人脸认证广泛应用的背后，则是规模庞大、乱象丛生的人脸认证市场，有水面之上光鲜的一面，就有隐藏在水面之下的灰黑产业链。

从人脸认证的黑产链来看，黑产团伙通过网络渠道获取到个人的真实信息，并结合技术手段绕过人脸活体检测等校验机制，从而实现如虚假开卡、虚假开户、虚假签到、账号及信息窃取等业务违规目的。

以“过人脸”等关键词在网上检索，仅5个月内，高达6199名黑产在各个渠道发布了累计144万余条信息，涉及8个行业，其中移动支付行业、社交行业、短视频行业沦落为灾区。

目前应用在市场中的人脸识别算法，大都是对人脸上三点、五点、七点的识别，通过对眼睛、鼻子、嘴、耳朵以及头部活动来实现认证。然而随着黑产技术的进步，黑产开始随心所欲对视频中的人物"变脸"，而这一切只需要配合一台定制的手机即可绕过安全防护。

黑产的魔力，我们用一两句说不清楚，下面通过实际案例来理解人脸认证绕过技术的原理!

技术1： ROM包刷机+真人录制人脸认证实现原理

根据永安在线的黑产情报和技术分析，发现某保险机构APP的人脸认证机制存在被绕过的风险。

黑产针对特定手机定制开发ROM，借助定制化的ROM包，黑产能在人脸认证过程中劫持系统摄像头，并注入提前制作好的人脸视频欺骗人脸认证系统，实现绕过的目的。

（2）激活配套的APP“文件切换”。通过该APP，可选择并设置人脸认证过程中用到的视频，如图所示：

(3) 进入到目标APP对应的业务场景中，触发人脸认证即可，无需其他操作。

永安在线发现某银行APP在用户修改额度时触发人脸认证的过程中存在被绕过的风险。

黑产利用云手机的远程摄像机软件绑定一台真实的手机设备摄像，并将提前录制好的人脸视频实时同步到云手机中，从云手机上完成绕过目标APP。

与ROM包刷机的方式相比，这种操作流程更加简化。

（1）真实手机安装云相机APP，并与云手机进行绑定，如图所示：

（2）进入目标APP对应的业务场景，触发人脸认证即可，无需额外操作。

目前市面上绝大部分云手机是基于瑞芯微(rockchip)的RK系列芯片开发。瑞芯微为客户提供Android配套的源代码进行二次开发。这些云手机厂商都拥有强大的开发能力，云手机的硬件之所以不支持摄像头，主要是成本问题，其次作用不大。

云手机实现远程虚拟相机原理，如下图所示：

正常手机推流，如图所示:

云手机RTMP拉流并写入虚拟相机设备：

以上两种绕过人脸认证的方法，都需要用到录制好的人脸视频资料。我们发现目前有部分黑产利用网络渠道去发放任务，收集公民的姓名、身份证号、手机号及眨眼、张嘴、点头、摇头等视频，用来APP的实名认证及人脸认证。

此外，永安在线通过对telegram、暗网等渠道进行监测，还挖出了大量的黑产售卖包含公民信息的数据。其中包括身份证信息、手持身份证的人脸照片等。

对于个人而言，也应该增强信息保护意识，不要轻易在不明软件、小程序上泄露自己的人脸照、动态视频、手持身份证照片等，减少人脸信息被利用的风险。