顔認証より危ない「AIなりすまし」、スマホの乗っ取りを防ぐためにやるべき3つの設定変更

メール、写真、キャッシュレス決済、証券口座——。いまや、スマホ1台に生活の鍵が集約されていると言っても過言ではない。ただ、会社のPCは会社が守ってくれても、個人のスマホを守る判断はすべて本人に委ねられている。パスワードは何文字必要で、顔認証はAIに破られるのか。セキュリティ教育クラウド「セキュリオ」を手がけるLRM株式会社の藤居朋之氏に、基本のキを聞いた。

パスワードの目安は「15文字以上」

藤居氏がまず挙げるのは、パスワードの長さだ。

「『何文字なら絶対安全』と断言するのは難しいのですが、数字を挙げるなら15文字以上が一つの目安です」

根拠は、米国立標準技術研究所（NIST）が2025年に公開した最新指針だ。パスワードだけで認証する場合、サービス側は15文字以上を要求することとされている。

ただし、「15文字なら絶対安全」とも言い切れない。米セキュリティ企業Hive Systemsの2026年版の試算では、8文字でも大文字・小文字・数字・記号をランダムに混ぜれば総当たりで破るのに約132年かかる。しかし、2024年版では約225年だったことを鑑みると、パスワードを見破ろうとする側の技術も数年で大幅に上昇していることがわかる。さらに、同じ8文字でも、小文字だけをランダムに組み合わせた場合は約2週間しかもたないなど、パスワードの寿命は時代と条件で大きく変わる。

さらに、人が考えるパスワードは厳密にはランダムではないという問題もある。

「どれだけ危ないと言われていても、いまだに名前や生年月日をパスワードに入れている人は多い。こうした文字列は優先的に試されるため、はるかに効率よく当てられてしまいます。だから、複雑さより長さで余裕を持たせるのが『15文字以上』という目安です。そこで有効なのが、単語をつなげたパスフレーズ。ただし、『たまねぎ-にんじん-じゃがいも』ではなく、『電卓-昭和-たんぽぽ』のように意味のつながらない単語を組み合わせて長くするのがおすすめです」

もう一つの大原則が、使い回しの禁止だ。

「使い回しは、家の扉、会社の扉、車のロック、金庫のすべてを同じ鍵で開けられるようにしている状態と同じ。攻撃者はそれを知っているので、鍵を一つ手に入れたらほかの扉もすべて試そうとするんです。パスワードに基づくリスクを減らす大原則は、やはり『十分に長いパスワードを、サービスごとに変える』ことです。全部覚えるのは不可能ですから、記憶はパスワードマネージャーに任せてください」

AppleやGoogleがOSやブラウザに組み込む管理機能でも構わないという。定期変更はどうか。

「漏えいの兆候がないのに、定期変更する必要はありません。強制されると『Password1』を『Password2』にするような小さな変更を繰り返してしまい、必ずしも安全性の向上につながらないからです。変えるべきは、漏れたか、漏れた可能性があると分かったときだけで構いません」

顔認証はやめなくていい？危ないのは「AIなりすまし」

では、顔認証はAIに破られるのか。Face IDのように顔の立体情報や生体検知を備えた方式なら、平面の写真や映像を「本物の顔ではない」と見抜くことで、簡単にはロックを解除できないよう設計されている。SNSの顔写真やAIで作った偽映像（ディープフェイク）をかざせば解除できる、というものではない。

「近年AIが発達し、顔認証はAIに破られる恐れがあると思っている人もいるかもしれませんが、利用を控える必要はありません。端末の顔認証は、むしろ積極的に使ってください」

危ないのは、画面や電話越しの「本人に見える・聞こえる」を信用する場面のほうだ。たとえば、スマホで身分証と顔を撮影するオンライン本人確認（eKYC）。日立製作所の研究グループは、模擬eKYCシステムが他人の本人確認書類とディープフェイク映像で突破され得ることを実験で示した。

2024年には香港で、CFOや同僚をAIで再現した偽のビデオ会議を信じた財務担当者が、約38億円を送金した詐欺も報じられた。声も同じだ。

「短い音声サンプルから、本人に似た声を作れるようになっています。『声が本人に聞こえたから本人だ』という判断は、ますます危険になるでしょう。AI時代の本質的な問題は、生体認証が全部AIに破られることではなく、AIによって、人間が顔や声だけで本人を見分けることが難しくなったこと。『AI認証』というより、『AIによるなりすまし』が危ないと整理したほうが正確です」

本物そっくりの偽メールでIDやパスワードを盗むフィッシングも、文面が生成AIで自然な日本語になった。「日本語が変だから詐欺と見抜ける」は、もはや昔の常識だ。

今日やるべき設定は3つ

では、何から手を付けるか。まず挙げるのは、避けるべき行動だ。

「いまもっとも注意してほしいのは、SMSやメールのリンク先でIDやパスワードを入力することです。金融機関や宅配業者から連絡が来ても、リンクからは開かず、公式アプリや自分で登録したブックマークから入り直す習慣をおすすめします」

そのうえで、今日やるべき設定は3つ。

「1つ目は、メール・金融・SNSなどの重要アカウントに多要素認証を設定すること。SMSで届くコードの認証でも、何もしないよりはるかに安全です。2つ目は、パスワードマネージャーを使って使い回しをやめること。3つ目は、対応している重要サービスでパスキーを登録すること。特にメールは、他のサービスのパスワード再設定に使われる『最初の入口』なので、最優先です」

パスキーは、ログインの承認を端末の顔認証や指紋認証、PIN等で行い、パスワードそのものをなくす仕組み。本物のサイトとひも付いているため、そっくりの偽サイトでは反応しない。

スマホの安全は、機種の新しさ以上に「設定」が重要だ。たった数秒の設定変更で、お金と情報を失うリスクを大きく減らすことができる。

【解説者プロフィール】

藤居朋之
LRM株式会社 執行役員CCO／コーポレート部部長。同社はAI時代のセキュリティカルチャー形成を支援する情報セキュリティ企業で、2500社以上が導入するセキュリティ教育クラウド「セキュリオ」を提供する。共著書に『AI時代のセキュリティ教育　なぜサイバー攻撃から企業を守れないのか？』（クロスメディア・パブリッシング）がある

文／桜井カズキ