本人確認・デジタルIDニュース総まとめ【2026年9月】

本記事は、本人確認・デジタルID・認証に関するニュースを毎月まとめるシリーズです。2026年9月の主要な動きを時系列で整理したうえで、10月上旬までに判明した続報も反映しました。

今月の総括

2026年9月は、パスキーが「導入」から「必須化」へと移行した月でした。MicrosoftがEntra IDでパスキーを既定の認証方法とし、国内でも証券会社や暗号資産交換業者がログインや出金時のパスキー認証を相次いで必須化しました。

一方で、AppleやGoogleのアカウント乗っ取りを経路とする証券口座の不正取引が判明し、同期型パスキーの安全性が同期先アカウントの保護強度に左右されるという論点が表面化しました。

インシデントではパーク24が本人確認書類画像 約160万アカウント分の流出を公表しており、券面画像の提出に依存する本人確認方式のリスクが改めて問われています。

認証技術：パスキー必須化とレガシーMFAの終了

日付	トピック	概要	出典
9月1日	Microsoft：Entra IDでパスキーを既定化し、Microsoft提供のSMS・音声認証は2027年2月に終了	認証方法ポリシーでSMSまたは音声が有効なユーザーを自動的にパスキーの対象とし、登録キャンペーンでパスキー登録を促す動作が管理者の操作なしに適用される。Microsoft GraphのpasskeyDynamicMigrationで自動有効化は2027年2月1日まで延期できるが、SMS・音声認証の提供終了自体は延期できない。終了するのはMicrosoftが提供するSMS・音声の配信で、外部のテレフォニープロバイダーを構成すれば継続利用できる。グローバル管理者と外部ユーザーの終了日は2027年7月1日	Microsoft Learn
9月8日	GMOクリック証券：パスキー認証を順次必須化	6月13日から段階的に導入してきたパスキー認証を、9月8日以降順次必須化。設定期限までに未設定の場合は取引や出金など一部機能が制限される。同社は2025年10月にSMS・メールによる追加認証を必須化しており、所有物認証からフィッシング耐性のある認証への移行にあたる	GMOクリック証券
9月20日	岡三ビジネス＆テクノロジー証券：ログイン時のパスキー認証を完全必須化	9月20日18時より、口座番号・ログインパスワードによるログインを廃止。パスキー未登録の顧客はログインおよびすべての取引が利用できなくなる	岡三ビジネス＆テクノロジー証券
9月24日	Coincheck：NFTの外部出庫でパスキー認証を必須化	暗号資産の送金・日本円の出金に続く必須化の拡大で、9月30日以降はパスキー未設定の場合にNFTの外部出庫操作を完了できない仕様にすると告知した	Coincheck
9月26日	北辰物産：取引ツールにパスキー認証を導入し、2027年1月6日に必須化	取引ツール「D-station」「Presto」のログインにパスキー認証を導入。設定猶予は2027年1月5日までで、翌6日以降はパスキー未登録では取引画面にログインできなくなる	北辰物産
9月28日	ウェルスナビ：ログイン・顧客情報変更・出金のすべてでパスキー認証を必須化	ログインと顧客情報の変更はすでに必須化済みで、2026年10月以降はアプリからの出金依頼も必須化する。パスキーを利用できない顧客には代替の認証手段を用意し、利用可能な顧客にも公的個人認証（JPKI）などフィッシング耐性の高い認証手段の提供を計画している	PR TIMES（ウェルスナビ）

三菱UFJ eスマート証券（旧auカブコム証券）も、ログイン時のパスキー利用の必須化を2026年10月末を目標に準備しており、移行状況を踏まえて実施時期を判断するとしています。

9月24日に判明した証券口座の不正取引は、パスキーというプロトコルの欠陥ではなく、パスキーやパスワードを保存していたプラットフォームのアカウントが乗っ取られたとみられる事案です。クラウド同期型パスキーの安全性は同期先アカウントの保護強度と復旧経路に依存するため、認証基盤の設計では、当人認証の方式選定と同じ比重でアカウントリカバリー経路の強度を検討する必要があります。

本人確認・eKYC：2027年4月の法改正を見据えた動き

日付	トピック	概要	出典
9月2日	ELEMENTS：店頭で本人確認を完結できる「対面KYC専用アプリ」の開発を開始	2027年4月1日施行の犯罪収益移転防止法施行規則および携帯電話不正利用防止法施行規則の改正により、対面の本人確認でもICチップ読み取り・読み取った情報の画面表示・券面との照合が原則必要になることへの対応。マイナンバーカード・運転免許証・在留カード等に対応し、事業者側のシステム開発を不要とする構成で2026年12月ごろの提供開始を予定する	PR TIMES（ELEMENTS）
9月28日	xID：SMBC信託銀行のWEB口座開設へ本人確認アプリ「xIDLite」を提供	SocioFutureの「Accordia」にxIDの本人確認APIを組み込み、マイナンバーカードのICチップをスマートフォンで読み取って公的個人認証（JPKI）による本人確認を行う。公開鍵による署名検証でICチップの真正性を検証する	PR TIMES（xID）
9月29日	Daon Japan：世界200カ国対応のグローバル本人確認サービスを日本で提供開始	各国のパスポート・政府発行ID・運転免許証に幅広く対応し、偽造パスポートやなりすましの検知機能を備える。GDPRをはじめとする各国法規制および携帯電話不正利用防止法に準拠し、外国人短期滞在者や海外居住者の本人確認需要に対応する	PR TIMES（Daon Japan）

