顔認識はどのようにして国民の個人情報を侵害するのでしょうか?犯罪者がアリペイを騙し取るために3D顔モデルを作成

[[360029]]

記者 | 趙孟

近年、顔認識技術の普及に伴い、国民の個人情報のセキュリティに関する問題がますます注目を集めています。

インターフェースニュースが司法文書ネットワークを検索したところ、顔認識による市民の個人情報侵害に関連する司法文書が36件あることがわかった。最も古い事例は2017年に発生し、その年には2件の事例があった。近年、関連事件は増加傾向にあり、2020年現在で18件発生しています。

これらの事件で明らかになった犯罪行為は、オンライン融資プラットフォームが国民の顔認識情報を違法に入手してオンライン融資口座を開設したり、顔認識情報を債権回収会社と共有したり、営利目的でこの情報を販売したりする行為が中心となっている。さらに、一部の通信会社職員は、国民に通知することなく携帯電話カードを有効にするために国民の個人情報を違法に収集した。

注目すべきは、犯罪者が3D顔モデルを作成し、アリペイの顔認識システムを欺いて詐欺を実行したことが明らかになった事例が2件あることだ。これにより、日常的なアプリケーションにおける顔認識技術の脆弱性も明らかになります。

サイバーセキュリティの専門家は、ジエミアン・ニュースに対し、シミュレートされた3D顔モデルを製作するブラック産業チェーンはすでに成熟しており、多くのソフトウェアコードがオープンソース化されていると語った。身分証明書の写真を使って、口を開けたり、まばたきをしたりする動作をシミュレートすることは技術的に可能であり、そのシミュレーション効果は非常に高く、技術レベルが低い多くの顔認識プラットフォームを欺くことができる。しかし、近年の技術の向上により、大規模なアプリケーションプラットフォームを欺くことは容易ではありません。

専門家は、顔データが犯罪者に入手されれば、国民の情報セキュリティに大きなリスクをもたらすだろうと述べ、顔データを収集する機関はより厳しく規制されるべきであり、資格レベルを設定するのが最善だと提案した。「どのような機関が顔データを収集できるかに応じて、それに応じたセキュリティレベルの要件があるべきだ」

3D顔モデルがAlipayを騙す

2019年10月、成都市邳渡区人民法院は、2018年8月、重慶市合川出身で中学卒の唐潔が他人の紹介で山東省菏沢市の李瑞安を2度訪れ、アリペイの顔認識認証システムをクラックするための3D顔動画像の作成方法を学び、さらに被告李瑞安から関連機器を購入し、被告李瑞安に2万元以上を支払ったと判決を下した。唐潔は学業を終えた後、アリペイの顔認証を破るサービスを提供できると主張する情報をインターネットに投稿した。

2018年9月、唐潔は「Half the Sky」という人物から唐のAlipayアカウント情報を入手し、「Half the Sky」からAlipayがアカウントに課した制限を解除するよう依頼を受けた。唐潔は唐の顔の3Dダイナミック画像を作成することでアリペイの顔認識認証システムを突破し、唐のアカウントへのアリペイのログイン制限を解除した。

唐潔は被告張宇に唐のアリペイ口座情報を提供した。被告張宇は身分証明書と誓約書を持った唐の写真を偽造し、アリペイのカスタマーサービス番号に電話をかけて唐の口座資金に対するアリペイの凍結を解除した。その後、張宇は電話料金を購入することで唐氏のアリペイ口座から2万4000元以上を送金した。

その後すぐに、張宇は四川省広漢市で逮捕された。警察は張宇の部屋にあったASUSのノートパソコンを押収し、そのパソコンから氏名、身分証明書番号、銀行カード番号など2000万件以上の市民の個人情報を抜き取った。その後すぐに、唐潔と李瑞安は相次いで逮捕された。

2019年9月19日、邳度区人民法院は張宇がコンピューター情報システムのデータを不法に取得し、市民の個人情報を侵害した罪で有罪であるとの第一審判決を下し、懲役6年6ヶ月と罰金6万元の判決を下した。唐潔氏はコンピューター情報システムからデータを不法に取得した罪で有罪判決を受け、懲役1年10ヶ月と罰金1万5000人民元を言い渡された。残りの者にも相応の罰則が科せられた。

これは孤立したケースではありません。浙江省紹興市出身の張富は2018年7月から姚立平を雇い、購入した国民の個人情報を使ってアリペイのアカウントを登録し、ソフトウェアを使って国民のポートレート写真を国民の3Dポートレートに変換し、アリペイの顔認証に合格する方法を于航飛に教えた。張富、姚立平らは、この方法を使って、アリペイの新規ユーザー登録を招待した人にアリペイが提供した紅包特典を獲得した。アリペイの新規ユーザー1人あたり、少なくとも28元の特典を獲得できる。

