🔬 Deep Dive｜IDScan とタイムズカー、預けない本人確認は来るか

9月25日から10月5日までの10日あまりで、タイムズカーで約660万アカウント (うち免許証などの画像が約160万件)、焼肉きんぐの公式アプリで約1,079万件、大和証券の委託先で約11万人分の個人情報が流出した。海の向こうでは、米国の本人確認業者 IDScan.net が9月に不正アクセスを公表し、米国とカナダの運転免許証1億5,300万件超をうたう闇のサービスとの関わりを米連邦捜査局 (FBI) が調べている。

タイムズカー第2報 (約660万アカウント・漏えい項目)カーシェアリングのタイムズカー

同じ1年、暗号資産市場ではプライバシーを売りにする銘柄が BTC と逆の方向に動いた。Zcash (ZEC) は Hyperliquid の先物の価格で1年前の約8倍、BTC は同じ期間に約3割下げている。

単なる漏えいニュースではない。企業が個人情報を「預かる」ことのコストが、日本の生活の中でも、国境の外でも見える形になった。その裏側で、データを預けずに済ませる技術に市場が値段をつけ始めている。この記事は、漏えいの続発が暗号資産とブロックチェーンの普及に追い風なのか逆風なのかを、両方の側から検分する。

第一に、破られたのは本体ではなく周辺だった

国内の直近の事案を入口で並べると、共通点がはっきりする。

大和証券の件は、問い合わせ管理を委託していたスカラコミュニケーションズのサーバーへの不正アクセスだった。同社のシステムへの侵入は確認されていない。9月11日にデジタル庁が公表した約24.6万件の流出は、保守用の VPN 機器の脆弱性を突かれたもの。日本経済新聞社が10月4日に公表した1,646人分は、業務で使う Google Workspace への不正ログインが起点だった。タイムズカーでは、本人確認が済んだ後も退会者分まで7年間保管していた免許証などの画像が漏れた。

委託先、保守の通路、業務用のクラウド、確認後に残した画像。どれも本業の外側にあった。

暗号資産の世界はこの型を先に経験している。米コインベースは2025年5月、海外の顧客サポート業務に関わる委託先の従業員らが買収され、顧客データを持ち出されたと米証券取引委員会 (SEC) への臨時報告 (8-K) で開示した。漏れたのは氏名・住所、社会保障番号の下4桁、政府発行の身分証の画像、残高や取引履歴などで、パスワードや秘密鍵は含まれていない。同社が見積もった対応費用は約1.8億〜4億ドルだった。ハードウェアウォレットの Ledger も2020年、マーケティング用のデータベースから顧客の連絡先と、一部の顧客の住所を流出させている。

入口が周辺にあるという点で、国内の事案と暗号資産業界の事案は同じ形をしている。海の向こうでは、同じ形が桁を変えて起きていた。

第二に、米国では確認の請負先に免許証の山ができていた

IDScan.net はルイジアナ州の会社で、身分証を読み取って本物かどうかと年齢を確かめる仕組みを店や企業に提供している。同社が9月4日に掲載し、9月29日に更新した告知によると、2026年4月4日から9月2日まで、第三者が同社のクラウド環境の一部に入り込んでいた。対象は身分証の確認サービス VeriScan で、氏名、連絡先、生年月日、運転免許証やパスポートなどの番号が含まれうるとしている。何人分かは示していない。

規模の手がかりは別の場所から出た。米国の記者ブライアン・クレブス氏は9月1日、ロシア語圏の犯罪フォーラムで宣伝された闇のサービス「Nexus」が、米国とカナダの運転免許証1億5,300万件超、ほかの身分証1,000万件超などを持つとうたっていると報じた。件数は売り手の申告で、独立に確かめられたものではない。ただクレブス氏は自分の免許証が無料の見本として出ているのを見つけ、許可を得て調べた知人のうち9人分も見つけている。記録には表と裏のスキャン画像や、偽造を見分けるための赤外線・紫外線の画像が含まれ、24時間で約40万件増えていた。閣僚の免許証も含まれていたという。

FBI のニューオーリンズ支局が捜査を始め、Nexus は報道の後に姿を消した。カナダのプライバシー・コミッショナーも9月21日、運転免許証などのデジタルスキャンが持ち出されたとして調査を始め、事故の時点の安全管理と本人への通知が十分だったかを調べるとしている。日本では NHK が10月9日に報じた。

