高リフレッシュレートディスプレイを用いた重ね合わせQRコード攻撃

QRコードは、スマートフォンで容易に情報を読み取れるため広く普及していますが、利用者が目視で改竄を検出することは困難です。特に、同一に見えるQRコードから異なる情報が読み取れるように改竄された場合、その発見が遅れることによるセキュリティリスクが指摘されています。

本研究では、120Hz 以上での表示が可能な高リフレッシュレートモニターを活用した偽装QRコードによる新たな攻撃手法を提案しました。この手法では2種類のQRコードを高速で交互に表示することで、人間の目には単一のコードとして知覚される一方で、カメラには2種類のうちいずれかを確率的に認識させることを可能とします。本手法は従来の偽装手法と比較して目視による検出がより困難であり、改竄の自由度も高いという特徴を持ちます。

評価実験の結果、正規コードからの改竄量の少ない悪性データであれば、被験者に見破られる割合は20％程度に抑えられることが分かりました。また、交互表示の仕方を変えることで、悪性データを読み取らせる確率を制御できることが確認されました。

さらに、本手法におけるディスプレイ特性の影響についても検証しました。本手法では2つのQRコードを交互に表示するため、コード間で白黒が異なる部分（改竄箇所）は高速に点滅することになります。同手法を液晶ディスプレイに適用すると、この点滅する箇所同士が隣り合った際に境界線が目立ってしまい、攻撃が見破られやすくなるという問題がありました。そのため、改竄する箇所を互いに離して配置する必要があり、攻撃可能なQRコードに制約が生じることがわかりました。

この制約を解消するため、本研究ではLEDパネルをマイクロコントローラで直接駆動する独自の高リフレッシュレートLEDディスプレイを開発し、同手法を適用しました。その結果、点滅する箇所を隣同士に配置しても境界線が目立たないことがわかりました。これにより上記の制約を解消し、どんなQRコードに対しても攻撃を成立させることが可能であることが示されました。