本人確認、認証、連携、セキュリティ、プライバシー、利用者体験について説明されています。

生体認証はオンラインKYCを強化できる一方、プライバシーに関する懸念も生じさせます。顔のテンプレートや生体情報は、パスワードのように変更できないため、特に機微な情報です。サービス提供者は、生体情報の収集を必要最小限にし、強固に保護し、保存期間を制限し、利用方法を説明するべきです。生体情報を提出する前に、プライバシーに関する通知を確認してください。自撮り写真や本人確認書類を収集するためにKYC手続きを模倣した詐欺にも注意してください。生体認証によるKYCは有効な手段ですが、慎重に取り扱う必要があります。

オンラインKYCと住所証明

住所証明は、顧客の居住地または法的な居住地を確認するために使われます。プラットフォームは、公共料金の請求書、銀行取引明細書、税務書類、政府機関からの通知、その他の認められた書類を求める場合があります。住所確認は、法域のルール、制裁管理、税務報告、リスク評価に役立つ場合があります。申告された居住地、IPアドレスの位置、デバイスの位置、支払い方法、書類の発行国の不一致を特定するのにも役立ちます。暗号資産では、住所情報が利用可能な商品に影響することがあります。一部の商品は特定の法域で利用できない場合があります。リスクの高い地域に居住するユーザーは、追加審査が必要になる場合があります。従来型の請求書や正式な住宅書類を持たない人にとって、住所証明は難しい場合があります。適切なオンラインKYCでは、法的要件を満たしながら、利用しやすさも考慮する必要があります。デジタルIDシステムを慎重に設計すべき理由の1つは、金融包摂です。

個人向けオンラインKYC

個人向けKYCでは、自然人を特定します。プラットフォームは、氏名、生年月日、住所、国籍、書類番号、自撮り写真、職業、資金源、想定されるアカウント利用状況などを収集する場合があります。ユーザー本人のために行動しているのか、他者の代理として行動しているのかを尋ねる場合があります。制裁対象者、政治的な公的関係、不芳情報、詐欺記録、リスクの高い兆候について利用者を確認することがあります。リスクが高い利用者には、強化された顧客管理措置が必要となる場合があります。強化された顧客管理措置では、資産、収入、事業活動、ウォレットの資金移動、取引目的について、さらに詳しい情報を求めることがあります。地域のルールでリスクベースの対応が認められていれば、低リスクの利用者はより迅速に手続きを完了できる場合があります。ただし、行動に変化があれば、低リスクの利用者でも定期的な審査が必要になる場合があります。例えば、小規模な個人アカウントがリスクの高いウォレットから突然多額のステーブルコインを受け取ると、追加審査が必要になる場合があります。利用者の行動に応じて継続的に対応することが、オンラインKYCの有効性を高めます。

法人向けオンラインKYC

法人向けKYCは、Know Your Businessの略であるKYBと呼ばれることがあります。KYBでは、会社、パートナーシップ、財団、信託、DAO関連の法人、ファンド、その他の法人顧客を特定します。暗号資産サービスでは、登記書類、納税者番号、事業所住所、所有関係図、取締役の詳細、実質的所有者の情報、権限を持つ利用者の情報、資金源に関する情報を求める場合があります。犯罪者が会社、名義人、ペーパーカンパニー、多層構造の法人の背後に隠れる可能性があるため、実質的所有者の確認は重要です。

EUR-Lexで公開されているEU規則2024/1624は、暗号資産サービスプロバイダーを含む義務対象事業者に関連する顧客管理要件などを含む、直接適用されるAML/CFTルールを定めています。

所有関係や支配関係が複雑なため、法人向けKYCは個人向けより時間がかかる場合があります。会社には複数の株主、取締役、署名者、子会社、法域が関わることがあります。暗号資産に関するリスクは、事業モデルによっても異なる場合があります。ヘッジファンド、決済会社、NFTマーケットプレイス、マイニング会社、トレジャリー部門、ウォレット事業者では、リスクプロファイルが大きく異なる可能性があります。

