セキュリティ

ディープフェイクで電子証明書を不正取得。1秒の遅延で素顔が露出

ビデオ通話でAIが顔を書き換え、他人になりすまして電子証明書を取得する。38回繰り返されたその手口が崩れたのは、ソフトウェアがたった1秒だけ処理落ちした瞬間だった。

情報の灯台

2026年8月13日 08:4900

たった1秒の遅延が暴いた素顔

スペイン国家警察が、ディープフェイク技術を使って他人名義の電子証明書を不正取得しようとした男をムルシアで逮捕した。

容疑者は30人以上の実在する市民の身分証（DNI）を偽造し、電子証明書の発行を認可された民間企業のビデオ本人確認を突破しようとした。試行回数は38回。複数回、実際に証明書の発行に成功していたという。

スペインをはじめとするEU諸国では、電子証明書は公開鍵基盤（PKI）に基づいて発行され、法的に有効な電子署名として機能する。契約の締結、行政手続き、金融取引まで、対面の窓口に出向かずに済む「デジタルな身分証明」の根幹だ。他人名義の証明書を手にすることは、その人として法的行為ができることを意味する。

スペイン国家警察によれば、容疑者は取得した証明書を使って経済的な詐欺を行う意図があった。

発覚のきっかけは、あまりにも些細だった。ビデオ通話中、顔変換ソフトウェアが一瞬だけ処理に遅延を起こした。ディープフェイクの「マスク」が約1秒間消え、カメラの前にいた容疑者の素顔が録画に記録された。証明書発行会社はセッション全体の映像を保存しており、その1秒が捜査の決定的な手がかりになった。

ホログラムまで偽装する手口

手口は手が込んでいた。

容疑者はビデオ通話に自ら出席し、偽造したDNIを手に持ってカメラの前で動かしていた。その間、AIがリアルタイムで顔の特徴を書き換え、身分証の写真と一致するように変換していた。カメラの前で自然に動き、話し、オペレーターの指示に応答しながら、顔だけが別人になる。ライブ映像に対するリアルタイムの顔変換だ。

物理的な偽装も周到だった。家庭用のスポットライトに色付きの電球を配置し、本物のDNIを光にかざしたときに現れるホログラムの反射を再現した。偽造した身分証をウェブカメラの前でかざしながら、照明の角度と色でセキュリティ要素のきらめきを模倣する。

スペイン国家警察の発表によれば、容疑者は「カラー電球を戦略的に配置した家庭用スポットライトを使い、物理的な身分証明書を実際の光にかざした際に現れるフラッシュやセキュリティ要素を模倣した」。

ディープフェイクによる電子証明書の不正取得フロー

※スペイン国家警察の発表に基づく事件の流れを図示

さらにVPNで接続元を匿名化し、セキュリティ要素が加工された偽造書類を併用していた。ビデオ通話の本人確認を、デジタルと物理の両面から同時に欺く構成だった。

320回線、24台の端末

容疑者の匿名化は徹底していた。

逮捕後の家宅捜索で、高度な暗号化が施されたノートPC、複数のスマートフォン、記憶装置、各種書類が押収された。捜査を複雑にしたのは、容疑者が使っていた通信インフラの規模だ。320以上の電話回線が24台の端末に紐づけられており、その大半が盗まれた他人の身元で契約されていた。

警察はこれらの回線の販売元をムルシア地方の小売店まで追跡している。電子証明書の不正取得だけでなく、通信回線の契約そのものにも他人の身元が使われていたことになる。偽造された身分が、さらなる偽造のインフラになるという入れ子構造だ。

容疑は「公文書偽造の継続的犯罪」。38回の試行のうち何回が成功したかは公表されていないが、「複数回」証明書が発行されたと警察は認めている。

「顔が本物か」では足りない

この事件が突きつけるのは、ビデオ通話による本人確認が構造的な限界に達しつつあることだ。

ディープフェイクによるKYC（本人確認）の突破は、もはや珍しくない。Gartnerは「2026年までに企業の 30% が、AIによるなりすましに対して顔認証の単独利用を信頼できないと判断する」と予測していた。

iProovの2025年脅威レポートによれば、仮想カメラを使ったインジェクション攻撃は2024年に前年比 2,665% 増加した。カメラに映る顔が本物かどうかを確認する段階は、もう過ぎている。

日本でもこの流れは進んでいる。デジタル庁は本人確認ガイドライン「DS-511」で、画像ベースの確認が偽造コストの低下で脆弱になっていることを明記した。犯罪収益移転防止法に基づく「ホ方式」（顔画像＋本人確認書類画像の送信）は2027年に原則廃止される予定で、マイナンバーカードのICチップに格納された電子証明書を暗号的に検証するJPKI（公的個人認証）に一本化が進む。