メタバース空間はバーチャルとリアルのセキュリティリスクが混在する？

現状、メタバースに分類されるサービスやプラットフォームにおいて、大きなセキュリティインシデントの報告はないといっていい。HMD（ヘッドマウントディスプレイ）などを使い、近年のAR/VR技術を駆使したメタバースは、テクノロジー・市場を含めて過渡期にある。そのため、犯罪者の固定的なターゲットにはなっていないのが現状だ。

だからといって安心はできない。犯罪者たちは変化に敏感で、あらゆる領域に目を光らせている。人が集まりお金が動くようになれば、彼らが動き出すのは火を見るよりも明らかだろう。メタバースはデジタルツイン、サイバーフィジカルシステムのわかりやすい実装でもある。セキュリティリスクもサイバー空間（バーチャル）と実社会（リアル）の両面で考える必要がある。

無論、各分野でのセキュリティ対策や技術は存在し、研究も進んでいる。メタバースだろうとそれらを丁寧に適用していけばいいので、必要以上に恐れる必要はない。認証、決済、個人情報保護など、既存の知見や技術は各所、各システムに展開されている。メタバースとてそれらの組み合わせで成り立っていると考えれば、もちろん一定のセキュリティレベルは確保されている。

注意するとすれば、既存モデルやモジュールの組み合わせによって生じる新しい事象、想定外のユースケースなどだ。法的視点も重要だ。セキュリティと関係の深いコンプライアンス（法令遵守）では、新たな法整備も必要かもしれない。

メタバース・仮想空間に特化したセキュリティの取り組みも進んでいる。メタバース推進協議会が、2月にセキュリティガイドラインの一部を公開した。資料によれば、メタバースセキュリティについて、次の5段階で考えていくとしている。

当該ガイドライン（一部公開）は、上記1～3までの概要を公開するにとどまっているが、この段階で運用や対策を考えるうえでのスタートラインとしての情報、注意点がまとまっている。

メタバースが現実世界のシミュレーションモデルのひとつと考えるなら、そこに必要な機能、人々の活動、展開される事業は現実世界と同じであらゆる可能性が考えられる。ガイドラインはまだ作成途中なので、このうちユーザー、コンテンツ、デバイスという視点で、おもに事業展開するうえでの課題や対策方針を示している。

メタバースユーザーに関するセキュリティの土台は本人確認と本人認証としている。これはあまたのITサービスでも基本となる事項だ。システムにアクセスする、サービスを利用するには、まず、自分が誰であるかの証明、本人性の証明が必要となる。次に、使おうとしているユーザーがその本人なのかの認証と必要な機能へのアクセス許可だ。

通常、本人性の確認は、アカウント登録時の住所・氏名・生年月日といった情報の登録で行う。より強固にしたい場合は、免許証、保険証、パスポート、マイナンバーカード（マイナンバーカードは、マイナンバーを利用した本人確認基盤なので、マイナンバーでアカウントやIDを管理するわけではない）などを利用する。認証は、ログインIDとパスワードが基本となっている。最近では、本人確認を強化するため2要素認証（2FA）、多要素認証（MFA）を併用することが必須となっている。

本人確認と認証の基盤部分はおそらくメタバースでも変わらない。だが、メタバース上ではアバターを使う。仮想空間内では、アバターが顔写真に代わる本人確認の記号となる場合もある。サービスによってはHMDを装着するので顔認証の手順にも影響がでる。一部公開のガイドラインでは、このような点が言及されている。たとえば、アバターにブロックチェーン、スマートコントラクト、NFTのような仕組みで一意性を与えた場合、複数のメタバース空間で共通のIDとなりうる。

HMDを利用することで、新たなセキュリティ課題も生まれる。デバイスセキュリティにかかわる問題だ。HMDを装着した仮想空間内で2FAのメッセージや認証アプリのデータを表示させる場合、あるいはHMD内で虹彩認証、静脈認証などを行う場合を考える。ワンタイムパスワードや生体情報をどのデバイスで管理するかという問題が発生する。

デバイス認証は、指紋データや顔データ（通常は特徴点情報に変換される）などがデバイス内部に安全に保管されることで、サーバー保管のアカウント情報より安全とされている。これを近接にあるとはいえHMDなど複数のデバイスで共有する場合のセキュリティを考えなければならない。HMD側のデータは都度削除するとしても、データのやりとりや一時的な保存は必要だ。保護対策を強化するか、HMDなどはセンサーとディスプレイのUIに限定させるといった工夫が必要だ。

本人確認や認証は反社勢力のチェック、排除にも重要だ。メタバースで各種取引サービスを考えるなら、実社会と同様なコンプライアンス、運用が必要で、法規制も及ぶと考えるべきだ。そして、このような本人確認はプライバシーや人権にもかかわるという認識も必要だ。これも実社会と同じだ。

コンテンツについては、そもそもの空間が本物（＝正規サービスの空間）であるかどうかのチェックが必要だ。メタバース上でのフィッシングや詐欺空間への誘導のリスクがある。コンテンツをNFTなどで保護したとしても、取引そのものが詐欺である可能性を考慮する必要もある。

空間だけでなく類似アバターや偽装アバターによるフィッシングやソーシャルエンジニアリングによる攻撃も考えられる。コンテンツそのものが悪意のあるもの、あるいは有害なものである場合もある。コンテンツやメタバース上のオブジェクトに対する真正性の担保に、なんらかの仕組みが必要となるだろう。Webの世界ではサーバー証明書がその一例だが、仮想空間オブジェクトに対して、誰が作ったものかを証明するのは難しい。

以上のリスクは、メタバース空間、事業者別の空間を超えても考える必要がある。コンテンツの取引は特定メタバースのみで有効なのか、別空間でも有効なのか。それによって事業者間での連携・協調が必要になる。アバターが別空間を行き来する場合、そのIDや本人性に一貫性が必要だ。コンテンツ、アバター、取引について真正性や認証情報がトラッキング可能な仕組みが必要かもしれない。

ガイドライン（一部公開）では、メタバースにアクセスするデバイスの脆弱性（DDoSなど）、スパイチップによる情報漏洩、健康被害の3つのユースケースを挙げている。

デバイスの脆弱性はメタバースに限った問題ではない。デバイスメーカーには製品の設計、ソフトウェア開発におけるセキュリティバイデザイン、脆弱性ハンドリング体制が求められる。ソフトウェアアップデート機能は必須だ。

デバイス側で扱うデータの処理にも注意が必要だ。認証情報については前述のとおりだが、HMDやモーションセンサーの情報は、体の動き、身体的特徴、行動パターン、位置情報などプライバシーにかかわるものも含まれる。適切な利用、保護、削除が必要となる。

ガイドライン（一部公開）ではスパイチップの混入にも言及がある。スパイチップは開発ベンダーが意図してやらない限り難しいが、ベンダー側では制御できない面もある。

健康被害はたとえばVR酔いのような身体的リスクへの対応だ。視覚・聴覚への影響は個人差もあり、運用での対応が必要な場合もある。VRの身体的影響、精神的影響については確定的なものはわかっていない状態だが、医学会や管轄省庁との連携やデバイス認証制度のような仕組みが必要かもしれないとガイドライン（一部公開）では述べている。