Googleの「自撮り動画」ログイン、ディープフェイク時代の本人確認は万全か

Googleが「自撮り動画」でアカウント復旧に対応 #

Google は、パスワードやリカバリーメールを失ってロックアウトされたアカウントを、事前登録した「自撮り動画」で復旧できる新機能を発表した。設定時にカメラへ向かって首を振るなどの動作を数秒撮影し、復旧時に撮り直した動画と照合して本人確認する仕組みだ。対象は個人アカウントが中心で、Workspace・子ども向け・Advanced Protection Program のアカウントは非対応。動画は暗号化して保存され、ユーザーが同意すれば顔認識モデルの改善にも使われるという。

ライブネス検出は万能ではない #

なりすまし対策として「ライブネス検出」(まばたきや首振りなど、生体の動きを見て本物の人間かを判定する技術)が使われるが、この分野は攻撃側との競争が続いている。オンライン本人確認(KYC)の業界では、スマホの実カメラ映像の代わりに仮想カメラドライバでディープフェイク映像を注入する攻撃が既に報告されており、静止画によるなりすましより検出が難しい。Google 自身も「顔つきが大きく変わったら登録し直す」よう案内するのみで、生成AIで作られた高精度な合成動画への耐性を具体的に保証してはいない。

パスワードは変えられるが顔は変えられない #

最大の論点は、生体情報が漏えいした場合の取り返しのつかなさだ。パスワードなら流出しても再発行できるが、顔の特徴量は生涯変わらない。暗号化保存とはいえ、将来の設定変更や規約改定によって「顔認識モデルの学習データ」として二次利用される可能性も残る。利便性は魅力だが、生体認証をアカウント復旧の主軸に据える設計は、攻撃対象が「アカウント」から「顔そのもの」へ移るリスクを内包していることを、利用者は理解しておくべきだ。