先月、新しい銀行口座をオンラインで開設しようとしました。
パスポートをアップロードして。自撮りして。IDを顔の横に並べて持って。少し傾いて。3〜5営業日お待ちください。
手続きが終わったとき、どこかの知らないサーバーに、私の顔・パスポート番号・生年月日・自宅住所が保存されていました。そしてずっと思っていたんです——本当に、これ全部必要だったの？ それとも、誰もまだいい方法を見つけていないから、ただ渡してしまっただけ？
その疑問が、デジタルアイデンティティとゼロ知識証明（ZKP）の修士研究を始めてからずっと頭に残っています。調べれば調べるほど、答えは「おそらく、全部は必要なかった」に近づいていきます。私たちが構築してきた本人確認システムは、検証する側の確実性のために設計されていた——データを集めることが、その確実性への一番安いショートカットだったんです。ユーザーのことは後回しでした。
今、静かに何かが変わりつつあります。そしてそれは、多くの人が思っている以上に重要なことだと思います。
データの問題は、思っているより身近にある
技術の話に入る前に、少し現実の話をさせてください——日本の状況は、正直かなり深刻だと思っています。
東京商工リサーチ の調査によると、2024年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故は189件——前年比8%増で、調査を開始した2012年以降最多です。流出した個人情報の件数は1,586万人分、1年間で
。
そして私が読んで固まった数字があります。2012年から2024年までの13年間で、日本の上場企業による漏洩・紛失の累計は1億8,249万人分。これは日本の総人口の約1.5倍です。
個人情報保護委員会は2024年度の漏洩報告件数が1万9,056件——こちらも過去最多を記録しています。
さらに、LINEヤフーの問題があります。2024年、親会社のシステムを通じて個人データが漏洩していたことが明らかになりました。LINEは日本のほぼ全員が使っています。突然、この問いがとても具体的になりました——便利で信頼できるサービスにデータを渡すとき、そのデータはどこへ行くのか？
ここに痛烈な皮肉があります。アイデンティティを守るために作られたシステムが、アイデンティティデータが漏れる主な経路になっている。人々を確認するためのデータを一箇所に集めるほど、攻撃者にとっての標的が大きくなる。
もう一つ言っておきたいのは、生体認証データ——指紋・虹彩スキャン・顔のテンプレート——には特有の永続的なリスクがあるということです。パスワードと違って、指紋は変えられません。一度漏れたら、永久に漏れたままです。
なりすましの問題は、構造的に難しくなっている
日本語では、これを表す言葉があります：なりすまし。オンラインであなたのふりをする誰か。アカウントを乗っ取り、あなたの名前でメッセージを送り、不正な購入をする。抽象的な話ではなく、なりすましによる不正アクセスは日本のサイバー犯罪の中でも最も一般的なものの一つです。
そしてAIが、これを構造的に難しくしています。
ディープフェイクは顔を説得力を持って複製できます。AIは特定の人物のような文章を生成します。ボットは、従来の認証方法では信頼できる検出ができないほど人間の行動をシミュレートします。本人確認システムが答えるべき問い——「この人は本当に名乗っている人物か？」——は、解決するのがどんどん難しくなっています。
従来の対応は、より多くのデータを集めることです。より多くの書類。より多くの生体認証。コンプライアンス担当者とのビデオ通話。
しかし上で示した漏洩の数字が示すように、そのアプローチはただ標的を大きくするだけです。集めるデータが増えるほど、何か問題が起きたときのダメージも増える。
だから私はずっと考えていました：これとは全く異なるアーキテクチャが存在するのではないか？
ゼロ知識証明——何も見せずに、何かを証明する
研究の中で私が何度も立ち返る概念が、ゼロ知識証明（Zero-Knowledge Proof / ZKP）です。
この分野に詳しくない友人にはこう説明しています。
印鑑ってどういう仕組みか知っていますよね？書類に押印するとき、あなたは授権を証明しています——でも相手はあなたの印鑑そのものを持ち帰れない。授権の証明を受け取るだけで、印鑑自体は受け取れない。ゼロ知識証明はその考えをさらに先へ進めます：その事実を真にしている根拠となる情報を相手が受け取ることなく、何かが真であることを証明できるんです。
具体例を出しましょう。私が20歳以上であることを証明するために、現在のシステムでは実際の生年月日・氏名・物理的な書類を提出しなければなりません。ZKPベースのシステムなら「この人は20歳以上」という事実を暗号学的に検証された数学的な事実として証明できます——誕生日も、名前も、書類も、一切開示せずに。検証者は必要な確認だけを得る。私は他のすべてを手元に置いておける。
