研究者らが、スマートフォンのパスワードやその他の秘密の数字を入力する際に、誰かが肩越しに画面をのぞき見る「ショルダーサーフィン」への対策となるアプリを開発した。重要な金融情報や個人情報まで盗み見られるおそれがある。
ATMやスマートフォンを使う人なら誰でも、金融取引を観察できるほど近くに見知らぬ人が立っている不快さを知っている。暗証番号（PIN）や口座番号を見られる可能性もある。
ニューヨーク大学タンドン工学部のコンピューターサイエンス・工学教授、ナシル・メモン氏によると、「IllusionPIN」と呼ばれるこの技術は、近くで使う本人には一通りに、3フィート（約91センチ）以上離れた場所から見る人には別のように見えるハイブリッド画像キーボードを採用している。
この技術は、空間周波数の高いキーボード配列の画像と、まったく異なる空間周波数の低いキーボード配列の画像を重ね合わせる。それぞれの画像の見えやすさは、見る距離によって変わる。
「キーパッドの数字の従来の配列はあまりに見慣れているため、監視映像を何度か見れば、PINやアクセスコードを読み取られる可能性があります」とメモン氏は言う。
「端末に負担をかけたり、ユーザー体験を損なったりせずに、PIN認証の耐性を高めることが私たちの目標でした。」
「IllusionPINを搭載した端末では、端末に最も近い利用者には一通りの数字配列が見えますが、離れた場所から見る人にはまったく異なるキーパッドが見えます。」IllusionPINは、認証やログインを試みるたびにキーパッドの配列を変更する。
研究チームは、さまざまな距離でのIllusionPINの有効性を検証するため、スマートフォンを使った一連のショルダーサーフィン攻撃を模擬した。
合計で、21人の参加者を対象に84回のショルダーサーフィン攻撃を試みたが、成功したものはなかった。比較のため、同じ距離条件で保護機能のないスマートフォンにも21回の攻撃を行い、21回すべてが成功した。
また、監視映像を使ってPINなどの認証情報を盗み取ることも、IllusionPINによってほぼ不可能になるとチームは明らかにした。
最初のスマートフォンが登場して以来、この10年でショルダーサーフィンの脅威に対する認識は大幅に高まった。
ショルダーサーフィン攻撃の発生頻度を示す信頼できる統計はないが、メモン氏とグエン氏が2016年に実施した調査では、回答したモバイル端末利用者の73％が、他人のPINを見たことがあると答えた（必ずしも悪意があったとは限らない）。ACMコンピューティングシステムにおけるヒューマンファクター会議で発表された2017年のショルダーサーフィン認知度調査では、回答者の97％が日常生活でショルダーサーフィンを目撃したことがあるとし、その多くのケースで、被害者は自分が見られていることに気づいていなかった。
「PIN認証が広く使われているのには、使いやすく覚えやすいという、もっともな理由があります」とメモン氏は言う。「端末に負担をかけたり、ユーザー体験を損なったりせずに、PIN認証の耐性を高めることが私たちの目標でした。」
研究チームは、技術の商用化を目指し、IllusionPINをさらに改良する計画だ。
この技術に関する論文は、学術誌IEEE Transactions on Information Forensics & Securityに掲載されている。
