スマホの顔認証の安全性は、機種や実装で異なります。Androidでは「顔認証」という名称だけで判断せず、生体認証の強度分類とメーカーの公式仕様を見てください。不安があれば、画面を見ていることを求める設定を使い、顔認証を使う用途を絞り、PIN・パスワードへの切り替えを検討しましょう。
写真や動画、仮面はAndroidの顔認証を評価する試験で想定される攻撃手段ですが、すべての端末で解除できることを意味しません。ここでは、試験の意味やAndroidの認証クラス、Google Pixelで確認できる設定と注意点を解説します。
顔認証は一律に危険・安全とはいえない
顔認証の安全性は、顔の特徴をどのように読み取り、登録データと照合するかなど、端末ごとの実装に左右されます。そのため「顔認証なら写真で簡単に解除できる」「顔認証なら絶対に突破されない」とは言い切れません。
端末の生体認証の強度分類、顔認証を使える機能、顔データの保存・処理方法を、メーカーの公式仕様やサポート情報で調べましょう。機種名とOSに対応する説明を参照すれば、自分の端末の仕様を把握できます。
写真・動画・仮面は試験対象だが、全端末で突破できるわけではない
Androidの顔認証に関するなりすまし試験では、印刷した写真、スマートフォンやモニターに表示した写真・動画、3Dプリント製の仮面などが攻撃手段の例として挙げられています。これは認証の性能を評価する際に想定される手段です。試験対象に含まれることは、すべてのAndroid端末でそれらを使ってロックを解除できるという証拠ではありません。
Androidの認証の強度は、仕組みの安全性やなりすましへの耐性などを評価して分類されます。Googleの説明を確認する場合は、Androidの生体認証システムと生体認証を用いたロック解除のセキュリティ測定が参考になります。
強度の高い分類も、攻撃を完全に防ぐ保証ではありません。試験の説明から実機の解除可否を推測せず、端末メーカーが示す仕様と注意事項を判断材料にしましょう。
Androidは顔認証の名称ではなく生体認証クラスを確認する
Androidでは、生体認証の強度をクラス3（旧称「強」）、クラス2（旧称「弱」）、クラス1（旧称「利便性」）に分類しています。分類は顔や指紋といった方式の名前だけで決まるのではなく、生体認証のセキュリティに基づきます。したがって、顔認証を搭載しているという情報だけでは、認証の強さは判断できません。
端末を選ぶときや設定を見直すときは、次の点を確認します。
- 使っている機種とOSのバージョン
- 顔認証の強度についてメーカーが公表している情報
- ロック解除以外に、アプリの本人確認や購入承認にも使えるか
- 顔データの保存場所や処理方法についての説明
- 画面を見ていることを求める設定など、利用できる安全機能
機種別の設定手順や対応機能は、端末メーカーの公式サポート情報に沿って操作しましょう。
Pixelの顔認証で知っておきたい注意点
Googleの案内では、顔認証はPixel 7以降のPixel（Pixel Fold、Pixel Tabletを含む）が対象です。自分の機種で利用できる機能は、Google Pixelの顔認証に関する公式ヘルプで確認できます。
Googleは、Pixelの顔認証について、複雑なPIN・パターン・安全なパスワードより安全面で劣る可能性があると説明しています。また、双子などよく似た人が解除できる可能性や、他人が端末を本人の顔にかざすことで解除される可能性も案内しています。顔認証の便利さだけでなく、こうした条件も考慮して利用を決めてください。
Pixelでは、顔認証をスマートフォンのロック解除やアプリでの本人確認に使うか選べます。アプリへのログインや購入の承認に使う機種は、Googleの案内で確認できます。必要のない用途では顔認証を有効にせず、利用範囲を絞りましょう。
Pixelで顔認証の設定を見直す方法
画面の注視を必要にする
Pixelでは「画面の注視が必要」をオンにすると、ロック解除時に画面をまっすぐ見る必要があります。端末を顔に向けられた場合などが心配なら、設定にこの項目があるか確認し、有効にすることを検討できます。
顔認証を使う用途を選ぶ
顔認証を使う機能を設定画面で見直し、必要な用途だけ有効にしましょう。ロック解除やアプリでの本人確認など、使わない用途を無効にすれば、利用範囲を絞れます。
使わない場合は顔モデルを削除する
Pixelでは設定から顔モデルを削除できます。Googleの案内にある操作例は、設定アプリの「セキュリティとプライバシー」から「デバイスのロック解除」「顔認証」と進み、PIN・パターン・パスワードを入力して削除する方法です。OSのバージョンによって画面や項目名が異なる場合があるため、操作に迷ったら公式ヘルプを参照してください。
顔認証を削除した後も、画面ロックにはPIN・パターン・パスワードなどを設定しておきます。認証方法を切り替える際は、代わりのロック解除方法を忘れないよう管理しましょう。
顔データの保存・処理方法は機種ごとに確認する
GoogleはPixelについて、顔モデルの作成に使った画像は保存されず、顔モデルは端末に安全に保存され、外部に送信されないと説明しています。この説明の対象はPixelです。
他メーカーの端末では、顔データの保存場所や処理方法を、機種とOSのバージョンに対応する公式情報で調べましょう。メーカーのプライバシー説明やセキュリティ情報を参照すると、保存形式も含めて仕様を把握できます。
iPhoneのFace IDはAndroidとは別の仕組み
Appleによると、Face IDは顔の深度情報と赤外線イメージを取得して登録データと照合します。印刷物や2Dデジタル写真には必要な深度情報が含まれないため、写真だけによるなりすましを防ぐ仕組みがあると説明されています。
これはAppleのFace IDについての説明で、Android端末の仕組みや安全性を示すものではありません。詳しくはAppleのFace IDに関する説明を参照してください。
顔認証に不安がある場合の判断手順
- 機種とOSを確認する。 端末の設定画面などで機種名とOSのバージョンを把握します。
- メーカーの公式情報を調べる。 顔認証の強度、使える機能、顔データの扱い、画面注視の設定を確認します。
- 必要な用途だけで使う。 ロック解除以外の本人確認にも使える場合は、使う必要があるか検討します。
- より慎重に管理したい場合はPINやパスワードを選ぶ。 PixelについてGoogleは、複雑なPIN・パターン・安全なパスワードのほうが顔認証より安全面で優れる可能性があると案内しています。
まとめ
スマホの顔認証は、機種や実装によって安全性が異なります。写真・動画・仮面がAndroidの試験対象に含まれていても、すべての端末で解除できるという意味ではありません。
Androidでは生体認証クラスと端末メーカーの公式仕様を確認し、Pixelの場合は画面の注視、利用する用途、顔モデルの削除などを見直せます。顔データの扱いや設定方法は機種ごとに確認し、不安が残る場合は複雑なPINやパスワードを選択肢にしてください。