生体認証は、フィリピンでデジタルトランザクションの増加が続く中、進化するサイバー脅威に対してオンライン金融サービスをより安全にする可能性があると、本人確認サービス提供企業iProovは述べた。

フィリピンの多くの金融機関はすでに、Bangko Sentral ng Pilipinas（BSP）の規則に対応するため、ワンタイムパスワード（OTP）を、生体認証、行動分析、適応型、またはパスワードレスの強力な認証技術に置き換えている。これらの規則は、Anti-Financial Account Scamming Act、すなわちRepublic Act No. 12010に基づいている。

iProovの最高技術責任者であるDominic Forrest氏は、OTPは「非常によく知られた」不安全な仕組みであり、この流れは歓迎すべき変化だと述べた。

「生体認証は、SMS OTPよりもはるかに強いセキュリティ要素を提供します」とForrest氏はBusinessWorldとのオンラインインタビューで語った。

同氏の発言は、サイバー犯罪者がディープフェイクや生成人工知能（AI）を使って従来の認証システムを突破する、より高度な詐欺手法を展開している中で出たもので、銀行やその他の金融機関は、サービスの使いやすさを損なわずにログインや取引時の確認を強化するよう求められている。

「最大の課題は、犯罪者は常に適応するということです。そして、彼らは銀行が従うべきものと同じ規制に縛られていないため、より速く動くことができます」とForrest氏は述べた。

同氏は、生体認証はコードやトークンとは異なり、利用者が自分の顔を他人と共有できないため、真の「フィッシング耐性」技術だと説明した。

生体実在性確認と多層防御

ディープフェイク対策として、iProovは、利用者が「実在する本人であり、正しい本人であり、今まさに存在している」ことを確認する生体実在性確認を用いている。これはDynamic Livenessと呼ばれる手法で実現され、端末画面の色を変化させて、ユーザーの顔に当たる光の反射を観察する。その後、映像は20を超えるニューラルネットワークによって分析され、改変画像やデジタル再生の兆候を検出する。

Forrest氏によると、同社は攻撃者を防ぐための多層防御戦略も提供している。すべての取引を複数のAIネットワークに通すことで、システムは「情報の非対称性」を生み出し、防御側はあらゆる攻撃から学ぶ一方、犯罪者は失敗の理由について何のフィードバックも得られない。

「この仕組みは、犯罪者に対して意図的に完全に不公平です。彼らにはデータがなく、防御側には膨大なデータがあるため、対等な競争ではありません。その結果、システムは多くを学べますが、攻撃者は有用なフィードバックを得られません」とForrest氏は述べた。

iProovは1日あたり150万件から200万件の取引を扱っているという。同社のプラットフォームは、ウイルス対策ソフトのように定期的に更新され、世界的な攻撃パターンや、ダークウェブ上の130以上の犯罪フォーラムおよびメッセージアプリTelegramを監視する専任の脅威インテリジェンス部門から学習している。

生体認証の画像はプライバシー保護のため短期間で削除されることが多いため、iProovはニューラルネットワークが生成する浮動小数点数からなる技術メタデータを保持している。このデータにより、同社はいつでもプラットフォームの状態を再構築でき、規制当局や銀行に詳細な監査証跡を提供できる。

一般利用者にとっての目的は、高度なセキュリティを意識させないことだ。認証プロセスでは通常、複雑なジェスチャーを行う必要はなく、利用者は2～3秒間、顔を静止させるだけでよい。

Forrest氏はさらに、このシステムは包摂性を重視して設計されており、さまざまな肌の色や民族に対応し、通信状態の悪い古い携帯端末でも動作すると付け加えた。

「iProovの役割は、消費者の『邪魔をしない』ことです。セキュリティは強固に保ちながら、あまりにもシームレスで一貫したプロセスにすることで、人々がほとんど存在に気づかないようにするのです」と同氏は述べた。 — J.C.A. Gonzales