これはもう研究上の概念ではありません。ZKPは今日、ブロックチェーンのプライバシー層・分散型金融プロトコル・そして本人確認システムの中で動いています。問題は、暗号学者や開発者だけでなく、普通の人々の日常的な利用にまでスケールするかどうかです。
2025年のガートナーによる生体認証に関するレポートは、分散型モデルだけが規制要件とユーザーニーズを同時に満たせる唯一のアーキテクチャだと結論づけました——セキュリティ・本人確認の保証・プライバシー保護をすべて組み合わせて。この結論は、私が研究で読んできたあらゆるものと一致しています。
取り組まれていること：同じ問題への異なるアプローチ
現在、プライバシーを保護した本人確認に向けて複数のアプローチが活発に開発されています。どれも最終的な答えではなく、それぞれ異なる設計上の選択をしています。研究者として面白いと思うのは、哲学的な出発点がいかに異なるかです。
BrightID が問いかけるのは：書類や生体認証ではなく、人間の社会的なつながりの構造を通じてアイデンティティを検証できないか？ というものです。ユーザーは個人的に知っている人たちとつながり、ソーシャルグラフを形成します。アルゴリズムがそのグラフを分析して、ユニークな個人を特定し、本物のアカウントとボットや重複登録を区別します。生体認証データなし、政府発行の書類なし、機密情報の中央データベースなし。トレードオフとして、すでに確立したつながりを持っている人には機能しやすいが、インターネットに不慣れな人や、ネットワーク上に十分な接点がないコミュニティに住む人には、認証を得るのが難しくなります。BrightIDはWeb3コミュニティで、特にフェアなトークン配布とガバナンス投票において実際の採用を見せています。
私がこのアプローチで概念的に面白いと思うのは、現実の人間コミュニティにおける信頼の仕組みを反映していることです——あなたのアイデンティティは部分的に、あなたを知っていて保証できる人たちによって形成されている。課題は、多くの人の既存の関係がまだデジタルにマッピングされていない世界でその概念をスケールさせることです。
そして、私が最も時間をかけて研究したアプローチがあります。技術的なアーキテクチャが、授業で取り組んでいたものと直接つながっていたからです。
World ID——ドキュメントを読んで気づいたこと
私が World Network を知ったのは、ゼロ知識証明がスケールで人間証明（Proof of Personhood）システムにどう応用されているかを研究していたときです。彼らの 技術ドキュメント・ホワイトペーパー・エンジニアリングブログ記事を読んで、この分野を研究する者として本当に興味深いと感じたことがいくつかありました。
World IDが解こうとしている問題は具体的です：ある人がユニークな人間である——つまり単なる実在の人物ではなく、特定のまだ一度も登録していない一人の人物である——ことを、最小限の個人データを収集しながら検証できるか？
元々の検証方式では、Orbという物理デバイス——虹彩スキャン専用のカメラ——を使います。Orbはあなたの虹彩の画像を取得し、暗号化されたIrisCode（虹彩コード）を生成し、そして——ここが私が注目した部分です——生の画像を削除します。残るのは数学的な表現であり、写真ではありません。IrisCodeは、あなたが以前に登録していないことを確認するためだけに使われます——あなたのアイデンティティや誰であるかは保存されません。
その上に構築されたプライバシーアーキテクチャを見て、私は立ち止まって丁寧に読みました。World IDは、オープンソースのSemaphoreプロトコル を通じてZKPを使います——授業で研究していたのと同じ暗号プロトコルです。あなたがどこかでWorld IDを使って認証するとき、システムは「この人は検証済みのユニークな人間です」ということを確認するZKPを生成します。そのプルーフはあなたのIrisCodeに遡ることができず、あなたを特定することもなく、異なるアプリケーション間でのあなたの活動を追跡することもできません。ZKPの文献を何ヶ月も読んできた学生として、Semaphoreがこのスケールで本番の本人確認システムに実装されているのを見ることは、純粋に興味深い体験でした。
ドキュメントで気づいたもう一つのこと：2024年にパーソナルカストディ（Personal Custody）が実装され、Orbがキャプチャしたすべてのデータはユーザー自身のスマートフォンにのみ保存されるようになりました——World Networkのサーバーには保存されません。さらに、彼らはSMPC（セキュア・マルチパーティ・コンピューテーション）システムをオープンソース化しました。これは虹彩コードを複数の独立したパーティに分散された暗号化されたフラグメントに分割するもので、World Network自身を含む誰も完全なデータを持てない仕組みです。