オンラインKYCと遠隔での顧客登録

遠隔での顧客登録とは、顧客と対面せずにアカウントを開設するプロセスです。

欧州銀行監督機構（EBA）の遠隔での顧客登録に関するガイダンスでは、AML/CFTとデータ保護の要件に沿った安全で効果的な遠隔登録の手順が定められています。

暗号資産サービスは、利用者が多くの国に居住し、迅速なデジタルアクセスを求めるため、遠隔登録に大きく依存しています。遠隔手続きでは、本人確認資料が有効であること、申請者が実在すること、開示なしに他人のためにアカウントが開設されていないことを確認する必要があります。強要、アカウントの大量作成、名義貸しの勧誘、偽造書類、VPNの悪用、合成IDによる詐欺の兆候も検知する必要があります。遠隔登録は、速さだけを目的に設計するべきではありません。正確性、セキュリティ、公平な利用者対応、規制上の説明可能性を考慮して設計する必要があります。手続きが不十分だと、犯罪者が容易に利用を開始できる可能性があります。厳しすぎたり分かりにくかったりすると、正当な利用者が不当に拒否される場合があります。

オンラインKYCとリスクベースの本人確認

リスクベースの本人確認とは、リスクが高い場合にはより厳格な確認を適用し、低い場合には簡素な確認を適用する方法です。暗号資産のすべての利用者が同じリスクを生むわけではないため、重要な考え方です。少額購入を行う利用者と、多額のクロスボーダー送金を行う法人顧客では、必要な審査が異なる場合があります。問題が確認されていないセルフカストディウォレットへ出金する利用者と、リスクの高いウォレット群と関連する利用者では、必要な審査が異なる場合があります。サービス提供者は、入金額、出金限度額、商品へのアクセス、法域、支払方法、ブロックチェーン上のリスク、アカウントの利用状況などに基づいて段階を設定する場合があります。より高い段階では、追加書類、資金源、資産形成の背景、または手動審査が求められる場合があります。リスクベースのKYCは、実際のリスクに管理策を集中させながら、利用者体験を改善できる可能性があります。不要なデータ収集を減らすことにもつながります。課題は、リスクモデルを検証、文書化し、最新の状態に保つことです。リスクベースの仕組みを、管理策を弱める口実にしてはいけません。

オンラインKYCとブロックチェーン分析

ブロックチェーン分析は、ウォレットの活動とリスク指標を関連付けることで、オンラインKYCを支援します。プラットフォームは、入金・出金アドレスについて、詐欺、ハッキング、ダークネット市場、制裁対象ウォレット、ミキサー、ランサムウェア、盗難資金、その他のリスクの高い活動との関係を確認する場合があります。ただし、ブロックチェーン分析は本人確認の代わりにはなりません。本人確認の情報に取引の背景を加えるものです。例えば、利用者が有効な本人確認書類を提出していても、盗難資産と関連するウォレットから資金を送る場合があります。KYCプロファイルは、利用者が誰だと申告しているかを示します。ブロックチェーン分析のプロファイルは、そのウォレットがどのような資産や取引に関わったように見えるかを示します。どちらの情報も有用です。オンチェーン上の資金の帰属特定は完全ではないため、ブロックチェーン分析には誤検知と見逃しの両方が起きる可能性があります。責任あるサービス提供者は、分析結果に人による確認、利用者からの説明、明確な方針を組み合わせる必要があります。自動生成されたウォレットのラベルを絶対的な事実として扱うべきではありません。

オンラインKYCとデータプライバシー

オンラインKYCでは機微な個人情報を収集します。本人確認書類、写真、住所、電話番号、金融情報、ウォレットの行動、生体情報が含まれる場合があります。そのため、データプライバシーは中心的な課題です。暗号資産サービスは、必要なデータだけを収集し、安全に保管し、従業員のアクセスを制限し、機微な記録を暗号化し、不正利用を監視し、法律上可能になった時点でデータを削除するべきです。どのデータを、何の目的で収集するのか、どのくらいの期間保管するのか、法律上必要な場合にサービス提供者や当局と共有されるのかを利用者が理解できるようにする必要があります。KYCデータが漏えいすると、盗まれた本人確認情報が詐欺に再利用され、利用者に被害を及ぼす場合があります。見知らぬサービスに書類を提出しないよう注意すべき理由の1つは、プライバシーリスクです。プラットフォームのプライバシーポリシーが明確か、安全なアップロード手段があるか、信頼できるコンプライアンス体制を備えているかを確認してください。適切なKYCは、市場を犯罪から守ります。適切なプライバシー管理は、利用者が不要に情報をさらすことを防ぎます。

