クレジットカードPIN番号、入力の時にATMのパッドを覆っていても機械学習で推測できることが判明

利用者が手でパッドを覆っていても、4桁のカード暗証番号を41%の確率で推測できる特殊なディープラーニングアルゴリズムを学習できることが、研究者によって証明されました。

一般的なセキュリティメカニズムとしてATM（現金自動預け払い機）やPOS（販売時点情報管理）などの機器ではPIN（Personal Identification Numbers）によって提供されるセキュリティに依存しています。

この攻撃では、ATMのレプリカを設置する必要があるとのことです。これは、さまざまなPINパッドの寸法やキーの間隔に合わせてアルゴリズムを学習することが極めて重要であるためです。

次に、ATMのパッドに暗証番号を入力している人の映像を使って、パッドの押し方を認識し、一連の推測に特定の確率を割り当てるよう、機械学習モデルを訓練します。

実験では、多様な属性の58人が4桁と5桁の暗証番号を入力した5,800本の動画を収集しました。

予測モデルを実行したマシンは、128GBのRAMを搭載したXeon E5-2670と、それぞれ5GBのRAMを搭載したTesla K20mを3台使用しました。

研究者たちは、カードが保留されるまでの最大許容回数である3回の試行を用いて、5桁の暗証番号では30％、4桁の暗証番号では41％の確率で正しい順番を再現しました。

このモデルは、タイプしない手の範囲に基づいてキーを除外することができ、2つのキーの間の論理的な距離を評価することで、もう一方の手の動きから押された数字を推測します。

特に左利きや右利きの人を記録する場合には、ボタンを押す動作を撮影するカメラの配置が重要な役割を果たします。ATMの上部にピンホールカメラを隠しておくのが、攻撃者にとって最良の方法であると判断されました。

また、カメラに音声を記録できる機能があれば、数字ごとに微妙に異なる押下音のフィードバックを利用することで、より正確な予測が可能になります。

対策

今回の実験では、もう片方の手でPINパッドを覆うだけでは、ディープラーニングを利用した攻撃を防御できないことが証明されましたが、ありがたいことに、いくつかの対策を講じることができます。

まず、銀行で4桁の暗証番号ではなく5桁の暗証番号を選択できる場合は、長い方を選びましょう。覚えるのは大変かもしれませんが、この種の攻撃に対する安全性は格段に向上します。

次に、手のカバー率が予測精度を大きく下げています。カバー率が75%の場合、各トライの精度は0.55になりますが、全カバー率（100%）の場合、精度は0.33まで下がります。

3つ目の対策は、標準化された機械的なキーパッドの代わりに仮想的でランダムなキーパッドをユーザーに提供することです。

これにはどうしても使い勝手の悪さがつきまといますが、セキュリティ対策としては優れています。