スペインで、他人になりすまして電子証明書を取得しようとしていた男が逮捕されました。ビデオ通話による本人確認の最中に、自分の顔をリアルタイムで別人に差し替えるディープフェイクを使っていた、という事件です。スペイン国家警察の発表によると、確認できただけで30人以上の実在する人物になりすまし、38回の取得を試みていました。
手口はかなり作り込まれていて、警察も「高度に洗練されている」と評しています。それでも捕まりました。しかもきっかけは、捜査員の執念でも内部告発でもなく、なりすましの仕組みそのものに最初から埋まっていた弱点でした。
狙われた「電子証明書」の重み
まず、男が狙っていた「電子証明書」がどういうものかを押さえておきます。これは暗号技術を使って「この電子署名は確かに本人のものだ」と保証する仕組みで、日本でいえばマイナンバーカードに入っている電子証明書が近い存在です。
スペインを含むEU諸国では、この証明書を使ってオンラインで契約書に署名したり、取引を承認したり、役所の手続きを済ませたりできます。従来なら窓口に出向く必要があった手続きの一部が、証明書ひとつで自宅から完結する。便利さの裏返しとして、他人名義の証明書を手に入れた人間は、その人本人として法的に有効な署名ができてしまうということでもあります。警察は、男が不正取得した証明書をその後の詐欺に使う計画だったとみています。
証明書を発行するのは、国から認められた認証事業者です。他人名義で申し込むには、この事業者の本人確認を突破しなければなりません。確認はビデオ通話で行われ、申請者の顔と、提示された身分証の顔写真が一致するかをチェックされます。
顔・書類・光まで作り込んだ偽装
男はこの確認を、三段構えの偽装で突破しようとしていました。
一つ目が偽造した身分証です。スペインの国民IDカード（DNI）を偽造し、写真やデータを加工したものをカメラの前に提示していました。
二つ目がディープフェイクです。ビデオ通話の最中、AIのソフトが男の顔をリアルタイムで加工し、提示している偽造身分証の顔写真と同じ顔に変換し続けていました。画面の向こうの確認担当者から見れば、「身分証の写真と同じ顔の人物」が映っている状態です。どのソフトを使っていたかは公表されていません。
三つ目が照明です。本物の身分証には、傾けると光るホログラム（偽造防止の加工）が入っています。男は色つきの電球を戦略的に配置した家庭用の照明を組み、本物の書類が実際の光の下で見せる反射や偽造防止の光り方を、カメラ越しに再現していました。デジタルの詐欺の仕上げが、電球を並べる物理的な工作だったわけです。
さらに通信はVPN（通信経路を隠す仕組み）で匿名化し、メールや支払い手段のまわりにも複雑な匿名化の構造を作っていました。捜査では、24台の携帯端末に紐づく320本以上の電話回線が特定されています。その大半は、盗んだ他人の身元で契約されたものでした。
この体制で38回の申請を試み、警察の発表では、実際に証明書が発行されてしまったケースが「複数回」あったとされています。何回成功したのか、具体的な数字は公表されていません。
決め手になった「わずか1秒」
ではなぜ捕まったのか。あるビデオ確認の最中に、顔を変換していたソフトが、わずかな処理の遅れを起こしました。警察の発表の言葉を借りると、デジタルの仮面が画面から消えていたのは「わずか1秒」。その一瞬、発行事業者の担当者の前に、男の素顔がそのまま映りました。
この1秒が、捜査の流れを変えました。それまで画面に映っていたのは、加工された「存在しない顔」ばかりです。しかし素顔が一度でも記録に残れば、そこから人物を特定できます。警察はここから容疑者の特定と居場所の割り出しを進め、繰り返しの公文書偽造の疑いでムルシアの男を逮捕しました。320本の電話回線が売られていた店舗も、ムルシアに集中していたことが分かっています。自宅からは、強力に暗号化されたノートPC、複数の携帯電話、記憶装置、書類が押収されました。
つまり、書類も照明も通信も固めた偽装が、たった1コマ分の処理落ちで崩れた——ここがこの事件のいちばんの読みどころです。
リアルタイム処理という構造的な弱点
これは偶然のミスというより、リアルタイムのディープフェイクが構造的に抱えている弱点だと言えます。
録画済みの動画を加工するなら、時間をかけて1コマずつ丁寧に処理できます。しかしビデオ通話でのなりすましは、カメラが撮った映像をその場で加工し、遅れなく送り出し続けなければ成立しません。計算が一瞬でも追いつかなければ、加工前の素材——つまり本人の顔——がそのまま流れます。変装と違って、ディープフェイクの仮面は「かぶったら外れない」ものではなく、毎秒何十回も計算でかぶり直し続けているものだからです。
今回の男は、書類の偽造もホログラムの再現も通信の匿名化も周到にやってのけましたが、この一点だけはどうにもできませんでした。処理の遅れは、使っているソフトやマシンの性能、通信状況しだいでいつでも起こりえます。そして確認のビデオは記録されている。一度でも素顔が漏れれば、それで終わりです。
オンライン本人確認とのこれから
顔をカメラに映して身分証と照合する本人確認は、日本でもeKYC（オンラインの本人確認）として銀行口座の開設や携帯電話の契約などに広がっています。スペインと日本では制度も確認の方式も違うので、この事件をそのまま「日本でも同じことが起きる」と読むのは正確ではありません。ただ、リアルタイムのディープフェイクでビデオ確認を突破しようとする人間が実在し、実際に複数回成功していたという事実は、この方式の確認を運用する側にとって無視できない前例になりました。
同時に、この事件は防ぐ側へのヒントも残しています。今回のほころびは処理落ちという偶然でしたが、裏を返せば、リアルタイム加工の「遅れ」や「乱れ」を意図的に誘発したり検出したりできれば、それがディープフェイク対策になるということでもあります。確認の最中に急な動きを求める、照明条件を変えさせるといった対策は、加工ソフトの計算負荷を跳ね上げる方向に働きます。
なお、逮捕された男の氏名は公表されておらず、裁判で有罪が確定したわけでもありません。この記事で書いた手口や件数は、いずれもスペイン国家警察の発表と、それを報じたThe Registerの記事に基づく容疑の段階の情報です。
出典
The Registerの記事：Deepfake hiccup unmasks suspected digital certificate fraudster（2026年8月11日）
スペイン国家警察の発表：Policía Nacional プレスリリース（スペイン語）
コメント