オンラインKYCとアカウントセキュリティ

オンラインKYCはアカウントセキュリティを支援できますが、強固な認証の代わりにはなりません。本人確認済みのアカウントでも、メール、電話、パスワード、二要素認証にアクセスできなくなると、乗っ取られる可能性があります。詐欺師が本人確認済みの利用者をだまし、遠隔アクセスを許可させたり出金を承認させたりする場合があります。犯罪者が利用者の本人確認書類を盗み、合成データや改ざんデータを使ってKYCを通過しようとする場合もあります。強固なアカウントセキュリティには、多要素認証、出金先アドレスの管理、アンチフィッシングコード、デバイス管理、ログイン通知、不審なログインの検知などが含まれるべきです。サービス提供者が本人確認情報を保有しているため、KYCが一部のアカウント復旧に役立つ場合があります。ただし、攻撃者が偽のKYC情報を使ってアカウントを乗っ取ろうとすることもあるため、復旧手続きは慎重に行う必要があります。本人確認と認証は関連していますが、異なるものです。KYCでは顧客が誰かを確認します。認証では、現在のログインがその顧客本人によるものかを確認します。

オンラインKYCとディープフェイクリスク

ディープフェイクのリスクは、オンラインKYCでますます重要になっています。攻撃者は、AIで生成した顔、映像の差し替え、音声クローン、改ざん書類、合成IDを利用し、遠隔登録システムを攻撃する場合があります。高品質の偽画像や動画を詐欺師が使える場合、単純な自撮り確認だけでは不十分な可能性があります。最新のKYCシステムでは、生体検知、デバイスの整合性確認、書類の鑑定、行動分析、不審事例の手動審査がますます活用されています。NISTのSP 800-63-4は、デジタルIDの信頼性、本人確認、認証、プライバシー、詐欺耐性に関する最新の考え方を示すもので、重要な資料です。アカウントの取得に成功すると価値を迅速に移動できるため、暗号資産サービスは攻撃者にとって魅力的な標的です。ディープフェイク攻撃への対策として、利用者への注意喚起も重要です。公式手続き以外でKYCを行うよう求める偽のサポート担当者とのビデオ通話に応じないでください。見知らぬ相手のために本人確認動画を撮影しないでください。詐欺師がその動画を他のサービスへの攻撃に再利用する可能性があります。

オンラインKYCと利用者体験

オンラインKYCは、アカウント設定時に手間がかかる場合があります。書類のアップロード、自撮り確認、待ち時間、追加質問を好まない利用者もいます。ただし、手続きが明確であれば、混乱を減らし信頼を高めることができます。適切なKYCフローでは、受け付け可能な書類、情報が必要な理由、審査にかかる時間の目安、認証に失敗した場合の対応を説明します。モバイル端末の利用者、古い書類を持つ利用者、アクセシビリティ上の配慮が必要な利用者、ID形式の異なる地域の利用者に対応する必要があります。別の方法でリスクを管理できる場合は、照明、言語、カメラの画質、書類のレイアウトを理由とする不必要な却下を避けるべきです。同時に、利用者の利便性がセキュリティや法的義務に優先することもありません。優れたオンラインKYCシステムは、低リスクの利用者の手間を減らし、不明確な事例や高リスクの事例を追加審査に回します。分かりにくい手続きは利用者が途中でやめる可能性を高めるため、設計が重要です。不適切な設計は、利用者を安全性の低い、または規制されていない代替サービスに向かわせる場合があります。

オンラインKYCと金融包摂

オフィスに出向かず遠隔で本人確認ができれば、オンラインKYCは金融包摂を促進する可能性があります。物理的な金融機関の支店を利用しにくい地域の人々にとって有用です。国境を越えて働く人、デジタルノマド、小規模事業者、モバイル中心の金融サービスを利用する人にも役立つ場合があります。一方、認められた書類、安定した住所、高画質のカメラ、信頼できるインターネット、正式な記録を持たない人は、オンラインKYCによって利用を制限される場合があります。書類だけに頼る厳格な手続きでは、十分な銀行サービスを受けていない人や、住む場所を追われた人が正当な利用者であっても拒否される可能性があります。FATFのデジタルIDガイダンスでは、適切なリスクベースの方法と組み合わせれば、デジタルIDが顧客管理措置と金融包摂を支援できるとされています。暗号資産サービスは、法律で認められる場合、代替の本人確認方法を検討するべきです。自動化された本人確認システムに不当な偏りが生じないようにする必要もあります。金融包摂はリスクを無視することではありません。正当な利用者が実際に完了できるリスク管理を設計することです。

