アップルの「iPhone X」に搭載された顔認証システム「Face ID」をハッキングするのは、熟練したハッカーではないと容易ではない──。そう彼は言った。「彼」とは、自分によく似た顔をした親のiPhoneへの侵入を試みた、10歳の少年のことである。

アタウラー・マリクとサナ・シェルワニは、11月の初めにそのことを発見した。小学5年生の息子であるアマル・マリクが、ふたりのFace IDを設定したiPhone Xを見るために、ニューヨークのスタテンアイランドにある自宅のベッドルームに入ってきたときのことだ。「このiPhoneにアクセスするのは無理よ」と、妻が息子に冗談まじりで少し厳しく言ったのを、父親のマリクは覚えている。

そこでマリクは、アマルに自分のiPhoneを見るよう勧めた。アマルはどちらのiPhoneが父親のものか区別できなかったため、母親のiPhoneを手に取った。そして画面を見ると、ロックがすぐに解除されてしまったのだ。両親はショックを受けたが、10歳のアマルはとても面白がっていたのだという。

それから数日後、マリクは『WIRED』US版の電話インタヴューに、こう答えている。「初めは面白いと思いました。でも、あとになって笑えなくなりましたね。妻とはいつもメールでやり取りをしていて、そのなかにはアマルに見せたくない内容もあります。妻は息子に見せたくない内容がある場合は、メールを削除しなければならなくなったのですから」

Face IDを実用化したことでアップルは、過去に行われたことがない規模で生体認証セキュリティの壮大な実験を開始したともいえる。その大部分において、アップルは勝者となった。

『WIRED』US版は、他人になりすましてロックを解除しようとする試みに失敗［日本語版記事］している。つい最近、Face IDの解除に成功したというベトナム人ハッカーでさえ、多くの非現実的な技術を駆使した。それは被害者の顔を詳細までデジタルスキャンして、3Dプリンターでプラスチックやシリコンで出力し、さらにメイクアップしたうえで、紙で仮面をつくる必要があった。

アップルの生体認証をハックしようとするハッカーは別として、顔認証によってプライヴァシーが偶発的に侵害される問題が明らかになっている。例えば、よく似た顔した家族は互いのデヴァイスをロック解除できる、というものだ。

実際にアップルは双子だけでなく、親族でなくても似ていればFace IDを欺くことができる可能性があると認めている。だが、顔が親によく似た子供が親のiPhoneのロックを解除できるような事態は、Face IDの最も現実的な懸念を示している。

「Face IDを無効にしようとは思いません。これはとても便利です。でもプライヴァシーという点では面倒だと思います」と、テクノロジー企業で技術業務部長として働くマリクは語る。そして一般的に親が使うiPhoneは、銀行預金から食品デリヴァリーまで、あらゆるアプリへのアクセスができるとも指摘する。

「息子が妻のiPhoneにアクセスすれば、欲しいときにいつでもアイスクリームを注文することすら可能です」と、マリクは言う（ちなみに、アマルは母親のiPhoneにアクセスできることを利用するような子ではないと、マリクは補足した。それにクラスで1番の成績でもあるそうだ）。

マリクが言うように、妻が顔認証の登録をしたあと、息子は妻のiPhone Xを確実に解除することができた。それは『WIRED』US版とシェアした映像に収められているほか、マリクのLinkedInの投稿にも書かれている。アマルが父親のiPhoneのロックを解除しようとすると、それも解除できた。だが、それは1度だけで、再現はできなかった。

アマルの顔は妻の顔より明らかに小さく、ふたりの顔の特徴は少し異なっている。このため、なぜロックが解除できたのか、マリクにはよくわからなかった。「多くの人は、息子はわたしのほうに似ていると言いますから」と、マリクは言う。

再現できるか挑戦してみた結果は…

実際に何が起きたのかを改めて確かめるために、『WIRED』US版は妻のシャルワニに顔の再登録を依頼した。シャルワニが顔を再登録したところ、なぜかアマルがアクセスすることはできなくなったのだ。

そこで今度は、数時間後に改めて顔の登録を行った。それは初めてiPhoneの設定を行ったときと同じように、夜に室内で照明がついていた条件を再現するためだ。すると今度は、3回目と6回目に解除することができた。この時点でiPhoneの人工知能（AI）がアマルの顔の特徴を学習してしまったようで、その後は何度も何度も確実に解除できたという。

これらのことから、条件が整い、両親がその可能性を知らない場合、運のいい子供は両親の秘密にアクセスできることがわかった。「誰もがこのようなテストを行うわけではありません。それに家族の誰かが自分のiPhoneのロックを解除しているなんて、普通は気づかないと思います」と、マリクは言う。

このFace IDに起きた家族間の問題がどれだけ広がり、ほかの子供も両親のiPhone Xのロック解除ができるようになるのかはわからない。アップルは『WIRED』US版の取材に対してコメントしなかった。

だが、Face IDのセキュリティガイド［PDFファイル］やサポートページ（日本語）には、こう書かれている。「双子や似ている兄弟姉妹、または13歳未満の子供については顔の特徴も成長途上にあるため、（解除できてしまう）統計的な確率が違ってきます。この点について懸念される場合は、パスコード認証をご利用になることをおすすめします」

マリクとシャルワニの子供だけが、予期せずにiPhone Xのロック解除ができた血縁者ではない。このふたりの兄弟を含む双子でない兄弟姉妹や、下に映像にあるように明らかに年の離れたイギリスの異母兄弟もそうだった。

しかし、これらの場合には、兄弟たちは意図したのか不注意なのかは不明だが、iPhoneに2つの顔を教え込ませている。毎回、顔認証に失敗したあとにパスコードを入力すると、Face IDはスキャンに失敗したと認識してデータを修正するように設計されている。これにより、回を重ねるごとに正確性を増す仕掛けだ。つまり、iPhoneの所有者ではない別の兄弟の顔がFace IDに拒否されたあとにパスコードを入力すると、システムは彼の特徴を学習することになる。

しかしマリクは、彼の家族で起きたことは、そういった問題ではないと強調する。最初にアマルがiPhoneを見たときにロックが解除されており、彼の顔がロックを解除できなかったあとには、誰もパスコードを入力していなかったからだ。

Face IDを無効にしたくなかったり、パスコードに依存したくなかったりする人のための解決策としては、自分をFace IDに設定したあとに、子どもの顔をFace IDに認識させてみることだとマリクは言う。「家族全員に試してみて、誰がアクセスできるかを確認したほうがいいでしょう」

もしロックが解除できてしまったら、異なる照明の環境下で再登録して試してほしい。それでも解除されてしまったなら、子どもの手が届くところにiPhoneがあるときは、常に気をつけておく必要があるだろう。そしてアイスクリームのデリヴァリー用アプリの利用履歴はチェックしておくことだ。