事件後、警察は張福から約2000万件の国民の個人情報を押収し、また于航飛のスタジオから張福から不法に入手した国民の個人情報287,773件を押収した。張富は2018年7月から事件発生時までに、他人の個人情報を利用し、顔認証に合格した実名アリペイアカウントを少なくとも547件登録し、1万5316元の不法利益を得た。そのうち、姚立平は239のアリペイアカウントの登録に関与し、6,692元の不法利益と2,000元の個人不法所得を得た。

2019年11月18日、浙江省江山市人民法院は張富が市民の個人情報を侵害し詐欺行為を行ったとして第一審判決を下し、懲役4年8ヶ月、罰金1万5000元を宣告した。他の関係者にも懲役6ヶ月から3年9ヶ月の刑を宣告した。さらに、裁判所は張富らに対し、アリペイ（中国）ネットワークテクノロジー株式会社の違法な利益を返還するよう命じた。

高齢者が顔情報を収集するために写真を撮られる

高齢者は情報識別能力が弱いため、顔認識技術が違法に利用される特別な被害者層です。犯罪者は「給付金を支給する」や「贈り物を配る」などの名目で高齢者を誘い、写真などの個人情報を提供させるケースが多い。

2018年10月13日、吉林省農安県長江村の陳さんは、村の幹部から、長江村役場で福祉イベントが開催され、55歳以上の人は身分証明書を持参して参加する必要があるというメッセージを受け取った。チェンさんは、現場に到着した後、誰かが彼の身分証明書の写真を撮り、「私の写真を撮った」と語った。その後、この人々は彼に大豆油の瓶を贈りました。同日、村内の高齢者数十人の身分証明書や個人写真が撮影された。

実際、彼らは携帯電話で高齢者の写真を撮っているだけではなく、顔認識も行っています。吉林省農安県人民法院は、2018年10月から2018年11月11日までの間、被告人斉星が宋文珍、于洋、陳玛、徐双峰、邵桂華らと共謀し、農安県内の一部の町村で福祉（麺や油）を住民に配布するという名目で住民の個人情報を不法に入手し、住民に知られることなくその個人情報を使って移動通信カードを起動・認証したと認定した。実名認証に合格した後、Qi Xingはモバイルエージェントから手数料を受け取り、合計141,980人民元の利益を上げました。結局、斉星らは1年から3年の懲役刑を宣告された。

2017年12月、安徽省懐遠県人民法院が下した判決によると、2016年1月から8月の間、韓非は蔡金雷、張軍、張茂全らとともに江蘇省宿遷市、徐州市、安徽省蘇州市、懐遠県のスーパーマーケットに出向き、一定額のお金を使えば贈り物がもらえるという口実で、客に贈り物を受け取る際に名前と身分証明書番号を提示するよう求め、顔写真情報を収集していた。

被害者の60代の孟さんは、2016年7月のある日、泗洪県板城街のトラストマートスーパーマーケットで買い物をしていたときのことを思い出した。「当時、スーパーマーケットでは38元以上購入すると洗濯洗剤が無料でもらえるというキャンペーンをやっていました。」彼女が洗濯用洗剤を受け取っているとき、ある男性が彼女に身分証明書の提示を求め、携帯電話で彼女の写真を撮影した。孟氏は疑問を表明し、相手側は「何度も受け取るのが怖かった」と嘘をついた。その後、孟さんはHaotai Taiの洗濯用洗剤を1本受け取った。

被告の韓飛は、顧客に知られることなく写真撮影による顔認証を行い、不法に取得した国民の個人情報を携帯電話を通じてアップロードし、人人星科技有限公司が開発・運営するJiedaibaoアプリのユーザーとして登録し、合計1万2000件以上のアカウントを登録したことを認めた。最終的に裁判所は、市民の個人情報を侵害した罪で韓非に懲役2年10ヶ月の刑を言い渡し、他の犯罪者全員にも判決が下された。

浙江省での「初の顔認識事件」の判決や、顔認識を避けるために市民が「ヘルメットをかぶる」ことで最近白熱した議論が巻き起こったことなどにより、顔認識に関連する情報セキュリティ問題も立法部門の注目を集めている。

12月21日、全国人民代表大会常務委員会立法委員会報道官、立法企画室主任の岳忠明氏は、個人情報保護法案草案は民法典の関連規定に基づき、個人情報保護制度の規則をさらに精緻化、充実させ、個人情報処理活動における個人の権利と処理者の義務を明確にし、法規範の体系性、対象性、運用性を一層高めていると述べた。