近年、スマートフォンのロック解除や銀行の本人確認など、私たちの生活に生体認証は欠かせないものとなりました。
指紋や顔、虹彩といった個人の身体的特徴を利用する生体認証は、パスワード管理の負担を軽減し、高い利便性を提供しています。
しかし、その裏側では「偽造された生体情報」による不正突破のリスクが常に存在しています。
このような、第三者が本人になりすましてシステムを突破しようとする攻撃をどれだけ許容してしまうかを示す指標が、なりすまし受入率（SAR：Spoof Acceptance Rate）です。
本記事では、生体認証の安全性を評価する上で極めて重要なSARの定義や、よく混同されるFAR（他受入率）との違い、そして最新のセキュリティ対策について詳しく解説します。
なりすまし受入率（SAR）とは何か
なりすまし受入率（SAR）とは、生体認証システムにおいて、写真や人工指紋などの「偽造された生体情報」によるアクセスを、誤って本人として受け入れてしまった割合を指します。
英語では「Spoof Acceptance Rate」と表記され、文字通り「スプーフィング（なりすまし）」を許容してしまった確率を意味します。
生体認証は、正当なユーザーの身体的特徴をあらかじめ登録し、認証時に提示されたデータと照合することで本人確認を行います。
この際、攻撃者は本人の写真や高精細な動画、あるいはシリコンで作られた人工指紋などを用いて、システムを欺こうと試みます。
これらのような、生体情報を模した偽造物による攻撃を「プレゼンテーション攻撃（PA：Presentation Attack）」と呼びます。
SARは、このプレゼンテーション攻撃に対してシステムがどれほど脆弱であるか、あるいは堅牢であるかを数値化したものです。
SARの値が低ければ低いほど、偽造物による攻撃に強く、セキュリティ性能が高いシステムであると評価されます。
生体認証における「なりすまし」の具体例
なりすまし攻撃の手法は、テクノロジーの進化とともに高度化しています。
顔認証であれば、本人の顔写真をタブレットに表示してカメラにかざす手法や、精巧な3Dマスクを着用する手法が代表的です。
指紋認証では、ゼラチンやシリコンを使用して指紋の溝を再現した「人工指」による攻撃が知られています。
音声認証の場合、録音された本人の声や、AI（人工知能）によって生成された合成音声が脅威となります。
これらの偽造データがシステムによって「本物の生体情報」と誤認された場合、SARのカウント対象となります。
SARとFAR（他人受入率）の決定的な違い
生体認証の精度を表す指標として、SARとしばしば混同されるのがFAR（False Acceptance Rate：他人受入率）です。
どちらも「本来拒否すべきアクセスを受け入れてしまう」という点では共通していますが、その対象となるシナリオが根本的に異なります。
FARは、「悪意のない別人の生体情報」を、誤って本人として認証してしまう確率を指します。
例えば、顔が非常によく似た双子や、偶然指紋のパターンが一部酷似している他人が、偽造物を使わずに自分の体で認証を試みた場合の結果です。
これに対し、SARは「意図的に作成された偽造物」を本人として誤認する確率を指します。
以下の表で、それぞれの違いを整理してみましょう。
| 比較項目 | FAR（他人受入率） | SAR（なりすまし受入率） |
|---|---|---|
| 対象者・対象物 | 悪意のない第三者（本物の人間） | 偽造物（写真、マスク、人工指等） |
| 発生の要因 | 生体情報の偶然の一致 | システムの偽造検知能力の不足 |
| 攻撃の意図 | 基本的には想定しない（偶然の事故） | 明確な悪意を持った攻撃 |
| 評価基準 | 認証アルゴリズムの照合精度 | 生体検知（アンチスプーフィング）性能 |
つまり、FARが「システムがどれだけ他人と本人を見分けるか」という照合精度を測るものであるのに対し、SARは「システムがどれだけ偽造物を見抜くか」という耐攻撃性を測る指標なのです。
ISO規格におけるSARの定義と評価基準
生体認証の安全性評価は、国際標準化機構（ISO）によって規格化が進められています。
具体的には、ISO/IEC 30107シリーズにおいて、プレゼンテーション攻撃検知（PAD：Presentation Attack Detection）に関するフレームワークが定義されています。
この規格の中では、SARという言葉の代わりに、より厳密な評価指標として以下の2つの用語が用いられます。
APCER（Attack Presentation Classification Error Rate）
APCERは、「攻撃サンプルを、誤って本物の生体情報として分類してしまう確率」です。
実質的に、私たちが一般的に「SAR」と呼んでいる指標はこのAPCERに相当します。