オンラインKYCとDeFi

DeFiプロトコルは、カストディ型の暗号資産サービスとは異なる仕組みで運用されることがよくあります。ユーザーは従来型のアカウントを作成せず、セルフカストディウォレットを通じてスマートコントラクトを利用する場合があります。そのため、多くのDeFiのやり取りでは、プロトコルのインターフェースに標準的なオンラインKYCがありません。ただし、DeFiにも複数の形でKYCが関わる場合があります。フロントエンドのウェブサイトが、法域やリスクに応じてアクセスを制限する場合があります。許可制のプールでは、本人確認済みの利用者だけが参加できる場合があります。トークン化資産のプラットフォームでは、資産のミントや償還の前にKYCが必要となる場合があります。DAOのトレジャリーでは、機関投資家などの取引相手にKYBが求められる場合があります。DeFiに関連するブリッジ、法定通貨のオンランプ、カストディサービスが利用者の本人確認を求める場合があります。DeFiによってコンプライアンス上の問題がなくなるわけではありません。本人確認、アクセス管理、モニタリングがどこで行われるかが変わるだけです。

オンラインKYCとトークン化された実物資産

トークン化された実物資産では、通常の暗号資産送金より厳格なオンラインKYCが必要となる場合があります。これらの資産は、ファンド、債券、コモディティ、不動産、請求書、プライベートクレジット、証券、その他の規制対象商品に対する権利を表す場合があります。投資家資格、法域、制裁ルール、税務ルール、商品固有の制限によって、アクセスが制限される場合があります。オンラインKYCは、ユーザーがトークン化資産を保有、移転、償還したり、分配を受けたりする資格があるかを確認できます。スマートコントラクトに、許可リスト、移転制限、本人確認情報の証明、コンプライアンス確認が組み込まれる場合があります。そのため、トークン化資産は通常の暗号資産トークンより、許可を必要とする仕組みになる場合があります。資産がブロックチェーン外の法的権利に関連する場合、こうした制限が必要となる可能性があります。トークン化資産が自由に移転できると思い込まず、商品条件を確認してください。トークン化資産のKYCは、犯罪防止だけでなく、法的な適格性の確認を目的とすることがよくあります。法的な枠組みは、トークンコントラクトと同じくらい重要です。

オンラインKYCとKYCの段階

多くの暗号資産サービスでは、KYCを複数の段階に分けています。基本段階では、簡易的な本人確認の後、限られたアカウント機能を利用できる場合があります。上位段階では、入金額や出金額の上限引き上げ、法定通貨サービス、デリバティブ、機関投資家向け機能、取引限度額の拡大が認められる場合があります。上位段階では、多くの場合、追加書類の提出やより詳しい審査が必要です。こうした仕組みによって、コンプライアンス上の対応をリスクに合わせることができます。利用者は、より厳格な本人確認を後から完了しながら、低い限度額で利用を開始することもできます。各段階で利用できる機能が分かるよう、段階別KYCの内容は透明であるべきです。特にすでに資金を入金した後に、予告のない追加確認を求められると、利用者の不満につながる場合があります。追加確認が必要となる場合をサービス提供者が説明する必要があります。最初の承認後も、不自然な活動があれば追加審査の対象となる場合があります。

オンラインKYCと資金源

資金源とは、取引に使う法定通貨または暗号資産がどこから来たのかを指します。取引額が大きい、通常と異なる、リスクが高い、または利用者のプロフィールと一致しない場合、プラットフォームが資金源を尋ねることがあります。給与、事業収入、投資収益、マイニング収益、資産売却、相続、取引利益などが例として挙げられます。暗号資産の入金では、ウォレットの取引履歴やトランザクションに関する説明が資金源の確認に含まれる場合があります。資金源は、資産形成の背景とは異なります。資金源は、特定の取引に使われる資金がどこから来たかを示します。資産形成の背景は、利用者が全体的な資産をどのように築いたかを示します。強化された顧客管理措置では、どちらも確認される場合があります。利用者は正確な情報を提供し、偽造書類を使用しないでください。虚偽の情報は、アカウントの制限、出金の拒否、当局への報告、永久的なアカウント停止につながる可能性があります。

