あなたの顔は、もう「変えられないパスワード」になっている

パスワードは変えられます。クレジットカードは再発行できます。でも、あなたの顔は一生変わりません。

スーパーに入った瞬間、空港のゲートをくぐった瞬間、スタジアムの入口に立った瞬間——気づかないうちに、あなたの顔は「デジタルの台帳」に記録されているかもしれません。そしてそのデータが盗まれたとき、あなたには「リセットボタン」がないのです。

顔は「写真」ではなく「数式」として保存される

顔認証システムは、実際の顔写真を保存しているわけではありません。目・鼻・口・頬骨の位置と比率を数値化した「テンプレート（数学的雛形）」として変換・保存します。次にカメラがその人の顔を捉えたとき、システムはリアルタイムの顔をテンプレートと照合して本人確認を行います。

ロチェスター工科大学でサイバーセキュリティを研究するJonathan Weissman教授は、「テンプレートは写真よりも安全ではあるが、それでも盗まれる可能性がある」と指摘します。そして一度盗まれれば、そのテンプレートが「鍵」として機能する銀行アプリ、空港のセキュリティ、オフィスビルの入口——それらすべての「錠前」を変えることができません。顔は永続的であり、リスクも永続的なのです。

これは仮定の話ではありません。2024年、オーストラリアのバーやクラブで使用されていた顔認証システムの生体データがハッキングされました。2019年には、米国税関・国境警備局（CBP）が試験運用していた顔認証システムの生体データが、委託業者へのサイバー攻撃によって流出しています。幸い、盗まれたデータが実際に悪用されたという確認はまだありませんが、それは「まだ」に過ぎません。

指紋・虹彩と「顔」は、何が違うのか

生体認証には指紋や虹彩スキャンもありますが、顔認証には決定的な違いがあります。指紋や虹彩は、本人がスキャナーに意図的にかざす必要があります。一方、顔は公共空間で、本人が気づかないまま、遠距離から取得できてしまいます。

広告

広告掲載について

[email protected]

広告

さらに重要な点があります。Appleの最新デバイスや多くのAndroid端末では、顔データは端末内の専用チップに保存され、メーカーやクラウドには送信されません。しかし、小売店・空港・スタジアムが運用する外部データベースはそうではありません。多くの企業はサイバーセキュリティの専門知識を持たず、外部ベンダーにデータ管理を委託しています。そのシステムが侵害されれば、あなたの顔は「永続的な識別子」として複数のデータベースをまたいで追跡に使われる可能性があります。

米国ではWegmansやTargetなどの大手小売チェーンが万引き防止に顔認証を活用しています。さらに、マディソン・スクエア・ガーデンを管理する企業は、自社を訴えた法律事務所の弁護士を顔認証で識別し、入場を拒否したという事例もあります。カメラが捉えるたびに、新たな永続的記録が積み重なっていきます。

顔が「マスターキー」になるとき

顔のテンプレートは、データベース上の「主キー（プライマリキー）」として機能します。あるデータベースでテンプレートとメールアドレスが紐付けられ、別のデータ漏洩でそのメールアドレスが金融情報と結びつけられれば——盗まれたテンプレートを持つ犯罪者は、あなたのあらゆる情報にアクセスできてしまいます。

さらに、テンプレートにAIのディープフェイク技術や3Dフェイスモデルを組み合わせることで、「生体認証」を要求するシステムでさえ突破できる可能性があります。SNSのログイン情報や自宅住所など他の流出データと組み合わせれば、「スーパープロファイル」が構築され、顔が永続的な連結キーとなるため、この種のなりすまし被害は元に戻すことが極めて困難です。

私たちにできることは何か

組織側の対策としては、必要最小限のデータのみ保持し、すべてのテンプレートを暗号化すること、最新の「ライブネス検出技術」（写真やマスクによるなりすましを防ぐ技術）を導入すること、そして「プライバシー・バイ・デザイン」の考え方——データを必要な期間だけ保持し、利用目的を明確に文書化し、アクセス権限を厳格に制限する——を採用することが求められます。

個人レベルでも行動できます。カリフォルニア州、イリノイ州、EUなどプライバシー法が整備された地域では、企業に対してデータアクセス請求を行い、保有する生体データの開示や削除を求めることができます。また、どの地域でも、小売店などに「どんなデータを収集しているか」「どのくらい保持するか」「どう保護しているか」を直接問い合わせることは有効な第一歩です。

日本においても、2022年に改正された個人情報保護法により、生体データは「要配慮個人情報」として厳格な取り扱いが義務付けられています。しかし、法律の整備と技術の進化のスピードには、依然として大きな差があります。日本の空港や商業施設でも顔認証の導入が進む中、消費者としての意識と、企業・行政の透明性確保が同時に求められています。