IDScan の顧客は広い。クレブス氏の報道によれば、同社は19州で1,000を超える大麻の販売店の確認を担い、取引先にはレンタカーの Hertz、小売の Target、カジノの Caesars Entertainment などが並ぶ。同社は月に2,100万件を超える確認を、2万を超える拠点で処理しているとしている。

その Caesars は、2025年2月から VeriScan を使っておらず、IDScan に自社のデータを持ち続ける権限はなかったと説明した。契約が終わった顧客の記録まで残っていたのかどうかは、IDScan の調査の結論を待つことになる。

タイムズカーは、本人確認が済んだ後も退会者の分まで画像を7年間保管していた。IDScan の告知は画像に触れていないが、闇で売られていた記録には免許証の画像が並んでいた。確認という仕事が終わった後も、確認の材料が残る。漏れるのはその残りだ。

桁を変えるのは件数だけではない。売られていたのは顔写真の付いた公的な身分証で、偽造を見分けるための画像まで揃っている。本人確認を書類の写しで済ませる仕組みにとって、これは他人になりすますための材料が大量に出回ったことを意味する。

第三に、暗号資産の顧客名簿は「誰が何を持っているか」の地図になる

国内の事案と暗号資産業界の事案で違うのは、漏れた記録が何を意味するかだ。焼肉きんぐの会員名簿が漏れても、そこから分かるのは「焼肉チェーンのアプリを使っている人」までだ。コインベースの顧客名簿は違う。氏名と住所と身分証の画像に、残高と取引履歴が並ぶ。誰が、どこに住み、どれだけの暗号資産を持っていそうかが一枚になる。

暗号資産は本人が鍵を持てば銀行を通さずに保有できる。ところが取引所で売買するには、各国の資金洗浄対策の規則に沿って本人確認を受ける必要がある。自分で持つための入口で、いちばん詳しい個人情報を差し出す。この構造は、暗号資産が広がるほど大きな名簿を生む。

名簿の取り出し方も、侵入だけではない。英国の Revolut は9月12日、政府機関の正規のメールドメインから届いた偽の情報開示請求に応じ、一部の顧客の情報を第三者に渡したと認めた。TechCrunch が報じた顧客への通知によると、渡ったのは生年月日や住所、パスポートや運転免許証の写し、本人確認の自撮り、取引の履歴などだった。人数は「限られた数」とだけしている。暗号資産の調査で知られる ZachXBT 氏は、資産の多い利用者を狙ったものに見えると指摘した。

ここに普及への逆風が一つある。日本の漏えい続発で「企業にデータを預けるのは危ない」という感覚が広がるほど、その感覚は暗号資産の取引所にも向く。取引所は、免許証の画像と資産の残高を同時に持つ事業者だからだ。

第四に、市場は先にプライバシーへ値段をつけた

一方で、市場の動きは逆を指している。

銘柄	1年前 (2025/10/05)	90日前 (7/07)	2026/10/05	1年の騰落	90日の騰落
ZEC (Zcash)	$166	$484	$1,320	約8倍	+173%
XMR (Monero)	$321	$336	$546	+70%	+63%
DASH	$35	$35	$60	+69%	+69%
BTC	$123,570	$63,355	$86,192	−30%	+36%

ZEC・XMR・DASH・BTC は Hyperliquid の先物 (perp) の日足終値で、10月5日は取得時点の価格。ZEC は9月26日に $1,653 をつけ、日足が取れる2025年8月末以降で最も高い水準に達した後、約2割下げた位置にいる。

Midnight の NIGHT は Hyperliquid に上場していないため、Binance の現物市場 (NIGHT/USDT) の日足で見る。10月5日は $0.0468 で、7日前の $0.0287 から +63%、30日前の $0.0224 から +109%。8月18日の $0.0170 から約2.7倍に戻り、Binance 上場直後の3月16日につけた $0.0519 の手前まで来ている。ZEC が90日かけて上げてきたのに対し、NIGHT は直近1か月で急に動いた。