オンラインKYCと誤検知

誤検知とは、正当な利用者が誤ってリスクありと判定されることです。似た名前、古い住所、共有IPネットワーク、VPNの利用、ブロックチェーンアドレスのクラスタリング、書類読み取りのエラー、質の低いデータソースなどが原因となる場合があります。コンプライアンスシステムは早期にリスクを検知することを目的としているため、誤検知は珍しくありません。適切なプロセスでは、必要に応じて審査、訂正、異議申し立てができるようにする必要があります。追加書類や説明を求められる場合があります。煩わしく感じることはありますが、プラットフォームが利用者の不正行為を疑っているとは限りません。リスクのシグナルを解消するために、追加情報が必要という場合もあります。プラットフォームは誤検知に迅速かつ公正に対処するべきです。審査の長期化は、信頼や資金へのアクセスを損なう場合があります。バランスの取れたKYCには、強固な管理策と公正な審査の両方が必要です。

オンラインKYCと詐欺

詐欺師はKYCという言葉を悪用することがよくあります。偽のサポート担当者が、資金のロックを解除するために緊急のKYC手続きが必要だと主張する場合があります。フィッシングサイトが実際の本人確認ページを模倣し、本人確認書類の画像を要求する場合があります。偽の求人で、被害者に他人のための認証済み暗号資産アカウントを作成させる場合があります。犯罪者が報酬を支払ってアカウントを開設させ、ログイン情報を引き渡させることもあります。認証済みアカウントが詐欺、マネーロンダリング、盗難資金の移動に使われる可能性があるため、危険です。他人のためにKYCを完了してはいけません。認証済みアカウントを売却または貸与してはいけません。見知らぬ相手から送られたリンクを通じて、本人確認書類をアップロードしてはいけません。公式ウェブサイトまたはアプリからのみKYCを行ってください。正規の手続きであり、アカウントを認証済みの本人が管理している場合に限り、KYCは利用者を保護する役割を果たします。

オンラインKYCのメリット

第一のメリットは、正当な利用者がより迅速に登録できることです。第二のメリットは、規制対象の暗号資産サービスにおけるAML/CFTの遵守強化です。第三のメリットは、制裁対象者のスクリーニングと詐欺防止の向上です。第四のメリットは、本人がアクセスできなくなった際のアカウント復旧の改善です。第五のメリットは、銀行、決済事業者、監査人、規制当局、機関投資家の顧客との信頼向上です。第六のメリットは、ボット、名義貸し口座、盗難された身元、偽アカウントによる悪用の抑制です。第七のメリットは、取引限度額の引き上げや、より高度な商品へのアクセスです。第八のメリットは、疑わしい行為の審査に必要な監査証跡の明確化です。第九のメリットは、トークン化された実物資産や許可制サービスの保護強化です。第十のメリットは、対面確認よりも拡張性の高いグローバルな利用者登録です。

オンラインKYCのリスクと限界

第一のリスクは、データ漏えいです。第二のリスクは、書類の盗難や悪用によるなりすましです。第三のリスクは、正当な利用者が誤って拒否されることです。第四のリスクは、分かりにくい本人確認フローによる利用者体験の悪化です。第五のリスクは、個人データの過剰収集です。第六のリスクは、生体情報のプライバシーに関する問題です。第七のリスクは、ディープフェイクや合成IDによる詐欺です。第八のリスクは、偽のKYCフィッシングページです。第九のリスクは、標準的な書類や安定したインターネット環境がない利用者のアクセスが制限されることです。第十のリスクは、KYCだけですべての不正な資金移動を防げるという誤解です。KYCは重要ですが、取引モニタリング、制裁管理、サイバーセキュリティ、ウォレットのスクリーニング、人による確認と併せて運用する必要があります。

