マイナンバーカードのICチップは本当に安全か？「安全神話」と供給チェーンの現実から考える

マイナンバーカードの普及が進められる中、政府は一貫して「ICチップは高度なセキュリティ技術で守られている」と説明しています。確かに、ICチップ自体にはさまざまな先進技術が使われており、表面的には極めて安全に見えます。

しかし、「技術的に安全」であることと、「実際に安全に運用されている」ことは同義ではありません。むしろ、日本のように民間外注や分業構造が常態化している国では、そのギャップこそが最大のリスクになり得ます。

本記事では、マイナンバーカードICチップの「安全神話」を一度分解し、そこに潜む構造的な脆弱性について掘り下げます。

ICチップ安全神話とは何か？

まず、マイナンバーカードのICチップが「安全」とされる理由は主に以下の3点です。

1. 暗号化されたデータ

内部の情報は公開鍵暗号や共通鍵暗号で保護されており、外部から不正に読み出すことは困難とされています。

2. 認証プロトコルの導入

カードと読み取り端末の間では相互認証が求められ、第三者による「なりすまし」を防止する仕組みが組み込まれています。

3. 耐タンパー性

物理的にチップを開封・解析しようとすれば、チップが自壊したり無効化されるなど、解析を困難にする「耐タンパー機能」も備わっています。

これらの技術は確かに優れています。しかし、それでも「偽造不可能」や「絶対安全」だとは言えない理由がいくつも存在します。

ICチップは「安全」でも、なぜ脆弱なのか？

1. ハイレベルな攻撃手法の存在

国家機関や高度な技術を持つ犯罪集団は、チップ内部の電磁反応を解析するDPA（差分電力解析）などの手法で暗号鍵を抜き出すことが可能です。たとえば中国やロシアなど、国家レベルで諜報活動を行う組織が関与する場合、ハードウェアレベルの解析能力を持っていると考えた方が現実的です。

2. 「偽造」ではなく「なりすまし」は現実に起きている

ICチップの複製は困難でも、正規のカードを盗用したり、カード内の証明書を不正に取得して使うといった手口はすでに確認されています。つまり、チップを偽造せずに「偽装」する手法は既に実行可能なフェーズにあります。

3. 供給チェーン攻撃のリスク

マイナンバーカードは、ICチップの開発、カード本体の製造、印刷、配送、システム構築といった多数の工程を、複数の外注業者が分担しています。そのため、工程のどこかに改ざんを仕込むことが可能な「内部者リスク」が常に存在します。

さらに、日本政府の外注体質には以下のような構造的な問題があります

• 一次請けから再委託、孫請けへと作業が流れる中で、セキュリティ基準や監査が形骸化している

• 身元調査やセキュリティクリアランス制度が不十分で、誰がどの業務に関わっているか実態が把握されていない

• システム開発や運用において、外国籍の外注先が関与しているケースもある（※例：マイナポータル連携アプリの外注）

これらの要因が重なり、供給チェーン攻撃が「理論的懸念」ではなく、実際のリスクとして存在しています。

重要なのは「誰が作り、誰が運用しているか」

たとえICチップ自体がどれほど強固に作られていても、それを設計・製造・運用する人間や組織の側に脆弱性があれば、全体のセキュリティは保てません。

過去には以下のような重大な事例も起きています

• 住基ネットの設計情報漏洩（委託業者から）

• USBメモリ紛失事件（厚労省、年金機構など複数の省庁で発生）

• 外注先がソースコードを保有していた問題（マイナポータル関連）

いずれも、技術的な脆弱性ではなく、「人」や「体制」の脆弱性によって引き起こされたものです。

全体システムとしてのセキュリティを見るべき

ICチップの安全性ばかりが強調されますが、以下のような関連システムにも目を向ける必要があります

• マイナポータルや地方自治体の接続システム

• 認証アプリケーションやスマホ用アプリ

• 読み取り端末のバージョンや更新状況

特に、認証局（CA）の管理体制が不十分で、公開鍵基盤（PKI）の信頼性が揺らぐような事態が発生すれば、なりすましや認証回避といった攻撃は一気に現実味を帯びます。

結論：「ICチップが安全」では不十分

政府が「ICチップは安全」と主張するのはある意味で正しいのですが、それは「技術単体としての安全性」でしかありません。

実際には、誰がその技術を作り、どのように管理され、どんな環境で運用されているのか――サプライチェーン全体の透明性と信頼性がなければ、いくらICチップが堅牢でも、システム全体は簡単に破られます。

そして、残念ながら日本ではその「全体としての信頼性」がまだ確立されていないのが現状です。マイナンバーカードをより安全に活用するためには、「チップがすごい」ことを強調するのではなく、人間・組織・運用体制の改善こそが急務なのです。

あとがき

マイナンバーカードを「持つべきか、持たざるべきか」という議論は重要ですが、それ以上に、「どのように安全に運用されるべきか」を問うことが、より建設的な議論になるはずです。

私たちは、技術の光だけを見るのではなく、その裏に潜む「人の構造」を直視すべき時に来ているのかもしれません。

参考

[1] 【追及スクープ】マイナンバー500万人分を中国に流出させた「実行 ... https://gendai.media/articles/-/113680
[2] 個人情報漏えいや紛失 昨年度約1万2000件 調査開始以降最多に | NHK https://www3.nhk.or.jp/news/html/20240611/k10014477021000.html
[3] マイナンバーが漏えいしたらどうなるのか｜罰則や実際に起こった ... https://onehr.jp/column/labor/my-number-leak-example/
[4] 特定個人情報の漏えい等事案が発生した場合の対応について https://www.ppc.go.jp/legal/rouei/
[5] カオナビ子会社でマイナカード情報漏洩 悪用リスクは？ https://www.nikkei.com/article/DGXZQOUE027NR0S4A400C2000000/
[6] 自分のなりすましが現れるかも！？今すぐ確認すべきマイナンバー ... https://www.motex.co.jp/nomore/casestudy/3030/
[7] マイナンバー漏えい等事件から考えること | 全日本情報学習振興協会 https://www.my-number.or.jp/article/contents_0004.php
[8] 「個人情報の保護に関する法律についてのガイドライン」 に関する ... https://www.ppc.go.jp/personalinfo/faq/APPI_QA/