評価の際は、あらかじめ用意された多種多様な偽造物（写真、シリコン指など）をシステムに提示し、どの程度の割合で突破されるかを測定します。
BPCER（Bona Fide Presentation Classification Error Rate）
BPCERは、「本物の生体情報を、誤って攻撃（偽造物）として拒否してしまう確率」です。
セキュリティを厳しくしすぎると、照明条件や体調の変化によって本人の生体情報が「偽造物」と判定されるリスクが高まります。
BPCERが高くなると、ユーザーは何度も認証をやり直さなければならず、利便性が著しく低下します。
SAR評価の難しさ
SAR（APCER）の評価がFARと比べて難しい点は、「偽造物の種類が無限に存在する」という点にあります。
FARは人間の統計的なデータに基づいて算出できますが、SARは攻撃者がどのような素材で、どの程度の精度で偽造物を作るかに依存します。
そのため、評価試験では最新の攻撃トレンドを反映した特定のサンプルセットを用いることが一般的です。
プレゼンテーション攻撃検知（PAD）の重要性
SARを低下させる、つまりなりすましを防ぐために導入される技術が「プレゼンテーション攻撃検知（PAD）」です。
PADは、提示された生体データが「生きている人間の体（Liveness）」から発せられたものかどうかを判別する技術であり、「生体検知」とも呼ばれます。
どれほど高度な照合アルゴリズムを持っていても、PAD機能が脆弱であれば、SARは高くなってしまいます。
現代の生体認証システムでは、照合精度（FARの低減）と同等以上に、この生体検知（SARの低減）が重視されています。
主な生体検知技術の例
顔認証におけるPAD技術としては、まばたきや視線の動きを確認する手法、顔の凹凸を赤外線センサーで計測する手法があります。
また、スマートフォンの画面が放つ光を顔に反射させ、その反射パターンから肌の質感を分析する「アクティブフラッシュ」技術も普及しています。
指紋認証では、指の静脈パターンを同時に読み取ったり、皮膚の電気抵抗や血流を確認したりすることで、シリコン製の人工指を排除します。
これらの技術を多層的に組み合わせることで、システム全体のSARを限りなくゼロに近づける努力が続けられています。
SARと利便性のトレードオフ関係
セキュリティエンジニアにとって、SARの数値をどこに設定するかは非常に難しい問題です。
一般的に、なりすましを完全に防ごうとして判定基準を厳格にすると、本人の認証も失敗しやすくなる傾向があります。
これは、SAR（攻撃受入率）を下げようとすると、FRR（本人拒否率）やBPCERが上昇してしまうという相関関係があるためです。
例えば、銀行の送金実行時のような高セキュリティが求められる場面では、多少不便でもSARを極限まで低く設定します。
一方で、スマートフォンの頻繁なロック解除など、日常的なシーンでは利便性を重視し、SARとFRRのバランスを最適化した設定が採用されます。
システム設計者は、「守るべき情報の価値」に応じて、SARの許容範囲を決定する必要があります。
次世代認証とSARのこれから
AI技術の進化は、生体認証における「攻撃」と「防御」の双方に大きな変化をもたらしています。
攻撃側は、ディープフェイク（Deepfake）技術を用いて、本人の動画や音声をリアルタイムで生成できるようになっています。
このようなデジタル合成によるなりすましは、従来の物理的な偽造物検知だけでは防げない新たな脅威です。
これに対し、防御側もディープラーニングを用いた高度な偽造検知モデルを導入し、微細なノイズやアーティファクトから偽造を見抜く技術を開発しています。
また、単一の生体情報だけでなく、行動的特徴（タイピングの癖や歩き方）を組み合わせた「マルチモーダル認証」も、SARを低減させる有力な手段として注目されています。
SARは固定された数値ではなく、攻撃手法の進化に合わせて常に変化し続ける動的な指標であると捉えるべきでしょう。
まとめ
なりすまし受入率（SAR）は、生体認証システムが偽造物による攻撃に対してどれだけ耐性を持っているかを示す、セキュリティ評価の要となる指標です。
偶然の不一致による誤認を示すFAR（他人受入率）とは異なり、SARは明確な悪意を持った攻撃への防御力を表します。
私たちは生体認証の利便性を享受する一方で、常に偽造技術とのいたちごっこが続いているという現実を理解しておく必要があります。
企業やシステム選定者は、カタログスペック上の照合精度だけでなく、「どのようなPAD（プレゼンテーション攻撃検知）技術が搭載されているか」を確認することが重要です。
安全で快適なデジタル社会を実現するために、SARという指標への理解を深め、適切な認証ソリューションを選択していきましょう。
