セキュリティ
顔交換ソフトウェアが「わずか1秒足らず」フリーズしたことが、スペイン警察に必要な手がかりを与えました
スペイン国家警察は、一瞬の技術的な不具合によって顔が動画認証プラットフォームに露呈したことをきっかけに、あるサイバー犯罪者を検挙したと発表しました。
この氏名非公表の男は、30人になりすまして本人名義のデジタル証明書を取得しようと38回試み、複数回にわたって成功していたとされています。
デジタル証明書は、公開鍵基盤(PKI)を用いて暗号鍵を検証済みの身元に紐付けるもので、保有者が本人認証を行ったり、法的に有効な電子署名を作成したりすることを可能にします。
スペインをはじめとするEU加盟国では、証明書を使って契約に署名したり、取引を承認したり、行政機関とオンラインでやり取りしたりすることができ、従来の行政手続きに必要だった対面での予約の一部を省くことができます。
そのため、他人名義で発行された証明書は、詐欺師になりすましのための強力な手段を与えることになります。警察によれば、容疑者は不正に取得した認証情報をさらなるサイバー犯罪に利用する計画だったとみられています。
この詐欺容疑者は、デジタル証明書の発行を認可されたセキュリティ企業を標的にし、偽造書類、加工した写真、ディープフェイクツール、そして入念に組み上げた照明装置を駆使して、同社の本人確認手続きをすり抜けました。
この認証プロセスでは、申請者の顔と身分証明書の写真を照合するライブ動画チェックが求められていました。
男はディープフェイク技術を使ってリアルタイムで自分の顔を加工することで視覚的な本人確認をすり抜け、さらに特注の照明を使って各書類のホログラムの見た目を再現していたとされています。
「容疑者は家庭用のスポットライトに、戦略的に配置した色付き電球を組み合わせて使用し、実際の光の下で物理的な身分証明書に見られる輝きやセキュリティ特徴を再現していました」とスペイン警察は述べています(機械翻訳)。
「そのうえで偽造書類をウェブカメラの前でバランスよく掲げ、公式のホログラムを完璧に再現していました。またVPNを使って自分の接続を匿名化し、見た目のセキュリティ特徴を備えるよう加工した書類を使用していました」
警察は、38回の試行のうち何回が成功したかについては明らかにしていませんが、「複数回」証明書が発行されたとしています。
男の幸運は、顔交換ソフトウェアが一瞬の処理遅延を起こしたことで尽きたとみられています。変装が「わずか1秒足らず」外れ、本物の顔が認証用カメラに映り込んでしまったと警察は説明しています。
捜査員は最終的に容疑者を特定して所在を突き止め、公文書の反復偽造の疑いで逮捕しました。警察によると、自宅の捜索では高度な暗号化で保護されたノートパソコン、複数の携帯電話、記憶装置、各種書類が押収されたということです。
捜査を複雑にしたのは、24台の端末にわたる320回線以上の電話回線の使用でした。そのほとんどが盗まれた身元情報を使って登録されていたとされ、警察はその販売元をムルシア地方の業者にまでたどり着いています。®
