モバイルAI顔認証、ディープフェイク画像注入で本人確認回避

概要

iProovのレッドチームは、モバイルアプリケーションで広く利用される顔生体認証サービスに対し、ディープフェイクを用いた顔入れ替え画像注入攻撃を実演しました。この攻撃は、ライブ顔認識認証モデルと、パッシブおよびアクティブな生体検知の両方を成功裏に回避できることを示しました。 攻撃者は、オンラインのソーシャルネットワークや闇市場から収集した被害者の顔画像と、Faceswapツールを用いてリアルタイムのディープフェイク動画を作成。Open Broadcaster Software (OBS)でこの動画をストリームし、Androidアプリ「Virtual Camera: Live Assist」を使ってデバイスのカメラ入力をディープフェイク映像に置き換えることで、金融サービスアプリのKYC（本人確認）プロセスを突破しました。 これにより、攻撃者は被害者の身元になりすまし、特権システムへのアクセスや、銀行・仮想通貨アプリでの偽アカウント作成が可能となり、被害者に金銭的損害を与える可能性が示唆されました。この事例は、進化するディープフェイク技術がモバイル顔認証システムの脅威となることを浮き彫りにしています。