ラピットくん 
Steam でソフトを配信するための手続きで、こういう通知が来ました。
「身分証の写真と、身分証を持った自撮りを、この Dropbox にアップロードしてください」
え、Dropbox？
Dropbox に本人確認（eKYC）の機能があったっけ、と思って調べました。ありませんでした。
で、そこから考えたことがあります。この「写真を上げてもらって、人が見る」やり方、日本のお店でも使えるのか。中小企業クラスの、中古買取のお店で、宅配買取の本人確認を組むなら、どうするか。
結論から書くと、そのままでは使えません。 僕も途中まで勘違いしていました。
Dropbox は、ただの受け取り窓口だった
Steam の通知で使われていたのは、Dropbox のファイルリクエストという機能です。リンクを渡すと、相手は Dropbox のアカウントがなくてもファイルを置ける。それだけの機能です。
本人かどうかを判定しているのは、Dropbox ではありません。税務の手続きを請け負っている会社の担当者が、身分証の写真と自撮りを見比べています。通知にも「承認まで10〜15営業日」とありました。人が順番に見ているから、この日数です。
要するに、こういう流れです。
- 身分証（パスポートか運転免許証）の写真を撮って、アップロードする
- 同じ身分証を持った自撮りも、アップロードする
- 人が見て、問題なければ承認
かなり素朴です。スマホにカードをかざすわけでも、その場で顔を動かすわけでもない。
ただ、Steam の側から見ると、お金は登録した口座にしか払われません。本人確認でそこまで固めなくても、支払先で縛れる。そういう考えなんだと思います。
日本の買取店で同じことをすると、違反になる
中古品の買取は、古物営業法で本人確認のやり方が決まっています。会わずに買い取る宅配買取は、施行規則に並んでいる方法から選ぶことになります。
僕は最初、「身分証のコピーをもらって、代金を本人名義の口座に振り込めばいい」と思っていました。Steam と同じ考え方です。
調べたら、違いました。警視庁の解説には、免許証のコピーや住民票の写しを送ってもらうだけでは違反、とはっきり書いてあります。
コピーを使うなら、そこに書いてある住所へ転送不要の簡易書留を送り、届いたことを確かめる。そのうえで、同じ名義の口座に振り込む。郵便を1往復させないといけません。
じゃあ、アプリで撮ってもらう方法はどうか。これも条件があります。買取店が用意したアプリで、その場で撮ったものでないといけない。前に撮っておいた写真や、加工した画像はだめです。
Steam のように「好きな写真をフォームに上げてもらう」形は、ここで外れます。
会わずに使える方法は、3つの系統に分かれる
警視庁の解説では、会わずに確認する方法が15通り並んでいます。多いので、買取店で現実に使いそうなものを系統で分けました。
| 系統 | 中身 | お客さんの手間 | 弱いところ |
|---|---|---|---|
| 郵便を使う | 身分証のコピーや住民票の写しを送ってもらい、転送不要の簡易書留で住所を確かめる。代金は本人名義の口座へ | 書類を送る。書留を受け取る | 入金まで日数がかかる。郵送代もかかる |
| アプリで撮る | 買取店のアプリで、顔と写真付きの身分証をその場で撮って送ってもらう | スマホで撮るだけ | 精巧な偽造の身分証は、画像では見抜きにくい |
| ICチップを読む | 免許証やマイナンバーカードのICチップをスマホで読み、顔も撮る。またはマイナンバーカードの電子証明書で署名してもらう | スマホにカードをかざす | 対応したスマホとカードが要る。電子証明書の方式は、国の認定を受けた事業者のサービスを使うことになる |
どの方法でも、住所・氏名・職業・年齢の申し出は別に受けます。
ICチップを読む方法は、偽造に強い。カードの中に、発行元の電子署名つきで情報が入っているからです。券面だけそっくりに作っても、チップの中身までは作れません。
店頭は、免許証を見るだけでいいのか
店頭で会って買い取る場合は、身分証を見せてもらえば確認になります。1万円未満なら確認を省けますが、オートバイ、ゲームソフト、CD・DVD、書籍は金額に関係なく確認が要ります。2025年10月からは、エアコンの室外機や電線なども加わりました。
ここで気になるのが、偽造の身分証です。目で見て見抜くのは難しくなっています。
