定義
行動バイオメトリクスは、生体認証および不正検出のサブフィールドであり、人がデジタルデバイスとどのように相互作用するかを分析します。物理的に何者であるかではありません。従来のバイオメトリクス――指紋スキャナ、顔認識、虹彩スキャン――は静的な物理特性に依存します。代わりに行動バイオメトリクスは動的なセッションレベルパターンをキャプチャします。キーストロークのリズム、マウス移動の弧と加速、タッチスクリーンに加えられる圧力、スクロールジェスチャー間のマイクロポーズです。これらのパターンは人間の神経筋システムによって生成され、自動化スクリプトが説得力を持って再現するのに苦労する特徴的なランダム性を示します。
この技術は1970年代の認証目的のキーストロークダイナミクス研究にルーツを持ちますが、現代のシステム――BioCatch、NeuroID、ThreatMetrix（現LexisNexis Risk Solutions）、HUMAN Securityなどの企業が展開――は、何十億もの ラベル付きセッションで訓練された機械学習分類器を適用してリアルタイムボット確率スコアを生成します。
行動バイオメトリクスの仕組み
行動バイオメトリクスSDKは典型的にJavaScriptライブラリとして埋め込まれ、ブラウザレベルで相互作用イベントを受動的に記録します。ライブラリはDOMイベント――mousemove、mousedown、mouseup、keydown、keyup、touchstart、touchmove、scroll――をリッスンし、それらのタイムスタンプと座標をミリ秒解像度でキャプチャします。
この生イベントストリームから、システムは特徴を抽出します。キーストロークダイナミクスでは、関連特徴にdwell time（キーが押されている時間）、flight time（あるキーを離してから次のキーを押すまでの間隔）、繰り返される文字列にわたるタイピングリズムの変動性が含まれます。マウス移動では、システムは速度、加速、軌跡の曲率、人間の手の動きに存在する微震を測定します。モバイルデバイスのタッチ相互作用では、特徴に指の接触面積、圧力分布、スワイプ速度プロファイル、タッチポイントの角度が含まれます。
これらの特徴は分類モデルにフィードされ、現在のセッションの行動プロファイルを2つの参照分布――人間セッションの集団モデルと既知ボットセッションの集団モデル――と比較します。出力は確率スコアであり、時々カテゴリーラベル（人間、ボット、スクリプト、リモートアクセスツール）が付随します。このスコアはアプリケーション層に渡され、相互作用を許可するか、追加検証を要求するか、レビュー用にセッションをフラグするかの決定に使用されます。
NISTの用語集はバイオメトリクスを「生物学的または行動的特性に基づく個人の自動認識」と定義し、行動バイオメトリクスを確立されたアイデンティティ検証科学の中に位置付けています。
遭遇する場面
行動バイオメトリクスは主要金融機関、eコマースプラットフォーム、認証サービスの不正検出層に組み込まれています。コンテストと投票の領域では、エンタープライズティアの不正検出プラットフォームのバックグラウンドコンポーネントとして、また相互作用シグナルをリスクスコアリングモデルの一部として使用するreCAPTCHA v3などのサービス内に現れます。
モバイルアプリケーションは、フォーム送信時点だけでなくユーザーセッション全体にわたるタッチ相互作用を分析するために行動バイオメトリクスSDKを埋め込みます。この縦断的分析により、人間が最初に相互作用しその後デバイスを自動化スクリプトに引き渡すセッションの検出が可能になります。
実例
国家誌の「ベストローカルビジネス」コンテストが不正対策ベンダーから行動バイオメトリクスSDKを埋め込み。24時間にわたり、SDKは完全に均一なキーストローク間隔と、人間の運動制御に特徴的な微震なしの数学的に滑らかな曲線をたどるマウスパスに基づき、1,200の投票送信をボットらしいとフラグします。フラグされた投票は手動レビュー保留のため隔離されます。
ストリーミングプラットフォームのファン投票アワードショーがアカウント作成ステップで行動バイオメトリクスを統合。SDKは800のアカウント登録を、名前とメールフィールドがほぼゼロのdwell timeとキーストローク間ゼロのflight timeで埋められた――プログラム的フォーム入力と一貫するパターン――として識別します。
関連概念
行動バイオメトリクスはブラウザフィンガープリントを補完します。ブラウザフィンガープリントは動的相互作用パターンではなくデバイス環境の静的特性を検査します。両方の層が組み合わさることで、デバイスアイデンティティシグナルとセッション行動シグナルの両方を提供します。reCAPTCHA v3はスコアリングパイプラインの一部として行動シグナルを組み込んでおり、同じ原則の応用実装です。異常検知はトラフィックレベルで動作する統計層を記述します。
制限・注意事項
行動バイオメトリクスシステムは決定論的ではなく確率論的です。誤検知――ボットとしてフラグされた正当な人間ユーザー――は低いがゼロではない率で発生します。特に運動障害のあるユーザー、非ネイティブ言語でタイピングするユーザー、画面キーボードや視線追跡コントローラーなど異常な入力デバイスを使用するユーザーで顕著です。アクセシビリティ配慮として、行動バイオメトリクスを使用するプラットフォームは、相互作用パターンが集団ベースラインから逸脱するユーザー向けの代替検証経路を提供する必要があります。
