Didit が iBeta Level 2 に合格：300 件の攻撃、突破は 0 件
Didit のライブネス検知が ISO/IEC 30107-3 に基づく iBeta Level 2 のプレゼンテーション攻撃検知に合格しました。攻撃 300 件、受け入れ 0 件。画面の向こうに本物の人間がいると証明することが今なぜ重要なのか、Alberto Rosas が語ります。
私たちは iBeta Level 2 に合格しました。2026年11月9日、iBeta Quality Assurance は、Didit のライブネス検知が ISO/IEC 30107-3 のプレゼンテーション攻撃検知（Presentation Attack Detection）Level 2 に準拠していることを確認しました。ラボは 300 件のプレゼンテーション攻撃を仕掛け、1件も通りませんでした。
なぜこれが私にとって大事なのか、そしてインターネットでプロダクトを運営するすべての人にとってなぜ大事であるべきだと考えるのかを説明させてください。これはプレスリリースではありません。私たちが Didit を今の形で作った理由そのものです。
何に合格したのか
iBeta Quality Assurance は、NIST/NVLAP の認定（ラボコード 200962）を受けた独立系の生体認証ラボで、プレゼンテーション攻撃検知の試験に関する国際規格 ISO/IEC 30107-3 に基づいて試験を行っています。プレゼンテーション攻撃とは、生きた人間ではないもので顔認証をだまそうとするあらゆる試みのことです。写真、画面に映した動画、マスクなどがそうです。
結果はシンプルです。攻撃 300 件。受け入れ 0 件。攻撃成功率 0%。
Level 2 は iBeta の2段階目のレベルです。Level 1 よりも高度で高価な攻撃ツールを使い、より高いスキルを持ち、より多くの時間をかけた攻撃者がそれを作ります。Level 2 で試験されたのは、私たちのアクティブ・ライブネスです。パッシブ・ライブネスは 2026年2月に Level 1 に合格しており、360 回の試行で攻撃成功率は 0% でした。つまり今日の Didit は、iBeta Level 1 と Level 2 の両方を持っています。
確認書を読む。私たちが保有するその他の認証はすべてトラストページに掲載しています。
Level 1 と Level 2 の違いを、わかりやすく
| Level 1 | Level 2 | |
|---|---|---|
| 攻撃者のスキル | 特別な専門知識は不要 | 中程度：同種の試験を少なくとも1回経験し、ライブネスの仕組みを理解している |
| 攻撃ツール | 家庭やオフィスで手に入るもの。材料費は 30 ドルまで | 3D プリンター、樹脂マスク、ラテックスマスクなどのより高価なツール。材料費は 300 ドルまで |
| 許容される攻撃の通過率 | 0% | 最大 1% |
| 証明されること | 安価でよくあるなりすましを止められる | より精巧な偽物を持つ熟練した攻撃者にも耐えられる |
出典：iBeta が公開している PAD 試験の方法論。iBeta の方法では、Level 2 で最大 1% の攻撃の通過が認められています。私たちは 0 でした。
どちらのレベルも試験の方法は同じです。私たちと利害関係のないラボが偽物を作り、それをシステムに提示し、何件通ったかを数えます。変わるのは偽物の出来です。Level 1 は、安価でよくある攻撃を止められるかを問います。Level 2 は、誰かが本気で手間をかけたときにも持ちこたえられるかを問います。
なぜ今、これが重要なのか
10年前、顔を偽造するにはスキルが必要でした。今はノートパソコン1台と午後の数時間があれば足ります。
これは私の意見ではありません。2024年11月、米国財務省の金融犯罪対策部門である FinCEN はディープフェイクメディアに関するアラートを出し、2023年以降、ディープフェイクが「本人確認や認証の手段を回避するために」使われたことを示す疑わしい取引の届出が増えていると述べました。挙げられた危険信号のひとつが、顧客が「ライブの本人確認中にサードパーティ製のウェブカメラ用プラグインを使用している」ことです。
デロイトの Center for Financial Services は2024年の推計で、生成 AI によって米国の詐欺被害額が 2023年の 123億ドルから 2027年には 400億ドルに達する可能性があるとしました。2026年1月には、世界経済フォーラムの Cybercrime Atlas が17 の顔交換ツールを分析し、その一部がすでに「デジタル KYC を揺るがしうる、リアルタイムかつ高精細ななりすまし」を実現していることを明らかにしました。欧州のサイバーセキュリティ機関 ENISA は2022年の報告で、マスクや動画インジェクションを使った攻撃が増えていると指摘しています。
顔認証が止めなければならない攻撃は、次のとおりです。
