あなたの顔は複製され、声はクローンされ、指紋はすでにハッカーのデータベースに登録されているかもしれません。
率直に言って（言葉遊びの意図もあります）、政府や企業の多くが、 での本人確認管理 やセキュリティ目的で生体認証システムを導入するにつれ、私たちの固有の生体認証情報は、デジタル領域においてますます 公開されるようになっています。
しかし、顔認証や指紋認証のデータが悪用される可能性はあるものの（この表現には意図的な言葉遊びが含まれているかもしれません）、それらは私たちの多くの活動をより簡単で、より迅速で、より便利にし――そして、一部の人々は「より安全」だと主張するでしょう――だからこそ、この技術は普及しつつあるのです。
ここ数ヶ月の、いくつかの業界におけるこうした動向について考えてみましょう。
- 空港 – アブダビの は、昨年 で、 2025 年に同社のザイード国際空港が、すべての身元確認チェックポイントに生体認証センサーを設置し、生体認証による搭乗を義務付ける世界初の空港になると発表しました。 また、現在、米国の多くの空港では、セキュリティゲートで顔認証技術を採用し、搭乗者の実際の顔と身分証明書の写真とを照合することで、本人確認を行っています。
- 金融機関 – エジプト最大の銀行であるエジプト国立銀行（ ）は、先月、BIO-key社のPortalGuard ID管理および アクセス管理プラットフォーム（ ）を導入すると発表しました（ ）。 このプラットフォームでは、生体認証やその他の 多要素認証（MFA） を採用しており、30,000 名の従業員および（将来的には）数百万人の顧客のログインやその他の手続きを簡素化しています。
- Credit card companies – Mastercard announced in November plans to enhance online purchases by nixing the need to type in card numbers and passwords in favor of tokenization and biometric authentication by 2030, and Visa and Tencent partnered in September on a pay-by-palm solution to be tested first in Singapore and then in other markets.
- Healthcare – Recent projections say the global biometrics market in healthcare, now valued at $10.1 billion, will reach $55.4 billion by 2035, thanks to the integration of AI and machine learning and increased adoption in telemedicine services.
- スタジアム – ブエノスアイレスにある「 85,000-capacity Más Monumental」では最近、 顔認証ソリューションを導入しました。また、米国では、メジャーリーグベースボールの「Go-Ahead Entry」プログラムが顔認証とチケットアカウントを連携させており、12月の のレポート によると、この非接触型プロセスにより、スタジアム外での待ち時間を最大 68％短縮できるとのことです。
そのため、多くの企業や団体が、生体認証システムの導入を急速に進めています。 しかし、セキュリティ上の脅威がかつてないほど急速に進化している中、疑問が生じます。生体認証は依然として未来の技術なのでしょうか、それともサイバーセキュリティにおけるアキレス腱なのでしょうか？
この件について、特にAIがどちらの立場においても果たし得る役割に関して、全く異なる見解を持つこの分野の専門家2名に話を伺いました。
生体認証ブーム ―― そしてその最大の弱点
顔認証、網膜スキャン、指紋認証は、パスワード やキーカードに代わる優れた選択肢であると考えられているため、急速に普及が進んでいます 。 しかし、ここに問題があります。パスワードとは異なり、顔を変えることはできません。 一度盗まれてしまうと、生体認証データは永久に漏洩した状態になってしまいます。
「私の指紋 10 個すべてが、すでに盗まれてしまいました。」 さて、私の指紋を頼りにするシステムが、それが私本人であることをどうやって判別できるのでしょうか？”ロジャー・グライムズ、セキュリティ・エバンジェリスト、 KnowBe4
また、セキュリティ啓発研修会社「 KnowBe4」のセキュリティ・エバンジェリストであるロジャー・グライムズ氏によると、まさにそのような事態が起きているとのことです。 実際、彼は において、生体認証が有効な認証手段ではないことが、早ければ今年中に 証明されるだろうと予測しています。
“All 10 of my fingerprints have already been stolen,” he says, referring to the 2015 U.S. Office of Personnel Management (OPM) breach, where hackers stole the sensitive biometric data of millions. 「さて、私の指紋を頼りにしているシステムが、それが私本人だとどうやって判別できるのでしょうか？」
指紋だけではありません。 タイで最近発見された「GoldPickaxe」のようなマルウェアは、年金確認アプリを装って顔認証データを盗み出していました。 そうすると、誰かが盗んだ顔画像を使って、認証をすり抜けたり、極めてリアルなディープフェイクの身元を作り出したりすることが可能になります。
ディープフェイクは生体認証の問題をさらに深刻化させています
もしハッカーが、あなたの声で話し、表情まで模倣した、ほぼ完璧な動画を制作できるとしたら、顔認証の安全性はどの程度あるのでしょうか？
「あなたの動画から 30 秒分を取り出して、あなたのディープフェイクを作成することができます」とグライムズ氏は述べています。 「私はいつもそうしています。」 プレゼンテーションのためにやっています。 あなたの声 30 秒分と顔の写真さえあれば、デジタル技術を使って、あなたに何でも言わせたり、何でもさせたりすることができます。 どうしてそんなことがあり得るのでしょうか？ 「私の顔や声が、どうして認証手段になり得るのでしょうか？」
AIと のディープフェイク技術「 」は、すでに大きな混乱を引き起こしています。 Last year, for example, deepfakes impersonated executives at the luxury car company Ferrari, UK energy supplier Octopus, and the world's biggest ad group WPP, among others; and a Hong Kong employee at the British multinational engineering firm Arup was conned into paying $25 million to a fraudster using deepfake technology in a conference call to impersonate the company’s CFO. リモート勤務のIT担当者を装うディープフェイク詐欺により、 数百社の米国企業に侵入が確認されています。 Meanwhile, the Deloitte Center for Financial Services predicts GenAI could enable fraud losses of up to $40 billion in the United States by 2027 compared to $12.3 billion in 2023.