銀行などが対象の犯罪収益移転防止法では、2027年4月から、会って確認するときもICチップの読み取りが必要になります。買取店の古物営業法とは別の法律です。でも、向かっている先は同じだと思います。
店頭にタブレットを1台置いて、カードをかざしてもらう。券面とチップの中身が違えば、その場で止められます。読み取った内容をそのまま台帳に入れれば、手書きの転記もなくなります。
中小企業クラスの買取店なら、こう提案します
中小企業クラスの買取店だと、宅配買取の本人確認と振込を、何人かで回しています。そこを前提に、こう分けます。
| ふだん | 使えないお客さん向け | |
|---|---|---|
| 宅配買取 | ICチップを読む方法。スマホでカードをかざしてもらう | ICチップを読めない人はアプリで撮る方法。スマホが苦手な人は郵便を使う方法 |
| 店頭買取 | 身分証のICチップを読み取る | チップのない身分証は、目で見る確認に戻す |
| 代金の支払い | 本人名義の口座にだけ振り込む | — |
ICチップを読む方法をふだん使いにするのは、偽造に強いからです。マイナンバーカードも免許証もチップが入っているので、使えるお客さんは多い。
本人名義の口座にだけ払うのは、郵便を使う方法では必須です。ほかの方法でも、そろえておいたほうが運用が単純になります。
判定の部分は、自社で作りません。 ICチップの読み取りや、撮った画像が使い回しでないかの検知は、本人確認サービスを専業でやっている会社のものを使います。電子証明書の方式は、そもそも国の認定がないと扱えません。
作るのは、判定の前後の流れ
じゃあ何を作るのか。本人確認サービスの前と後ろです。
- 申し込みの受付。Dropbox ではなく、注文番号とひもづいた自社の画面にする
- 確認待ちの一覧。担当者が、身分証の情報・申し込みの内容・振込先の口座を1画面で見比べて、承認か差し戻しを押す
- 名義の突き合わせ。身分証の氏名と、振込先の口座名義（カナ）が違えば、自動で止める
- 台帳と振込データ。承認したら古物台帳に記帳し、振込用のデータを出す
ここは、お店ごとに運用が違います。既製品が合わないのも、だいたいここです。
▼関連記事
相次ぐ情報漏えいで、政府と公的機関の注意喚起を全部読みました——狙われやすいシステムと、先に見る8か所
集めた身分証の置き場所
本人確認の仕組みを作ると、身分証の画像がたまっていきます。ここで気をつけることが3つあります。
- マイナンバーカードの裏面は受け取らない。裏面には個人番号が書いてあります。警視庁の解説でも、受け取らないよう注意しています。アップロード画面に「裏面は不要」と書いておく
- 海外のクラウドに置くなら、説明が要る。個人情報を外国に置く場合のルールは、個人情報保護委員会のガイドラインにあります。国内のサーバーに置くほうが説明は楽です
- 集めすぎない。取引の記録は3年残す決まりがあります。逆に言うと、3年たったら消す。誰がいつ見たかの記録も残す
漏れたときに困るのは、ためた量に比例します。法律で求められている分だけ集めて、期限が来たら消す。
Steam の通知のほうは
最後に、きっかけの通知の話です。
「Dropbox に、パスポートと自撮りを上げてください」は、なりすましのメールでもよく使われる文面です。 僕は、メールのリンクからではなく、自分で Steamworks にログインして、管理画面の中に同じ通知があるのを確かめてから進めました。リンク先が https://www.dropbox.com/request/ で始まっていることも見ました。
似た通知が来たら、まずそこを見てください。
参考
- 非対面取引における確認の方法（警視庁）
- 古物営業法施行規則の一部改正について（警視庁）
- 古物営業法（e-Gov 法令検索）
- 古物営業法施行規則（e-Gov 法令検索）
- JAFIC（警察庁 犯罪収益移転防止対策室）
- 公的個人認証サービス（地方公共団体情報システム機構）
- 外国にある第三者への提供編のガイドライン（個人情報保護委員会）
- Dropbox ファイル リクエストの作成方法と管理方法（Dropbox ヘルプ）
2026年10月28日時点の情報によります。実際の運用を決めるときは、許可を受けた警察署の古物担当の窓口に確認してください。
本人確認の手間、業務の流れごと見直しませんか
宅配買取の受付から本人確認、台帳、振込まで。本人確認サービスの選び方も含めて、お店の運用に合わせた仕組みづくりを引き受けています。
