なりすまし攻撃（プレゼンテーション攻撃）の種類と、どこまでが現実的な脅威か
前回の実験で、素の顔認証が印刷写真で突破されることを確認しました。では、なりすまし攻撃には他にどんな種類があり、それぞれどのくらい「現実的な」脅威なのでしょうか。
顔認証システムの設計では、「すべての攻撃を防ぐ」ではなく「自分のシステムの用途では、どの攻撃まで守るべきか」を決めることが出発点になります。本記事はその判断材料として、攻撃の類型を整理します。
用語の整理: プレゼンテーション攻撃と PAD
カメラに偽物（写真・画面・マスク等）を提示（present）して本人になりすます攻撃を プレゼンテーション攻撃（Presentation Attack・提示攻撃） と呼びます。これを検知する技術が PAD（Presentation Attack Detection）、日本語ではライブネス検知・生体検知とも呼ばれます。この呼び方は、生体認証の国際規格 ISO/IEC 30107 で整理されている用語体系を参考にしたものです。
なお、カメラを通さずにシステム内部へ偽データを直接注入する攻撃（インジェクション攻撃）は別系統の脅威で、ディープフェイクはこちらで使われることが多い攻撃です。本記事は「カメラに提示する」タイプを扱います。
プレゼンテーション攻撃: カメラに偽物を「見せる」 → PAD（ライブネス検知）の守備範囲
インジェクション攻撃: カメラを迂回してデータを注入 → 通信・デバイスの保護の守備範囲
攻撃の5類型
① 印刷写真（Print Attack）
顔写真を紙に印刷してカメラにかざす、最も古典的で最も低コストな攻撃です。必要なのはプリンタだけ。攻撃素材の顔写真は SNS 等で本人が公開していることが多く、入手障壁も低い。前回の実験のとおり、ライブネス検知のない顔認証はこれを弾けません。
② 画面表示（Display/Replay Attack: 静止画）
スマホ・タブレットの画面に顔写真を表示してかざす攻撃です。印刷すら不要で、その場で実行できます。画面のモアレや反射といった手がかりはあるものの、それを見分けるのは照合モデルの仕事ではないため、やはり素の顔認証は通してしまいます。
③ 動画再生（Replay Attack: 動画）
本人の顔動画を画面で再生する攻撃です。静止画と違ってまばたきや首の動きが含まれるため、「まばたきしたら本人」といった単純な動き要求型のライブネス対策を無効化しうるのが厄介な点です。動画素材も、本人が公開している場合には入手できてしまいます。
④ 3Dマスク（3D Mask Attack)
本人の顔を模した立体マスクを着用する攻撃です。写真・画面と違い立体構造を持つため、深度ベースの対策も欺けるケースがあります。ただし精巧なマスクの製作には相応の費用と本人の3D形状情報が必要で、攻撃コストは桁違いに高い。狙われるのは、それに見合う価値のある対象に限られます。
⑤ ディープフェイク
AI で生成・加工した顔画像・動画を使う攻撃です。プレゼンテーション攻撃として画面越しに提示されるケースと、インジェクション攻撃として仮想カメラ経由で注入されるケースがあり、後者はライブネス検知単体ではなくシステム全体での防御が必要になります。生成コストは年々下がっており、今後最も動きが速い領域です。
攻撃コスト × 遭遇しやすさのマトリクス
| 攻撃 | 攻撃コスト | 素材の入手しやすさ | 遭遇しやすさ（体感） |
|---|---|---|---|
| ① 印刷写真 | 極めて低い | SNS等で入手されうる | 高 — 真っ先に対策すべき |
| ② 画面表示（静止画） | 極めて低い | 同上 | 高 — 同上 |
| ③ 動画再生 | 低い | 公開動画があれば可能 | 中 |
| ④ 3Dマスク | 高い（製作費・3D形状情報） | 困難 | 低 — 高価値対象に限られる |
| ⑤ ディープフェイク | 中〜低（低下傾向） | 顔写真から生成可能 | 中 — 増加傾向 |
ポイントは、脅威の大きさは「攻撃の高度さ」ではなく「実行のしやすさ」で決まることです。もっとも警戒すべきは高度な3Dマスクではなく、誰でも今日実行できる①②です。
どこまで守るべきかは「用途」で決まる
すべての攻撃への対策を積むほどコストと利便性のトレードオフが大きくなります。判断の軸は「なりすましに成功すると、誰が・どれだけ得をするか」です。
| 用途の例 | なりすましの動機 | 守るべきライン（考え方の例) |
|---|---|---|
| 勤怠打刻 | 代理打刻（不正勤怠） | ①②は必須。③まで想定すると堅い |
| 入退室・施設管理 | 不正入室 | ①②③は必須。資産価値次第で④も視野 |
| 電子カルテ・業務端末ログイン | 権限の不正利用 | ①②③は必須 |
| eKYC・口座開設 | 金銭的利益が直結 | ①〜⑤まで想定。インジェクション対策も必要 |
自分のシステムで「印刷写真で突破されたら何が起きるか」を一度言語化してみると、必要な対策レベルは自然と見えてきます。
対策の効果は「精度指標」で測る
ライブネス検知を導入する際は、「防げます」という言葉ではなく数値で評価することをおすすめします。この分野には専用の精度指標があります。
- APCER — 攻撃サンプルを誤って「生体」と受け入れてしまった割合（低いほど攻撃に強い）
- BPCER — 本物の生体を誤って「攻撃」と拒否してしまった割合（低いほど利便性が高い）
この2つはトレードオフの関係にあり、どちらか片方だけを見ても意味がありません。また、どんな攻撃サンプルを何件使ったかという測定条件とセットで読む必要があります。指標の詳しい読み方は、稿を改めて解説する予定です。
まとめ
- なりすまし攻撃（プレゼンテーション攻撃）は 印刷写真・画面表示・動画再生・3Dマスク・ディープフェイク の5類型で捉えると整理しやすい
- 脅威の大きさは攻撃の高度さではなく実行のしやすさで決まる。最優先の対策対象は、誰でも今日実行できる印刷写真と画面表示
- 「どこまで守るか」は用途次第。なりすまし成功時に誰がどれだけ得をするかから逆算する
- 対策の評価は「防げます」という言葉ではなく APCER / BPCER などの数値と測定条件で行う
🛡 なりすまし対策をお探しの方へ
本ブログを運営するスワローインキュベートは、印刷写真・画面表示などのなりすましを単一フレームから判定するなりすまし判定SDK/API（C++/C# 対応・CPU推論・オフライン動作可）を開発しています。既存の顔認証システムに後付けで組み込めます。
