人脸照片经AI处理可通过刷脸验证？起底新型黑灰产业链

来源：央视新闻客户端

近日，湖南省长沙市雨花区人民法院审理了一起“不法者利用AI技术生成的人脸伪造视频盗刷银行卡”案件。一名大学生在非法网站购买了“AI人脸伪造视频”技术，在不到四个月的时间里，盗刷银行卡5万余元。

大学生利用“AI人脸伪造视频”

盗刷5万余元

不久前，临近毕业的大学生吴某没有选择正规渠道去就业，而是盯上了网络黑灰产业。他通过第三方非法网站购买了一项“能将静态人脸照片转化为可通过某银行支付平台人脸识别验证的AI动态视频”的技术。自以为获得了“法宝”的吴某随后立即在各聊天平台发布广告，吸引诈骗团伙“下单”。

长沙市雨花区人民法院刑事审判庭副庭长 兰毅：被告人通过境外某聊天软件寻找并加入黑灰产业聊天群后，在群内发布接单信息，之后会有上线将获取到的被害人姓名、身份证号码、手机号码、照片、支付平台验证码等个人信息发送给被告人，被告人再通过获取的手机号查看被害人是否在第三方平台进行注册，如有注册，则把获取的被害人照片上传到第三方网站，通过该网站转换成AI动态人脸视频。

在该犯罪链条中，诈骗团伙通常冒充短视频平台客服或者游戏主播，以关闭自动扣费、赠送游戏装备为诱饵，诱导受害人下载控制软件，从而获取其个人信息。吴某在接收到这些信息后，再通过第三方网站利用AI技术制作被害人的人脸动态视频。

兰毅：利用转换的AI动态人脸视频及验证码信息，重置被害人的支付密码。之后，再将被害人的某第三方支付平台付款码发送给“洗钱车队”，由“洗钱车队”通过扫码的方式将被害人在第三方支付平台所绑定的银行账户资金予以转移。转移成功后，“洗钱车队”将盗取的资金按照一定的比例通过虚拟货币的形式返还给被告人。

据法官介绍，吴某所在的犯罪团伙分工极其明确，为了防止上中下游任何一个环节的人员在获取到有利信息后退群独享，他们还制定了一套保障机制。

兰毅：被告人在进入黑灰产聊天群之前需先缴纳一定数额的虚拟货币作为担保，然后才能在群里接单。

就这样，在不到四个月的时间内，三名被害人的银行账户先后被盗刷共计5万余元。经过审理，湖南省长沙市雨花区人民法院综合考虑吴某具有自首情节，认罪悔罪表现及对被害人的经济赔偿等情况，最终判处吴某有期徒刑一年十个月，并处罚金3000元。目前，该案件判决已生效。

人脸照片经AI处理

能通过支付平台面部认证

通过AI技术，将照片处理生成一段动态的视频，是如何通过银行支付系统人脸识别验证的？眨眼、张嘴、转头等这些指令的随机组合，难道就恰好都和视频中人脸的表情动作对得上吗？来看记者调查。

记者来到一家网络技术研究机构，技术人员将一张普通人脸照片导入某软件系统后，仅需几分钟时间，便生成了一段人脸动态视频。在视频中，记者看到，人脸可以根据技术人员事先输入的指令进行转头、眨眼等各种动作。

网络安全技术人员 李洋：比如夜间休息时，不法分子就可以远程控制他的手机，拿到他的相册权限和其中的生活照片。拿到这些照片之后，不法分子就通过伪造视频工具，生成一段一段的视频。比如平台认证时需要的眨眼、点头等各种动作视频它都可以生成。

技术人员介绍，这还仅仅是最基础的第一个步骤，如果想让视频中的人脸根据随机指令组合做出实时反应，则需要一种叫“虚拟相机”的配套软件。为避免版权问题，技术人员将一张卡通人脸照片导入系统中，记者看到，经过后台技术处理，这张照片通过AI生成了动态视频，视频中的卡通人脸可以随着技术人员控制上、下、左、右以及眨眼、张嘴等不同的按钮操作，实时做出相应的表情动作。

李洋：只要开启相机，它就默认不开启系统自带的相机，直接调用虚拟相机，然后把悬浮窗调出来，支付系统需要什么动作时，你就去点对应的动作就可以了。

李洋：他们会提前录制好眨眼、摇头等动作。在系统认证时，他们根据系统提示，选择对应动作的按钮。比如系统认证时让你摇头，就点击相机悬浮框上的摇头按钮，对应的视频也会进行摇头动作，是这样的工作原理。

技术人员介绍，随着目前系统技术的不断升级改造，许多政府以及金融类的应用平台除了要验证人脸面部特征以及五官等信息之外，还会验证微表情以及环境光线等，尽量确保是本人在真实的环境下进行的人脸识别验证，而非AI技术合成。但同时，专家也提醒大家，在遇到一些不明来历的应用软件采集人脸信息时，还是要提高警惕。

李洋：这些App（应用软件）也会进行人脸认证的伪操作界面，误导个人进行视频录制，将点头、眨眼等动作录制下来，达到活体视频的视频原件。因此它比AI生成的视频逼真度要高得多。

记者调查发现，目前在某些网站上，“一键换脸”“AI克隆”已经形成一条从低价公开教程到网盘隐蔽交易的产业链条。但专家表示，大家也无需因此过于恐慌，目前政府以及金融等应用平台通常采用的是“人脸识别+手机验证+身份信息”等多重验证方式，只要确保自己手机不交给不明人员操作或不被非法远程控制，这些措施是能够保证基本的安全性的。

AI合成技术应用

需法治护航

常有人说“技术本身无所谓好坏，关键看用这项技术的人是出于什么目的”。在AI合成技术发展如此迅速的今天，我们在享受技术成果的同时，更需要相关配套法律来保驾护航。

相关法律专家表示，“AI人脸伪造视频”诈骗相比传统电诈，最大的特点就是技术伪装更强，链条更隐蔽，证据灭失更快。在实际操作中，很多诈骗视频或语音由境外服务器生成，使用虚拟号码、境外社交软件、动态IP，很难快速锁定幕后真实身份。

中国政法大学网络法学研究所所长 李怀胜：就要求相关企业，包括银行，不断采取风控应对措施，采取交叉识别等多元化认证手段，不能迷恋某一种特定的风控手段，这样的话很容易被犯罪分子攻破。另外一方面也提示我们，在日常的网络活动中，要格外珍视个人信息，包括人脸识别信息在内的相关个人信息。

据了解，目前我国已出台《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《人工智能生成合成内容标识办法》等，相关法律法规与监管制度体系正持续健全。

李怀胜：按照《中华人民共和国个人信息保护法》规定，包括人脸识别信息在内的其他个人信息，信息使用遵循最重要的个人知情同意原则。也就是说，在利用他人相关信息，为他人提供服务的过程中，一定要让被采集个人信息的相关主体获得知情同意。比如单位门禁系统、商场人脸识别系统，如果滥用个人生物识别信息，可能会承担相应的法律责任。

同时专家提醒大家，需不断提高个人信息保护的安全意识，提升防范能力。对于非核心业务如进小区、取快递等，如果提供手机号也能完成验证的情况下，尽量避免“刷脸”。如果在涉及类似资金交易等场景下，尽量开启“人脸+密码”或“人脸+短信”的多重验证，增加安全屏障。