生体認証スプーフィングとは？顔や指紋を偽造する突破攻撃

【深掘り】これだけは知っておけ

生体認証スプーフィング（Biometric Spoofing）は、本人の生体情報を偽造・再現して認証システムをだます攻撃です。生体認証は本人固有の身体的特徴を使うため安全とされますが、その特徴は完全に秘密ではありません。顔はSNSの写真から、指紋はグラスなどの付着物から入手可能です。攻撃手法には、実物大の写真やタブレット表示の画像で顔認証を突破する「ディスプレイ攻撃」、本人の動画を再生する「リプレイ攻撃」、スキャンモデルから作る「3Dマスク」（製造に数千ドルかかることも）、デバイスのカメラをハックして被害者の顔を別の顔にオーバーレイする「ディープフェイク」などがあります。

近年特に懸念されているのが、ディープフェイク動画による顔認証突破です。日本でも、ディープフェイクを悪用して他人になりすまし、顔認証や免許証による本人確認を突破して銀行口座やクレジットカードを不正契約する懸念が高まっています。日立製作所の研究グループは、AI偽動画でオンライン本人認証を突破できる恐れがあることを人工知能学会で発表しました。一方、防御技術も進化しています。「ライブネス検出」は、目の前にいるのが生身の本人か偽造物かを判定する技術で、自然な視線・瞬き・立体性などを検証します。iPhoneのFace IDの画面注視認識機能のように、本人の意思がないとロック解除されない仕組みも導入されています。それでも、生体認証だけでは万全ではないというのが専門家の共通認識です。

個人ができる対策として、スマホの生体認証は便利に使いつつ、重要な操作には追加の認証（パスコード・パスキーなど）を設定すること。SNSに高解像度の顔写真や指紋が写る画像を不用意に公開しないこと。本人確認が必要なサービスでは、ライブネス検出など偽造対策が施されたものを選ぶこと。生体認証で不審なロック解除やログインがあれば速やかに確認すること。生体認証は「本人しか持ち得ない特徴」を使う優れた技術ですが、その特徴は完全な秘密ではなく、偽造の可能性が常にあります。一つの認証手段に依存せず、複数の防御を重ねることが、なりすまし突破への最も確実な備えです。

生体認証スプーフィングの主な手法

典型的なフレーズ・文脈

詐欺師

（攻撃準備中）ターゲットのSNSから顔写真を大量収集してディープフェイク動画を生成。オンライン口座開設の顔認証本人確認に、この偽動画を流し込めば、本人に成り済まして口座を作れる。免許証画像も偽造済みだ。

キャスター

研究グループは、AIによる偽動画を使えばオンラインの顔認証を突破して本人に成り済ませる恐れがあると発表しました。専門家は、生体認証だけに頼らず多要素認証を併用するよう呼びかけています。

専門家

生体認証は便利ですが万能ではありません。写真や偽動画で突破される恐れがあるので、重要な操作にはパスコードや多要素認証を併用してください。顔写真の不用意な公開にも注意を。被害は#9110へ。

困ったときの相談窓口

生体認証スプーフィングによるなりすまし被害が疑われる場合は、以下の窓口に相談できます。

【まとめ】3つのポイント

この用語と一緒に知っておきたい用語

この手口が実際に使われた事件