マイナカードの「スキミング防止ケース」は必要？ 本当に情報を盗まれるのか調べてみた
何が起きた？
マイナンバーカードを入れるケースとして、「スキミング防止」「RFID防止」「電波遮断」などをうたう商品が数多く販売されています。
マイナ保険証などでカードを持ち歩く機会が増えたこともあり、「財布に入れているだけで、近くにいる人から個人情報を盗まれるのでは」と心配する人もいるでしょう。
しかし調べてみると、スキミング防止ケースには実際に電波を遮る意味がある一方、マイナンバーカードについて想像されがちな被害とはかなり差があることが分かりました。
特に重要なのは、「スキミングという犯罪が実在すること」と「マイナカードから街中で重要な個人情報が次々盗まれていること」は別の話だという点です。
簡単にいうと
マイナンバーカードには、スマートフォンなどから無線で読み取れるICチップが入っています。公的個人認証サービスの資料では、ISO/IEC 14443 Type Bという非接触通信方式に対応しています。
スキミング防止ケースは、この無線通信を金属などで遮る仕組みです。
たとえるなら、カードと読み取り機の間に「電波を通しにくい壁」を置くようなものです。ケースに入れた状態で読み取り機が反応しなくなる製品なら、その意味ではちゃんと仕事をしています。
ただし、カードと通信できたからといって、中にある情報を何でも自由に取り出せるわけではありません。
ここが「ケースを使わないと個人情報が丸ごと盗まれる」というイメージとの大きな違いです。
それで何が変わる？
マイナンバーカードのICチップには、税金の情報、年金記録、病歴、薬の情報、銀行口座の残高といった情報は保存されていません。
デジタル庁によると、ICチップに記録されるのは必要最小限の情報や電子証明書などで、医療情報や税・年金情報、金融機関の口座情報そのものが入っているわけではありません。
さらに、ICチップ内の情報は何でも暗証番号なしで取得できるわけではありません。
たとえば基本4情報である氏名、住所、生年月日、性別などを取得する際には、利用方法によって4桁の暗証番号や、カード券面の情報から作られる14桁の「照合番号B」などによるアクセス制御があります。
つまり、犯人が近くからカードとの無線通信に成功しただけで、
「名前、住所、マイナンバー、病歴、年収、銀行残高まで全部入手」
という状態にはなりません。
スキミング防止ケースは本当に効く？
電波を遮断するという機能自体には意味があります。
非接触ICカードを通常より遠い場所から読み取る技術そのものも、架空の話ではありません。
米国立標準技術研究所（NIST）が過去に公表した研究では、マイナカードとは別の米政府職員向け非接触ICカードについて、高感度アンテナを使うことでISO/IEC 14443方式のカードを25cm以上離れた場所から読み取れた例が紹介されています。
同資料では、電磁波を遮断するケースやスリーブを使えば、使用していないカードへの無線アクセスを防ぐ追加対策になるとも説明しています。
ただし、この実験結果は「マイナンバーカードを25cm離れた場所から読み取れば個人情報を盗める」という意味ではありません。
通信規格が近いカードでは、特殊な装置を使って通信距離を伸ばせる可能性がある、という技術上の参考例です。
そのため、
「スキミング防止ケースには全く意味がない」
というのも言い過ぎです。
一方で、
「ケースを使わないと街中で重要な個人情報を盗まれる危険が高い」
と考える必要もなさそうです。
本当に気をつけたいのは何？
「スキミング」という犯罪自体は、日本でも実際に起きています。
ただし、警察庁が過去に多数確認してきた典型的なスキミングは、クレジットカードやキャッシュカードの磁気情報を専用装置でコピーし、偽造カードを作る手口です。
警察庁の白書には、店舗や運動施設などで客のカードをこっそり読み取る事件が記録されています。また、こうした偽造対策としてICカード化が進められてきました。
一方、今回、警察庁やデジタル庁などの公開情報を確認した範囲では、街中や満員電車などでマイナンバーカードを非接触スキミングし、そこから個人情報を盗んで悪用したという具体的な国内被害事例は確認できませんでした。
これは「絶対に起こらない」という意味ではありません。
ただ、少なくとも現在確認できる情報から「マイナカードのスキミング被害が多発している」とはいえません。
むしろ警察庁が実際に注意を呼びかけているのは、偽サイトなどを使ってマイナンバーカードの画像や氏名、住所、暗証番号などを入力させるフィッシングです。
こちらはカードに近づく特殊な装置すら必要ありません。本人に偽サイトへ情報を入力させれば済んでしまいます。
そのため、実際の対策として優先したいのは、
カードをなくさない、暗証番号を他人に教えない、不審なサイトにカード画像や個人情報を送らない
といった基本的な対策です。
スキミング防止ケースは、使ってはいけないものではありません。安価なものであれば「念のため電波も遮っておく」という追加対策として使うのは合理的です。
ただし、「ケースがなければマイナカードから重要な個人情報を簡単に吸い取られる」と恐れる必要性は、現在確認できる事実からは低いと考えられます。
むしろケースには、カードの傷や破損を防いだり、券面に印刷された住所や個人番号などを人目から隠したりするメリットもあります。
スキミング防止を「絶対に必要な防犯対策」と考えるより、目隠しやカード保護に、電波遮断という追加機能も付いているくらいに考えるのが実態に近そうです。