この値動きを日本の漏えいが引き起こしたとは言えない。値動きの主体は世界の市場で、日本の事案はその一部ですらない。言えるのは、「見せないこと」に払う意思が市場にあり、それが BTC の下落局面でも崩れていないことだ。プライバシーは、規制の文脈では疑いの対象として扱われ続けてきた。少なくとも価格の上では、需要として扱われ始めている。

技術の側も止まっていない。Zcash は10月4日、ブロックの間隔を75秒から25秒に縮めるネットワーク更新 NU7 を公開テストネットで有効化したと報じられている。開発者は10月20日にテストネットの結果を見てメインネットの有効化を最終判断し、11月5日の稼働を目指している。Monero は、匿名性の仕組みを大きく入れ替える FCMP++ と新しいアドレス方式 Carrot の負荷試験用ネットワークを、10月5日にブロック高 3,102,800 でテストネットから分岐させた。メインネットの時期はまだ示されていない。

第五に、隠す技術と、必要な分だけ示す技術は違う

プライバシー系のチェーンは一括りにされがちだが、漏えいの文脈で効く場所が違う。

Zcash と Monero が守るのは、主に送金の中身だ。誰が誰にいくら送ったかを第三者から見えなくする。取引所で本人確認を受けた後の送金の履歴が、チェーン上で他人に追跡されにくくなる。ただし、取引所が持つ免許証の画像や住所は、チェーンの外の話なので守れない。

Midnight の設計は別の場所を狙っている。公式の技術文書は、ゼロ知識証明で機微なデータを明かさずに正しさを検証させ、利用者が選んだ情報だけを開示できる (選択的開示) 仕組みとして説明している。9月28日の公式ブログによると、メインネットで誰でもスマートコントラクトを公開できる段階に入った。

ここで国内の事案に戻ると、選択的開示が触れるのは、まさにタイムズカーで漏れた種類の情報だ。カーシェアが知りたいのは「有効な運転免許を持っているか」で、免許証の画像そのものではない。条件を満たすという証明だけを受け取り、画像は持たない。この形が実用になれば、7年分の画像を抱えるという設計そのものが要らなくなる。

IDScan の取引先の多くも同じ問いを抱えている。大麻の販売店が確かめたいのは「21歳以上か」と「その身分証が本物か」の二点で、免許証の表と裏の画像を持ち続ける必要はない。

年齢を確かめるための写しが漏れたのは、これが初めてではない。米国の Discord は2025年10月、年齢の条件で使えなくなった利用者の異議申し立てを審査していた委託先 5CA から、約7万人分の政府発行の身分証の画像が漏れた可能性があると公表した。年齢確認を求める場面が増えるほど、写しの山は増える。

この形は、チェーンの外ではもう実装の段階に入っている。Google は2025年4月、Google ウォレットの年齢確認にゼロ知識証明を組み込み、その技術を他のウォレットやサービスにも公開すると発表した。欧州委員会の年齢確認の仕様は2026年8月の改訂で、ゼロ知識証明を標準の提示方法に定めた。フランスやイタリアなど7か国が、2026年中に各国のデジタル ID ウォレットで試行している。

技術だけで片づく話ではない、という指摘も強い。米国の電子フロンティア財団 (EFF) は8月、欧州で公開された試行版のアプリにはゼロ知識証明の機能が入っておらず、同じ「18歳以上」の証明を何度も使い回せる抜け道も見つかったと書いた。証明を出す側に利用の記録が集まり、そこが新しい攻撃の的になる危険も挙げている。

もう一つの壁は、記録を残すこと自体が義務になっている場面だ。米国の銀行は、顧客の本人確認に使った身分証の種類や番号を記録し、作成から5年間保存するよう定められている。金融の本人確認では、ゼロ知識証明を入れても記録の山はなくならない。変えられるのは、条件を確かめるだけで済む場面からになる。

日本では、確認の方式そのものが動く。2027年4月1日に施行される犯罪収益移転防止法の改正規則は、対面の本人確認で、IC チップの入った写真付きの身分証について、提示を受けるだけでなくチップの情報を読み取ることを求める。券面を目で見て写す確認から、発行元がチップに書き込んだ情報を読む確認へ移る。写しの価値が下がる方向だ。