[関連記事：ディープフェイクに関する詳細については、偽情報に関する包括的なガイドと、最も効果的な対策についてまとめた記事をご覧ください]
そして、ディープフェイクを作成するためのツールは、ますます高度化しています。 ElevenLabsやStable Diffusionといったオープンソースのプラットフォームにより、AIを活用した顔や声のクローン作成へのアクセスが広く一般に普及しました。 つまり、犯罪者はもはや高度なハッキング技術を必要とせず、ノートパソコンとインターネット接続さえあればよいということです。
反論：AIこそが、生体認証の最大の付加価値となる可能性があります
ロブ・クライド氏は慌ててはいません。 AIセキュリティおよびモニタリング企業「Cybral」の取締役であり、世界的なITガバナンスおよびサイバーセキュリティ組織「ISACA」の元会長でもあるクライド氏は、生体認証に伴うリスクを認識しています。 しかし同氏は、 にあるように、AIがサイバーセキュリティにおいてかけがえのないツールとなっていること、AIを活用した生体認証による防御技術も、それを標的とする脅威と同じくらいの速さで進化していると指摘しています。
「」ディープフェイクを検出するAIやシステムは……ますます進化し続けています。 私たちもやはり、ただの人間なのです。 時間の経過とともに、私たちの能力が指数関数的に向上することはないでしょう。 AIなら可能です。”サイブラルの取締役であり、ISACAの元会長であるロブ・クライド氏
「人間がディープフェイクを確実に見分ける能力は、今後も低下し続けるでしょう」とクライド氏は述べています。 「ディープフェイクを検知し、認証の正当性を確保するためのAIやシステムは、今後ますます増えていくものだと確信しております。」 どんどん良くなってきています。 私たちもやはり、ただの人間なのです。 時間の経過とともに、私たちの能力が指数関数的に向上することはないでしょう。 「AIならできます。」
一部の新しいセキュリティソリューションでは、すでにAIを活用してAIに対抗しています。 例えば、インテル社の「FakeCatcher」のようなツールは、顔の動画に含まれる血流信号を分析し、ディープフェイク画像の検出において 96％の精度を誇っています。 微細な動きや固有の操作パターンを追跡する行動バイオメトリクスも、ディープフェイクによるなりすまし犯が気づかれずにすり抜けることをより困難にしています。
「当社は高度な分析手法を多用し、微細な表情の変化を分析しています」と、身元確認企業Jumioの金融サービス部門ディレクターであるブライアン・クリステンセン氏は、昨秋の「IdentityWeek America」カンファレンスで説明しました。 「その方法なら、興味深い受動信号をたくさん得ることができます。」
[関連記事：「百聞は一見に如かず」――企業がAIを活用してサイバーセキュリティを強化する方法]
さらに、複数の生体認証情報を組み合わせた「マルチモーダル認証」の普及が進んでいます。 顔認証を1回行うだけでは偽装される可能性がありますが、リアルタイムの生体検知、赤外線による網膜スキャン、あるいは音声認証を追加することで、偽装の難易度は飛躍的に高まります。
"Facial recognition today isn’t just a 2D photo anymore," Clyde says. 「AppleのFace IDのような最新バージョンでは、 30,000 箇所のデータポイントを用いて本人確認を行い、注視の検出が必要となります。」 「以前のシステムに比べて、騙すのははるかに難しいのです。」
政府の見解：生体認証だけでは不十分です
AIを活用した生体認証技術は進歩しているものの、主要なサイバーセキュリティ機関は、それだけでは不十分だと考えています。 とりわけ米国政府は、顔認識技術のみに国家安全保障を委ねるつもりはありません。 実際、昨年8月、米国国立標準技術研究所（NIST）はデジタルIDに関するガイドラインを改訂し、生体認証は常にYubiKeyトークンのようなハードウェアベースの認証デバイスと組み合わせて使用すべきであると明記しました。