ログインセキュリティ・インシデント

日付	トピック	概要	出典
9月9日・16日	ApplyNow：採用管理SaaSへの不正アクセスでマイナンバー等が流出した可能性	内部で利用していたデータ分析ツールの脆弱性を悪用され、8月9日から9月7日にかけて侵入された。電子雇用契約「ApplyNow Sign」が保持するマイナンバー・基礎年金番号・金融機関口座情報が対象に含まれる。ApplyNow本体が公表する対象件数は10月上旬時点でも調査中で、同社サービスを利用していた自治体・企業15組織以上が個別の公表を続けている（所沢市1,701件、入間市1,276件、吉野家グループ4,998件など）	piyolog
9月11日	デジタル庁：ガバメントソリューションサービス（GSS）への不正アクセスで職員等の個人情報が漏えいした可能性	VPN機器の脆弱性を悪用され、保守運用担当者のアカウントによってサーバー上の大量のファイルへアクセスされた。各府省庁等の職員とその業務に携わった人に関する個人情報 約24.6万件が対象で、マイナンバー・金融機関口座情報・年金番号は含まれない。6月25日に大量アクセスを検知し、7月9日にVPN機器の脆弱性を悪用した不正アクセスと判明したうえで、公表は9月11日となった	デジタル庁
9月16日・25日	Helpfeel：Gyazoの画像アップロードサーバーの脆弱性を悪用され大規模流出	ユーザー関連データ約2,362万件（うちメールアドレス登録済みが約562万件）と、画像メタデータ約4.9億件が流出。第二報では削除済み画像のメタデータ約1.74億件も対象と判明した。メタデータにはOCRテキスト、EXIFの位置情報、非公開画像のパスフレーズのハッシュ値が含まれ得るため、スクリーンショットに写り込んだ認証情報の二次利用が懸念される	Helpfeel 第一報、第二報
9月24日	証券口座の不正取引でAppleやGoogleのアカウント乗っ取りが判明	プラットフォームのアカウントに保存された証券口座のパスキーやパスワードが悪用されたとみられ、日本証券業協会は加盟する証券会社に顧客への注意喚起を求めた。同協会は投資家向けページで、パスキーをクラウドへバックアップする場合はApple・Googleのアカウント自体にも多要素認証を設定するよう呼びかけている	日本経済新聞、日本証券業協会
9月25日	スマレジ：スマレジECの管理画面ログイン機能の脆弱性を悪用される	影響を受けた可能性のある顧客環境は4社。顧客情報・受注情報に加え、管理者のログインID・暗号化済みパスワード、WordPressプラグインの秘密鍵が閲覧・取得された可能性がある。脆弱性は9月18日に修正済み	スマレジEC
9月28日・29日	パーク24：タイムズカーへの不正アクセスで本人確認書類画像 約160万件が流出	9月25日に検知した不正アクセスにより、退会者を含む約660万件のアカウント情報が漏えい。第3報では、運転免許証画像・現住所確認書類画像・学生証画像・家族確認書類画像が約160万アカウント分流出したと公表された。パスワードは復元できない形式で保管していたとしている。侵入経路と原因は10月上旬時点でも公表されていない	パーク24 第2報、第3報
9月28日・10月9日	手間いらず：予約管理システムへの不正アクセスと、予約客への直接的なフィッシング	9月21日深夜以降、宿泊施設の予約者に対しWhatsApp・メール・SMSで不審なメッセージが届く事象が発生。予約内容を把握したうえでクレジットカード情報の再入力や緊急の支払いを求める手口だった。10月7日の第二報を経て、10月9日の開示で閲覧または取得された可能性のある予約者は最大 約445万人に上ると公表された	手間いらず 第二報、10月9日開示

なお、9月に集中した一連の事案を受けて、10月上旬には個人情報保護委員会をはじめとする複数の機関が注意喚起を公表しています。認証・権限設計に関わる要請の内容は安全管理措置の見直しで何が変わる？で解説しています。

スタジオメッシュは、本人確認・認証・ID管理の設計から運用までを支援しています。マイナンバーカードを使った本人確認を自社サービスへ組み込むならマイナブリッジ、パスキー導入やリカバリー経路を含む認証設計の見直しはサービス紹介をご覧のうえ、お気軽にご相談ください。