オンラインKYCを行う利用者向けのベストプラクティス

公式ウェブサイトまたはモバイルアプリのみを利用してください。本人確認書類をアップロードする前に、ドメインを慎重に確認してください。KYCのためにリカバリーフレーズを共有してはいけません。他人のためにKYCを完了してはいけません。認証済みアカウントを売却、貸与、または貸し出してはいけません。加工していない実物の書類を、鮮明に撮影してください。氏名と住所がアカウント情報と一致していることを確認してください。機微なデータを提出する前に、プライバシーに関する通知を読んでください。本人確認後は、強固な二要素認証を有効にしてください。審査が遅れている場合は、確認済みの公式窓口からサポートに連絡してください。

オンラインKYCを導入する暗号資産事業者向けのベストプラクティス

すべての利用者に同じ負担を課すのではなく、リスクベースの方法を採用してください。信頼性が高く検証済みの方法で本人確認書類を確認してください。ディープフェイクのリスクに対応できる生体検知や詐欺対策を導入してください。利用者を制裁対象者リストやその他の必要なリストと照合してください。顧客のリスクは変化する可能性があるため、登録後も取引を監視してください。暗号化、アクセス制御、ログ記録、保存期間の制限によってKYCデータを保護してください。ブロックチェーン分析を慎重に利用し、影響の大きいアラートは人の手で確認してください。誤検知、異議申し立て、高リスク利用者、強化された顧客管理措置に関する方針を文書化してください。機微な本人確認データを安全に扱えるよう、従業員を訓練してください。規制、詐欺の手口、暗号資産商品が変化するのに合わせてプログラムを更新してください。

オンラインKYCが通常必要となる場合

規制対象サービスが顧客のアカウントを開設する場合、通常オンラインKYCが必要です。法定通貨の入金または出金を利用する際にも、通常必要です。出金限度額を引き上げる前に必要となる場合があります。デリバティブ、レンディング、機関投資家向けサービス、カード、決済機能を利用する前に求められる場合があります。利用者の行動がリスクアラートを引き起こした際に必要となる場合があります。利用者が居住国、支払方法、事業形態、アカウントの所有者情報を変更した際に必要となる場合があります。トークン化された実物資産や許可制の暗号資産商品で必要となる場合があります。法人アカウントでは、権限を持つ利用者が操作を行う前に必要となる場合があります。法律の変更時や定期審査の時期に必要となる場合があります。要件は法域や商品によって異なります。

オンラインKYCが行われない場合

ユーザーがセルフカストディウォレットを作成する際、オンラインKYCが行われない場合があります。許可不要のスマートコントラクトを直接利用する際に、行われない場合があります。別のセルフカストディウォレットから暗号資産を受け取る際に、行われない場合があります。規制対象の仲介者が関与しない一部のP2P送金では、行われない場合があります。資産をカストディせず利用者を特定しない、一部のオープンソースウォレットツールでは、行われない場合があります。こうした活動に法的または金融上のリスクがないという意味ではありません。利用者は引き続き、税務申告、制裁遵守、詐欺防止、安全な資産管理に責任を負う場合があります。事業者は、自らの役割、支配権、法域に応じて義務を負う場合があります。許可不要でアクセスできることは、法的責任を免れることと同じではありません。暗号資産ユーザーは、技術的なアクセスと規制対象サービスの利用の違いを理解する必要があります。

オンラインKYCを一言で説明すると

オンラインKYCとは、暗号資産サービスが遠隔のデジタル資産市場において顧客を特定、確認、スクリーニング、監視し、AML/CFT、制裁、詐欺、アカウントセキュリティ、規制上のリスクを管理するためのデジタルプロセスです。

FAQ

オンラインKYCとはどういう意味ですか？

書類のアップロード、自撮り写真の照合、生体検知、データベース確認、リスクスクリーニングなどのデジタル手段を通じて、顧客の身元を遠隔で確認することです。

暗号資産サービスがKYCを求めるのはなぜですか？

AML/CFTルールを遵守し、詐欺を防止し、制裁リスクを確認し、アカウントを保護し、顧客の利用状況を把握するためです。

すべての暗号資産ウォレットでオンラインKYCが必要ですか？

いいえ。多くのセルフカストディウォレットはKYCなしで作成できます。ただし、法定通貨、カストディ、取引、またはリスクの高い商品に関わる規制対象サービスでは、本人確認を求められる場合があります。

