Cụ thể, Microsoft đã thiết kế Windows Hello để tương thích với webcam tích hợp cảm biến hồng ngoại (IR) của nhiều thương hiệu.

Để thử nghiệm tính năng này, Wired cho biết, các nhà nghiên cứu từ công ty bảo mật CyberArk đã tìm cách đánh lừa hệ thống nhận dạng khuôn mặt với hình ảnh khuôn mặt của chủ sở hữu máy tính.

Thông thường, Windows Hello yêu cầu sử dụng camera có cả cảm biến màu RGB và cảm biến hồng ngoại, nhưng khi nghiên cứu kỹ hệ thống xác thực này thì các nhà nghiên cứu nhận thấy nó chỉ tập trung xử lý các khung hình thu thập được từ cảm biến hồng ngoại. Họ đã tạo ra một thiết bị USB tùy chỉnh, tải về các ảnh hồng ngoại của người dùng và ảnh màu RGB của Spongebob - một nhân vật hoạt hình.

Windows Hello đã nhận dạng thiết bị là một camera giao tiếp qua cổng USB và nó đã mở khóa thành công chỉ bằng ảnh hồng ngoại của người dùng mà bỏ qua  ảnh màu RGB kia. Thậm chí, các nhà nghiên cứu phát hiện ra rằng họ không cần quá nhiều hình ảnh IR, thực tế chỉ cần một khung hình IR cùng một ảnh màu đen là có thể mở khóa máy tính được bảo mật bằng Windows Hello.

Thực tế, việc đột nhập máy tính như vậy không quá dễ dàng, vì vẫn cần ảnh hồng ngoại của khuôn mặt người dùng. Tuy nhiên các chuyên gia đánh giá, đây vẫn là một điểm yếu có thể bị lợi dụng, trong bối cảnh các công nghệ xác thực ngày càng sử dụng nhiều yếu tố sinh trắc học hơn là mật khẩu.

Sở dĩ nhóm bảo mật CyberArk đã chọn Windows Hello để thử nghiệm vì đây là một trong những hệ thống xác thực sinh trắc học được sử dụng rộng rãi nhất.

Microsoft cho biết đã phát hành các bản vá cho "lỗ hổng bỏ qua tính năng bảo mật của Windows Hello", công ty cũng gợi ý người dùng nên chuyển qua tính năng bảo mật nâng cao “Windows Hello enhanced sign-in security” nhằm mã hóa dữ liệu khuôn mặt và lưu trữ nó bằng chip bảo mật riêng.