ディープフェイクが本人確認をすり抜ける？生体認証を悪用する新たな攻撃リスク

Entrustの最新レポートによると、生体認証を悪用した不正のうち、現在は5件に1件がディープフェイクによるものです。また、ディープフェイク化されたセルフィーの検知件数も、この1年で58%増加しました。

Entrustは次のように述べています。「ディープフェイクの増加は、より高度な攻撃が増えている大きな流れの一部であり、その背景には前年から40%増加したインジェクション攻撃の急増があります。」

「インジェクション攻撃では、加工した画像や動画を検証システムに直接送り込むことで、ライブ撮影のプロセスを回避できるようになります。ディープフェイクと組み合わされると、こうした高度な手口は本物のユーザーやライブ撮影の状況を模倣し、強固かつ多層的な不正対策がなければ見抜くことが難しくなります。」

レポートは、こうした攻撃がソーシャルエンジニアリングにどのように利用されているか、とくに従業員のオンボーディングプロセスにおける悪用に焦点を当てています。

リサーチャーは次のように説明しています。「不正防止システムはこれまでになく強化されていますが、依然として最大の脆弱性は人です。2025年には、オンボーディング時の本人確認を狙ったソーシャルエンジニアリングや強要がますます大きな脅威になっていることを示す兆候が見られます。」

「強要型の攻撃は、表面上は通常の本人確認プロセスと変わらない点も問題です。被害者は自身の正規な書類や認証情報を提示していますが、その裏では第三者からプレッシャーや指示を受けています。このような状況は、技術的なチェックだけでは非常に見抜きにくいのが実情です。」

リサーチャーは、不正行為をビジネスのように組織立てて行う犯罪グループを数十組特定し、追跡しています。高度なスキルを持たない攻撃者でも、攻撃の自動化に特化したプラットフォームを購入することで、不正を行えるようになっています。

リサーチャーは次のように述べています。「攻撃者はいま、暗号化されたメッセージングチャネルやダークウェブのフォーラムを通じて、完成済みの攻撃キットやクレデンシャルダンプ、AI搭載のディープフェイクツールを直接購入できます。」

「こうしたプラットフォームにより、専門家レベルの不正行為が、わずかな技術スキルしか持たない人物にも手の届くものとなり、攻撃の件数と巧妙さの両方が急増しています。」

KnowBe4のセキュリティ意識向上トレーニングは、従業員のセキュリティ意識を高め、日々求められるセキュリティ上の判断に従業員一人ひとりが的確な意志決定を下すことを可能にします。世界の7万社を超える企業や団体がKnowBe4を採用して、防御の最終ラインとして「人」による防御壁を構築して、セキュリティ文化の形成につなげています。

詳細については、Entrustの記事を参照してください。