まだ距離はある。運転免許の有効性を証明として発行できるのは、免許を出す側の行政だ。発行者が証明の形式に乗らない限り、チェーン上の仕組みだけでは成り立たない。そして技術がそれを可能にしても、預かる側の事業者が画像を手放す理由は、規制か費用か、どちらかが作るしかない。

規制は両方向に動いている

その規制は、プライバシー技術にとって追い風と逆風の両方を含む。

日本では2026年7月、改正個人情報保護法が成立・公布された。課徴金を新設し、委託を受けた事業者の義務も見直した。個人情報保護委員会は細則の検討を進めていて、課徴金の論点は10月中旬に議論する工程を示している。漏えいの「費用」が上がる方向だ。データを持つことの費用が上がれば、持たない設計は経済的に選ばれやすくなる。

一方、欧州連合の資金洗浄対策規則 (AMLR) は2027年7月から、暗号資産サービス事業者が匿名口座や、匿名性を高める暗号資産を扱う口座を保持することを禁じる。対象は事業者で、個人が自分で保管することまで禁じるものではない。それでも取引所という入口から、送金を隠す種類の銘柄は外れていく方向にある。

ここで二つの技術の扱いが分かれる。送金を見えなくする仕組みは、資金洗浄対策と正面からぶつかる。必要な情報だけを示す仕組みは、規制当局に「示す」ことを前提に設計できる。漏えいの続発が普及の追い風になるとすれば、より強く吹くのは後者の側だ。

預ける時代の費用を、誰が払うか

ここまでを構造として読み直す。

インターネットの20年は、本人確認と利便性のために、企業が個人の記録を集めて持つ時代だった。漏えいはその副作用で、費用の大部分は漏れた本人が払ってきた。住所も生年月日も、事故のたびに取り替えられない。

いま起きているのは、その費用の付け替えだ。日本では課徴金という形で、事業者の側へ費用が移り始めた。市場では、見せない技術に値段がついた。両者は別々に動いているが、向いている方向は同じで、記録を持つことが資産から負債に変わりつつある。

暗号資産とブロックチェーンにとっての分岐点はそこにある。取引所が本人確認の画像を大量に抱える「預かる」型のままなら、国内外で続く漏えいは普及への逆風として効く。証明だけを受け取り記録を持たない型に移れるなら、同じ続発が「なぜブロックチェーンなのか」への具体的な答えになる。

次に見るもの

10月中旬・個人情報保護委員会: 課徴金の算定率と対象の線引き。委員会の会議資料ページで、算定の基準になる売上や違反の範囲がどこに置かれるかを見る
10月中旬・タイムズカー: 9月29日から「2週間程度を目処」とした詳細の案内と、続報で出すとした補償方針・再発防止策。本人確認書類の画像の保管期間を変えるかどうかが、業界の基準を左右する
IDScan.net の告知ページ: 影響を受けた人数。9月29日の更新でも件数は示されていない。告知の次の更新や米国の州の司法長官への届出で、売り手の申告 (1億5,300万件超) と同社の数字がどこまで重なるかを見る
2026年末・欧州連合: 加盟国がデジタル ID ウォレットを市民に提供する期限。年齢確認を試行する7か国の公開版に、ゼロ知識証明が実際に入るか
10月20日・Zcash: NU7 のメインネット有効化の最終判断。11月5日の稼働に進むか
Monero の負荷試験ネットワーク: FCMP++ と Carrot の試験の結果と、メインネットの時期の提示
Midnight の公式ブログ「State of the Network」: 次のフェーズの日付が示されるか。現時点の公式ブログは今後の日付を書いていない

ことば

選択的開示 — 持っている情報のうち、相手に必要な部分だけを示す考え方。ゼロ知識証明と組み合わせると「20歳以上である」「有効な免許を持つ」といった事実だけを、元の書類を渡さずに証明できる。本人確認書類の画像を集めて持つ今の方式の代わりになりうる。
ゼロ知識証明 — ある主張が正しいことを、その根拠となるデータを明かさずに相手に確かめさせる暗号の技術。Zcash の送金の秘匿や、Midnight の選択的開示の土台になっている。
AMLR — 欧州連合の資金洗浄対策規則。2027年7月から適用され、暗号資産サービス事業者が匿名性を高める暗号資産の口座を保持することを禁じる。個人の自己保管は対象外。

🔗 一次ソース