2024年後半からは、Orbをまったく必要としない第二の認証経路、World ID Credentials（World IDクレデンシャル）が導入されました。ユーザーはNFC対応のパスポートか——日本に特に関連することとして——マイナンバーカードをスマートフォンにかざすことで認証できます。データ（氏名、年齢、写真）はユーザーのデバイス上に暗号化されたまま残り、World Networkや関連する組織には送信されません。ZKPは、書類そのものを見せることなく、年齢・国籍などの特定の属性を証明するために使われます。
研究の観点から、この2経路のモデルで技術的に面白いと思ったのは：Orb経路はユニーク性を検証する——一人、一登録、書類データを一切収集しない。クレデンシャル経路は人間性と書類の属性を検証する——あなたは有効な政府発行書類を持つ実在の人物です。異なる確証レベルが、異なるユースケースに対応している。ドキュメントにはこれが明記されています：Orb認証ユーザーはより多くのWLDトークンを受け取れます、確証レベルが高いからです。この2層がなぜ存在するのか、そしてZKPがそれぞれのケースでどう異なる証明を扱うかというエンジニアリングの説明を読んだことは、私の研究の中で最も勉強になった体験の一つでした。
2025年末時点で、World NetworkはWorld Appのユーザーが約4,000万人に達し、そのうち約2,000万人がOrb認証を完了し、世界の数十カ国で展開しています。
日本自身のデジタルアイデンティティの転換点
マイナンバーカード の保有率は75%を超えました。2024年12月には健康保険証との一体化が始まり、2025年6月にはApple Walletへの対応が開始しました。デジタル庁 はデジタル認証アプリを通じたオンライン本人確認のインフラを積極的に拡大しています。
一方では：本物の利便性、行政手続きのデジタル化という本当の進歩。しかし他方では：2024年度のマイナンバー漏洩は記録的な3,718件——前年から大幅に増加しています。そして1枚のカードに情報を集約することの利便性は、より多くの機密情報が一箇所に集中することも意味します。何か問題が起きたときの影響も、それだけ大きくなる。
私が研究する分野のグローバルな議論が分散化とデータの最小化へと向かっている今、日本はより中央集権的なアイデンティティインフラを構築しようとしています。そのテンションを私は純粋に面白いと思っていて——そして、そもそもこの研究を始めた理由の一つでもあります。
アイデンティティとは何であるべきか——2つの考え方
修士研究を進める中で、この議論は常に2つの根本的に異なるビジョンに帰着します。
従来のモデル：アイデンティティはデータの束——氏名・ID番号・顔・住所。そのデータの束を機関に渡す。機関は中央集権的なデータベースを構築する。そのデータベースはいつか漏洩する。そして生体認証データは永続的なので、漏洩から受けるダメージも永続的です。
新興のモデル：アイデンティティは、開示せずとも検証できるクレームの集合です。「私はユニークな人間です」「私は20歳以上です」「私はこの国の居住者です」。その証明となるデータを渡すことなく、これらが真実であることを証明する。検証者は必要なものを得る。あなたは他のすべてを手元に置く。
第二のモデルに向けた暗号技術的なツールは、今や大部分が存在しています。ゼロ知識証明・SMPC・分散型識別子——これらはもう研究論文の中の話ではありません。本番システムで動いています。
遅れているのは普及のためのインフラです：銀行との統合、政府のAPI、暗号学的プルーフが高リスクなコンテキストにおいて従来のKYCプロセスを実際に代替できるようにするアプリレベルの標準。それは技術的な課題と同じくらい、規制と協調の課題でもあります。そして、そこで次の数年間が決まっていく。
まだ答えが出ていない問い
まだ明確な答えはありません。私は専門家ではなく、修士学生です。でも、研究の中で繰り返し出てくる問いがあって、それを共有する価値があると思っています。
プライバシーの主張は、本当に検証できるのか？
多くのシステムが、自分たちのアーキテクチャが何を明かせて何を明かせないかについて強い主張をしています。コードをオープンソース化することは意味のある一歩です。でも「これはプライベートだと私たちは主張する」と「これがプライベートであることを独立した監査人が確認した」の間には、常にギャップがあります。そのギャップこそが、信頼が本当に構築されなければならない場所です——そして私がこれからも掘り下げ続けようと思っていることでもあります。
この分野は正しい方向に動いています。問いを一貫して問い続け、検証可能な答えを求め続けることが、その動きをさらに前進させます。
今日、あなたはどこかにデータを渡しましたか？ それ、本当に全部必要でしたか？
#デジタルID #ゼロ知識証明 #ZKP #プライバシー #なりすまし #個人情報保護 #マイナンバー #ブロックチェーン #生体認証技術 #本人確認