- 印刷した写真。最も古い手口です。他人の顔を印刷した紙をかざします。安上がりで、今も毎日試みられています。
- 画面での再生。本人の動画をスマートフォンやタブレットで再生し、カメラの前にかざします。まばたきもするし、動きもするので、生きているように見えます。
- マスク。紙、ラテックス、樹脂、シリコン。出来の良いものには、平面の画像にはない立体感や質感があります。
- ディープフェイク。合成された顔、あるいは本物の顔をリアルタイムで別人に差し替えたものです。画面に映してカメラに見せれば、それはプレゼンテーション攻撃です。
- インジェクション攻撃。攻撃者はカメラを完全に迂回し、仮想カメラ、エミュレーター、改造したデバイスを使って、事前に録画した動画や合成動画をアプリに直接流し込みます。目に見える物理的な偽物はありません。詳しくはインジェクション攻撃の検知に関する記事で書いています。
iBeta の試験が対象とするのはプレゼンテーション攻撃、つまりカメラに見せる偽物です。インジェクションは別の攻撃経路であり、だからこそライブネスだけでは答えのすべてにはなりません。
画面の向こうに人間がいることを証明する
私はこう考えています。インターネットは、人間のように見えて人間ではないもので埋め尽くされつつあります。勝手に登録するボット。盗んだ身元や合成した身元で何千ものプロフィールを作るアカウントファーム。姿の見えない誰かの代わりに動く AI エージェント。
Europol の2026年版サイバー犯罪脅威評価は、ひとつの SIM ファームサービスが 4,900万件を超えるオンラインアカウントの背後にあったと報告し、こうしたファームによって犯罪ネットワークが「KYC の手続きをすり抜け、何千ものサービスに同時に登録する」ことが可能になっていると述べています。米連邦準備制度の決済チームは、合成アイデンティティ詐欺を「米国で最も急速に拡大している金融犯罪と報告されている」ものとして説明しており、損失は毎年数十億ドルに上ります。
規格も同じ方向に動いています。NIST のデジタルアイデンティティガイドライン SP 800-63A-4（2025年7月）は、生体情報を遠隔で照合する場合には必ずプレゼンテーション攻撃検知を行い、ISO/IEC 30107-3 に基づいて試験することを求めています。その目的は「生きた人間が実際にそこにいることを確認する」ためです。
パスワードやコードが証明するのは、誰かが何かを知っているということです。本物の人間がそこにいることまでは証明できません。ライブネスと生体認証なら証明できます。確認済みの身元と照合された生きた顔は、特定の人物が今まさにそこにいて、ボットやファームではないことを示す、私たちが持つ最も強いシグナルです。
ただし、ひとつのシグナルだけでは決して十分ではありません。Didit では、同じチェックの中で見えるほかのすべての情報と顔を並べて判断します。
- ライブネス。パッシブ、3D Flash、または 3D Action and Flash。どこまでのリスクを許容するかに応じて選べます。
- 顔照合と顔検索。生きた顔を本人確認書類と照合し、さらに自社のユーザーやブロックリストと照らし合わせて、同じ人物が2つ目のアカウントを作ろうとするのを見つけます。
- 生体認証。再訪したユーザーが重要な操作をするときに、新たなライブネスチェックと、本人確認時の顔との照合を行います。
- デバイスと IP の分析。デバイスフィンガープリントで多数のアカウントの背後にある同一の物理デバイスを見つけ、IP チェックで VPN、プロキシ、Tor、位置情報の不一致を検出します。
- メールと電話番号のシグナルを、本人確認の結果と同じレコードにまとめます。
これらを組み合わせることで、私はこれがインターネットの最前線になると考えています。ひとつのアプリを囲う壁ではなく、大事な場面で投げかけるシンプルな問いです。これは本物の人間か。そして、本人で間違いないか。
Level 2 は、その答えのうち顔の部分が高度な攻撃に耐えることを示す独立した証拠です。私たちの主張ではありません。ラボの結果です。
これまでに受けた試験と認証のすべて
セキュリティについて、私たちの言葉をそのまま信じてほしいとは言いません。現時点での一覧は以下のとおりで、詳細はトラストページと認証の全体像をまとめた記事にあります。
| 認証 | 対象範囲 | 時期 |
|---|---|---|
| iBeta PAD Level 2 (ISO/IEC 30107-3) | 高度なプレゼンテーション攻撃に対するアクティブ・ライブネス。攻撃 300 件、成功率 0%。 | 2026年11月 |
| iBeta PAD Level 1 (ISO/IEC 30107-3) | 一般的なプレゼンテーション攻撃に対するパッシブ・ライブネス。試行 360 回、成功率 0%。 | 2026年2月 |
| SOC 2 Type 1 | セキュリティ、可用性、機密性に関する当社の統制の設計。 | 2026年4月 |
