顔認証は写真で突破されることがある？安全性と注意点を解説

顔を見るだけでスマートフォンを解除できる顔認証は便利ですが、「SNSの顔写真を見せれば突破されるのでは」と不安に感じる人もいるでしょう。

結論からいうと、簡易的な2D顔認証では写真などを本人と誤認するリスクがありますが、すべての顔認証が写真で突破できるわけではありません。深度、赤外線、生体検知などを組み合わせる方式もあり、安全性は端末の具体的な実装で判断する必要があります。

顔認証はどのように本人を見分ける？

カメラやセンサーから取得した目、鼻、口、輪郭、各部位の距離などを、登録時に作成した顔モデルと比較します。普通のJPEG写真を毎回そのまま見比べるとは限りません。

• 2D方式：一般的なフロントカメラの映像を中心に比較する
• 深度・3D方式：顔の凹凸や奥行きも確認する
• 赤外線方式：暗所や可視光写真だけでは得にくい情報を使う
• 生体検知：写真や動画ではなく、生きた人がいるかを確認する

実際の製品は、これらを複数組み合わせる場合があります。

写真で突破される可能性は方式による

通常の写真は平面です。奥行きや赤外線を確認する顔認証では、写真を見せるだけの攻撃に強くできます。一方、2D映像を中心に判断する簡易方式では、写真や動画を本人と誤認する可能性を無視できません。

「高画質な写真なら必ず突破できる」「3D方式なら絶対に安全」という意味でもありません。精巧な模型など高度な攻撃も研究されており、100％突破不可能な生体認証はありません。

生体検知とは

生体検知は、カメラの前にあるものが実際の人間かを判断する仕組みです。奥行き、顔の動き、まばたき、視線、赤外線の特徴などを利用します。まばたきだけでは動画による偽装も考えられるため、高度な方式では複数の情報を組み合わせます。

Androidでは機種ごとの差が大きい

Androidには多くのメーカーと機種があり、一つの共通した顔認証方式があるわけではありません。同じメーカーでもセンサーや利用できる用途が異なる場合があります。

Androidでは生体認証を安全性に応じて分類し、強い認証を必要とする操作では利用できる方式を制限する仕組みがあります。AOSPの資料では、強い顔認証に安全なハードウェアや保護された照合処理などが求められます。

寝ている間や似た家族による解除

目が開いていることや画面を見ていることを確認する設定がある端末では、セキュリティを優先するなら有効にします。ただし、他人が端末を本人の顔へ向けると意図せず解除される可能性を案内するメーカーもあります。

一卵性双生児など非常によく似た人は誤認の可能性が高くなる場合があります。メーカーが警告している、または実際に家族で解除できる場合は、強いPINや別の認証方式を選びましょう。

顔認証とPINは役割が違う

顔や指紋は簡単に変更できないため、スマートフォンは生体認証とPIN、パターン、パスワードを組み合わせます。再起動後や認証失敗が続いた場合にPINを要求するのもこのためです。

普段は顔認証を使い、代替認証には推測されにくい長めのPINやパスワードを設定すると、利便性と安全性を両立しやすくなります。

アプリの顔認証とオンライン本人確認は別

OS標準の生体認証を使うアプリは、通常、顔モデルそのものではなくOSから認証の成功・失敗を受け取ります。一方、身分証明書と顔を撮影するオンライン本人確認は、端末ロックとは別のシステムです。同じ「顔認証」でも用途とデータの扱いが異なります。

顔認証を安全に使う8つのポイント

1. 機種の方式とメーカーの注意事項を確認する
2. 写真や似た人物による解除への警告を読む
3. 対応端末では注視確認を有効にする
4. 推測されにくいPINまたはパスワードを設定する
5. OSとセキュリティ更新を最新に保つ
6. 重要アプリでは追加認証を使う
7. 端末検索と遠隔ロックを有効にする
8. 簡易方式に不安があれば別の認証を選ぶ

顔認証が不安だから画面ロックを使わない、という選択は避けてください。ロックのない端末は、紛失時に写真、メール、SNS、クラウドへすぐアクセスされる危険があります。

まとめ

写真で突破される可能性は、2D画像、深度、赤外線、生体検知など端末の方式によって異なります。「顔認証」という名前だけで判断せず、メーカーの警告、重要操作への利用可否、注視確認を調べ、強いPIN、アプリの追加認証、遠隔ロックと組み合わせましょう。