“個人情報をつなぎ合わせたフランケンシュタイン”が巨額の被害を生み出す～「合成ID詐欺」対策で個人ができること

個人情報を継ぎはぎした「合成ID詐欺」が猛威を振るっています。

　私たちの生活は急速にデジタル化が進み、オンラインでの取引や手続き、コミュニケーションが当たり前となりました。しかし、その便利さの裏で個人情報が出回りやすくなり、新手の詐欺行為が増えていることも見逃せません。今、注目を集めているのが「合成ID詐欺（Synthetic Identity Fraud）」です。

「合成ID詐欺」はフランケンシュタインのようなモンスター

　合成ID詐欺は、実在の人物から部分的に盗んだ個人情報と、偽造した情報や別の人物のデータを組み合わせ、まるで本物のように見える架空の身分のIDを作り出す手口です。従来の「なりすまし詐欺」が特定の個人になりすますかたちだったのに対し、合成ID詐欺では複数の情報を巧みに混ぜ合わせるため、検知システムが見破りにくいのが特徴です。自分の情報が悪用されていることに気付きづらいのも面倒なところです。

　合成IDは短期的に使い捨てされるもののほか、少額のクレジット利用を積み重ねて信用度を高め、信頼できる顧客であるように装うケースも多く報告されています。いわゆる「スリーパー詐欺」と呼ばれる手口で、ある程度まで信用度が向上した段階で、高額のローンやクレジット枠を一気に使い、詐欺行為が発覚する前に逃亡します。金融機関側からすると、こうした損失は単に「貸し倒れ」や「信用損失」として分類されることもあるため、被害の全容が正確につかみにくいという現状があります。

　近年、このフランケンシュタインのようなモンスターがとても大きな被害を出しています。FBIのインターネット犯罪苦情センター（IC3）が発表したネット詐欺の被害総額は2022年に103億ドル、2023年は125億ドルと約10％増加し、2024年はさらに増えていると予想されています。中でも合成ID詐欺は特に急増しており、ID認証ソリューションなどを手掛ける米Socureでは、2024年には50億ドルの損害が出ると予測しています。さらに、すでに米国の新規口座詐欺の8割を合成ID詐欺が占めているとのことで、もはや特殊な事例というわけではなく、誰もが巻き込まれる可能性のある深刻な社会問題となりつつあります。

　合成ID詐欺がここまで拡大した理由の1つが、生成AIの登場です。顔写真や身分証明書をディープフェイク技術で偽造し、音声までも模倣してしまう例が増えています。何気なくSNSに投稿された1枚の写真、間違い電話を装って短時間だけ応答させた声など、何らかの方法で手に入たたわずかなデータさえあれば、それをもとに偽造書類を作り上げられるため、被害は急拡大しているのです。

　さらにSNSやダークウェブ上では盗まれた個人情報が大量に売買されているため、詐欺師たちの情報入手コストはますます下がっています。以前は本人確認に有効だと考えられていたナレッジベース認証（過去の住所や電話番号などを問う方法）も、漏えいデータやSNSの投稿から容易に答を割り出せてしまうため、有効性が低下しているのです。

　合成ID詐欺のターゲットは多岐にわたります。クレジットカードや銀行口座の新規開設だけでなく、自動車ローンの契約に合成IDを使って高級車を購入し、そのまま逃亡するケースも少なくありません。公共機関や自治体のシステムに登録し、給付金や各種手当を不正受給することもあります。特に子供や高齢者、ホームレスなど、クレジット履歴やネット上での動静を確認しにくい層の情報が狙われやすいと報告されています。

　実際、Mastercardなどの大手の金融企業は、AI駆動型の不正検知システムや行動分析ツールへの投資を強化しています。合成ID詐欺を見破るには、生体認証やデジタルフットプリント（オンラインでのアクセス記録やデバイスの操作記録など、デジタルで残る行動記録）の分析など、多層的なアプローチが欠かせません。申請時に提出された身分証明書の真偽をチェックするだけでなく、アクセス元のIPアドレスや過去の取引履歴、ソーシャルメディアとの関連性などを総合的に判断することで、詐欺の兆候を早期に察知しようとする動きが広がっています。しかし、詐欺の手口も日々進化しているため、一度導入した対策もすぐに時代遅れになる可能性があり、いたちごっこが続くというのが実情です。

「合成ID詐欺」対策で個人ができること

　こうした状況の中、私たちは個人レベルでも対策を講じることが重要になっています。そもそも合成ID詐欺のベースとなる個人情報はどこから漏れているのでしょうか。もちろん、クレジットカード会社やネットバンキングなどの大規模なデータ漏えい事件が原因のこともあるでしょう。しかし、私たちが日常的に利用しているSNSや通販サイト、あるいはスマホアプリに登録した情報から少しずつ漏れている可能性もあるのです。特にSNSのプロフィール欄に自分の誕生日や住所、電話番号を気軽に記入している人は要注意です。自分では大した情報ではないと思っていても、詐欺師にとっては貴重な「素材」となるのです。

　対策としては、SNSの公開設定を見直し、必要がないなら友人など限定公開にすべきでしょう。また、余計な個人情報を公開しないことも肝に銘じてください。誕生日や住所、電話番号、家族構成などを投稿しないといった小さな気配りが、自分の個人情報の悪用リスク低減につながります。

　また、利用しているウェブサービスのアカウントに不正アクセスされてしまうと、致命的な情報漏えいに加え、金銭的被害が起きかねません。パスワードを複数のサービスでの使い回すのは厳禁です。特に金融関連やオンライン決済のアカウントは特に注意が必要で、可能な限り、多要素認証など安全性を高める手段を導入してください。

　フィッシング詐欺に気を付けることも基本中の基本です。銀行やクレジットカードを装った詐欺に引っ掛かり、認証情報や個人情報を偽のフォームなどに入力することで、情報が搾取されてしまいます。新しい手口の詐欺はそれだけで独立しているわけではなく、古典的な手口も組み合わせてきます。合成ID詐欺に限らず、詐欺被害を未然に防ぐためのキーワードは「ネットリテラシーの向上」です。日頃から詐欺の手法や事例を知り、知識を身に付けることで、自分の情報を守る行動を取ることが不可欠です。

NPO法人DLIS（デジタルリテラシー向上機構）

高齢者のデジタルリテラシー向上を支援するNPO法人です。媒体への寄稿をはじめ高齢者向けの施設や団体への情報提供、講演などを行っています。もし活動に興味を持っていただけたり、協力していただけそうな方は、「dlisjapan@gmail.com」までご連絡いただければ、最新情報をお送りするようにします。

※ネット詐欺に関する問い合わせが増えています。万が一ネット詐欺に遭ってしまった場合、まずは以下の記事を参考に対処してください
参考：ネット詐欺の被害に遭ってしまったときにやること、やってはいけないこと