「生体認証を利用する場合は、ハードウェアベースの認証要素も併用すべきです」とグライムズ氏は助言しています。 「それだけでも、生体認証は主張されているほど安全ではないということがわかります。」
[関連記事：NISTが更新したのはそれだけではありません――パスワードセキュリティに関する新たな考え方には、きっと驚かれることでしょう]
そして、それは政府だけのことではありません。 マイクロソフトやグーグルといった大手テクノロジー企業も、生体認証とハードウェアトークン、暗号鍵、あるいは行動分析を組み合わせた多要素認証（MFA）の導入を義務付け始めています。
さらにその先へ 今後注目すべき生体認証のトレンド 5 選にご注目ください
ディープフェイクによる脅威が増加しているにもかかわらず、生体認証が廃れることはありません。 クライド氏によると、変化しているのはその活用方法であり、同氏は生体認証に関連する5つのトレンドを次のように予測しています：
- 生体認証＋多要素認証（MFA）が標準に―― 認証に単一の生体認証スキャンだけを使用する慣行は終わりを迎えつつあります。 組織では、生体認証に追加の認証要素を組み合わせるケースが増えています。
- 物理トークンの復活―― 多要素認証（MFA）の潮流に沿って、YubiKeyや類似のハードウェアソリューションへの注目が高まっていることは、組織が「本人性（生体認証）」と「所持物（物理トークンやその他のデバイス）」の両方を必要とする認証システムへの回帰を、今後ますます進めていくことを示唆しています。
- AIを活用したディープフェイク検出が拡大―― また、企業はFakeCatcherやTruepicといったAIを活用した検出ツールへの投資を強化し、不正な生体認証情報をリアルタイムで排除していく見込みです。
- 「継続的認証」が主流に―― 単一のログインに代わって、企業はセッション全体を通じてユーザーの身元を継続的に確認する、リアルタイムの行動バイオメトリクスを導入するようになるでしょう。
- 生体認証情報の更新と再登録 – 生体認証システムは、機能の改善に伴い定期的に更新され、時間の経過とともに、より多くのデータポイントが必要となります。 これにより、盗まれたデータが、認証を欺く可能性のあるディープフェイクの作成に悪用されるリスクを軽減することができます。 例えば、顔認証バイオメトリクスシステムでは、認証用の新しいデータポイントを作成するために、ユーザーに定期的に新しい生体画像や動画の撮影を求める場合があり、それによって盗まれたデータポイントは使用不能になります。
生体認証の結論
生体認証は、今後も認証技術の将来において極めて重要な役割を果たし続けるでしょう。 何と言っても、消費者や従業員は、生体認証の使いやすさを高く評価しています。複雑なパスワードを思い出す必要がなく、指を置くか画面を見るだけで済むからです。また、医療従事者が患者データに迅速にアクセスする必要がある医療業界や、スピードが極めて重要なその他の環境においても、生体認証は大きな利点をもたらします。
また、毎朝パソコンの電源を入れるだけでも、従業員が迷路のような一連のログイン手順をこなさなければならない数え切れないほどのオフィスにおいても、これは画期的な変化をもたらすものです。 このように、生体認証は、 全体的な従業員のデジタル体験 を向上させる大きな恩恵であり、職場におけるテクノロジーの負担を軽減します。
[関連記事：従業員体験とは何でしょうか？ [こちらのわかりやすいガイドをご覧ください]
とはいえ、そうした特徴があるにもかかわらず、かつて考えられていたような「特効薬」ではなくなったという事実には変わりありません。 ディープフェイクやAI技術が進歩するにつれ、組織は生体認証を引き続き利用する場合、常に警戒を怠らず、必要に応じて対応を調整しなければなりません。
あるいは、クライドが言うように：
「生体認証システムは、経年劣化が進むにつれて、すべてを鵜呑みにして信頼することはできません。」 彼らは信頼できなくなるでしょう。 「重要なのは、それらを常に最新の状態に保ち、より広範なセキュリティ対策の一環として位置づけることです。」
一方、グライムズ氏は、より厳しい警告を発しています：
「指紋、顔、声――それらはすべて、すでに世の中に流出しています。」 「問題は、これからどうなるかということです。」