| SOC 2 Type 2 | 同じ統制が一定の評価期間にわたってどう機能したか。 | 報告書発行 2026年7月 |
| ISO/IEC 27001:2022 | 当社の情報セキュリティマネジメントシステム。Bureau Veritas による認証。 | 2027年6月まで有効 |
| スペイン財務省のサンドボックス | Tesoro、Banco de España、SEPBLAC、CNMV が、当社のリモート本人確認は対面での本人確認と少なくとも同等に安全であると結論づけました。 | 2024年11月から 2025年7月 |
| FSM 年齢確認 | 当社の年齢確認システム。ドイツの青少年保護規則に基づく認証。 | 2026年6月 |
| FIDO Alliance | FIDO2 とパスキーを推進する団体のアソシエイトメンバー。会員資格であり、認証ではありません。 | 2026年8月 |
| EBA リモートオンボーディング意見書 | 当社のリモートオンボーディングが、顧客のリモートオンボーディングに関する EBA ガイドラインを満たしているとする独立した法的意見書。 | ご要望に応じて提供 |
| GDPR | GDPR に基づくデータ処理者として、第32条の統制とデータ処理契約のもとで対応しています。 | 継続中 |
中でも一番誇りに思っているのはスペインのサンドボックスの結果です。規制当局が自ら出した結論だからです。その結論はこちらで読めます。
Didit をお使いの方にとっての意味
- 変更は不要です。今回の結果は Didit のアクティブ・ライブネスが対象です。ワークフローでそれを使っていれば、インテグレーションを変える必要はありません。
- そのまま提出できる証拠。提携銀行や監査人、規制当局からなりすましをどう防いでいるのかと聞かれたら、ベンダーの約束ではなく、公開された規格に基づく認定ラボの結果を示せます。
- 顔認証だけではない。ライブネスを顔検索、デバイスと IP の分析、生体認証と組み合わせ、ひとつのワークフロー、ひとつのレコードで扱えます。
よくある質問
iBeta Level 2 とは何ですか？
iBeta Quality Assurance が ISO/IEC 30107-3 に基づいて実施するプレゼンテーション攻撃検知試験の2段階目のレベルです。Level 1 と比べて、ラボはより多くの時間とスキルをかけて作った、より高度で高価な攻撃ツールを使います。
Didit はどんな結果を出したのですか？
iBeta は Didit のライブネス検知に対して 300 件のプレゼンテーション攻撃を行い、1件も受け入れられませんでした。攻撃成功率は 0% です。確認書の日付は 2026年11月9日です。
Didit は iBeta Level 1 と Level 2 のどちらですか？
両方です。Didit は 2026年2月にパッシブ・ライブネスで iBeta Level 1 に、2026年11月にアクティブ・ライブネスで Level 2 に合格しました。どちらも攻撃成功率は 0% です。
ISO/IEC 30107-3 とは何ですか？
ISO/IEC 30107 規格のうち、生体認証システムにおけるプレゼンテーション攻撃検知の試験方法と報告方法を定めた部分です。これにより、異なるラボやベンダーの結果を比較できます。
iBeta とはどんな組織ですか？
iBeta Quality Assurance は米国の独立系試験ラボで、NIST/NVLAP の認定（ラボコード 200962）を受け、ISO/IEC 30107-3 に基づくプレゼンテーション攻撃検知の試験を行っています。
iBeta Level 2 はディープフェイクやインジェクション攻撃も対象ですか？
iBeta Level 2 が試験するのはプレゼンテーション攻撃、つまりカメラに見せる偽物です。カメラを迂回するインジェクション攻撃は試験しません。だからこそ私たちは、ライブネスをデバイス、IP、その他のシグナルと組み合わせています。
確認書を見ることはできますか？
はい。確認書を読むことができ、その他のレポートはトラストページにあります。
インテグレーションを変更する必要はありますか？
いいえ。Business Console でワークフローごとにパッシブかアクティブのライブネスを選ぶだけで、インテグレーションは何も変わりません。
どうすれば試せますか？
business.didit.me で無料アカウントを作成し、ライブネスを含むワークフローを作ってサンドボックスで実行してください。各方式についてはライブネスのドキュメントで説明しています。
最後に
詐欺は安くなりました。人間であることの証明も安くあるべきで、そして強固であるべきです。それが私たちが自らに課している基準であり、Level 2 はその基準を満たしていることを示す、もうひとつの独立した確認です。
実際に動くところを見たい方は、無料で始めてください。先にレポートを確認したい方は、トラストページにあります。
Alberto Rosas、Didit CEO