オンラインKYCではどのような情報が必要ですか？

氏名、生年月日、住所、政府発行の本人確認書類、自撮り写真、住所証明、資金源、法人の所有者情報などが求められる場合があります。

オンラインKYCはAMLと同じですか？

いいえ。オンラインKYCはAMLの一部です。AMLには、取引モニタリング、報告、制裁対象者のスクリーニング、リスク管理、ガバナンスも含まれます。

KYBとは何ですか？

KYBはKnow Your Businessの略称で、会社、実質的所有者、取締役、権限を持つ利用者、事業活動を確認する手続きです。

強化された顧客管理措置とは何ですか？

リスクの高い顧客、取引、法域、または取引関係に対して適用される、より厳格な審査です。

オンラインKYCですべての暗号資産犯罪を防げますか？

いいえ。オンラインKYCはリスク低減に役立ちますが、取引モニタリング、ウォレットのスクリーニング、制裁管理、サイバーセキュリティ、人による調査と併せて運用する必要があります。

オンラインKYCで本人確認書類をアップロードしても安全ですか？

信頼できる安全なサービスであれば安全に行える場合がありますが、偽リンク、見知らぬプラットフォーム、ソーシャルメディア経由の要求、公式ではないアップロード手段は避けてください。

本人確認済みのアカウントがハッキングされることはありますか？

はい。KYCは、強固なパスワード、二要素認証、出金管理、フィッシング対策に取って代わるものではありません。

KYC審査に時間がかかるのはなぜですか？

書類が不鮮明、情報が一致しない、制裁対象者のスクリーニングで誤検知が生じる、資金源の情報が求められる、手動審査が必要となる場合などに、審査に時間がかかることがあります。

オンラインKYCなしで取引できますか？

セルフカストディ型または許可不要のツールの中にはKYCを求めないものもありますが、規制対象サービスでは商品、法域、リスクレベルに応じてKYCが必要となる場合があります。

まとめ

デジタル資産サービスは遠隔で利用者を登録し、国境を越えて運営されることが多いため、オンラインKYCは現代の暗号資産コンプライアンスの中核です。サービスの利用者が誰か、特定の商品を利用する資格があるか、アカウントの行動が想定されるリスクプロファイルに合っているかを確認するのに役立ちます。暗号資産事業者にとって、オンラインKYCはAML/CFTプログラム、制裁対象者のスクリーニング、トラベルルールの遵守、詐欺防止、アカウントセキュリティ、規制上の信頼を支えます。利用者にとっては、限度額の引き上げ、法定通貨サービス、カストディ、トークン化資産、機関投資家向け商品、より確実なアカウント復旧を利用するうえで役立つ場合があります。手続きには、本人確認書類、自撮り写真、生体検知、住所証明、実質的所有者情報、資金源、ウォレットのスクリーニング、継続的なモニタリングが含まれる場合があります。オンラインKYCは完全ではありません。プライバシーやデータ漏えいのリスク、誤検知、利用者の負担、標準的な書類を持たない人の利用制限につながる可能性があります。ディープフェイク、盗難書類、合成ID、フィッシングページによる攻撃を受ける場合もあります。そのためKYCは、単なる書類アップロード欄ではなく、慎重に設計されたリスクベースの仕組みとして運用する必要があります。適切なオンラインKYCは、プラットフォームと利用者の両方を保護します。不適切なオンラインKYCは、過剰なデータを収集し、誤った人物を承認し、正当な利用者を拒否し、機微な本人確認情報を漏えいさせる可能性があります。暗号資産ユーザーはKYCの要求を慎重に扱い、公式の安全な手段を通じてのみ書類を提出してください。他人のためにKYCを完了したり、認証済みアカウントを共有したりしてはいけません。暗号資産事業者は、個人情報を保護し、本人確認ツールを検証し、登録後も利用状況を監視し、詐欺や規制の変化に合わせて管理策を更新する必要があります。暗号資産のオンラインKYCは今後、より優れたデジタルID、強固なプライバシー保護、改善されたブロックチェーン分析、より精密なリスク評価、明確な国際基準を組み合わせていくと考えられます。目指すべきなのは、最大限の監視でも、本人確認を一切行わないことでもありません。正当な利用者が安全に参加でき、有害な活動を隠しにくくする、信頼できるアクセス環境です。