「重要な送金は必ず電話で本人確認する」――多くの企業で長年の標準ルールとして運用されてきたこの対策が、いま大きく揺らいでいます。海外では、CFOを含む複数の経営陣のディープフェイク映像が登場するビデオ会議に騙されて、数十億円相当の資金が送金される事件が報告されています。AIで生成された本人の声で電話がかかってくる、ビデオ会議に映る役員が偽物――こうした攻撃が、現実のビジネスシーンで実際に起きています。

「うちは小さい会社だから狙われない」とも言い切れません。生成AIの民主化により、攻撃の単価が下がり続けているからです。本記事では、ディープフェイクを使った詐欺の最新動向と、ビデオ会議・電話・メールという従来の「本人確認チャネル」が崩壊した時代に、情シスが整備すべき本人確認プロセスの再設計について解説します。

何が起きているのか：ディープフェイク詐欺の典型シナリオ

公開されている海外・国内のインシデント報告や、IPA、各セキュリティ機関の調査資料から、ディープフェイク詐欺の典型的なパターンが見えてきます。

代表的なシナリオは「ビデオ会議型なりすまし」です。財務・経理担当者が経営陣を装ったメールを受け取り、最初は不審に思って疑ったものの、続くビデオ会議で本人らしき映像と音声を確認したことで信頼してしまい、攻撃者が指定する複数の口座に多額の送金を実行してしまう――こうした流れが繰り返し報告されています。

この種の事案で本当に注目すべきは、「映像で見て、声を聞いた」という人間の本能的な本人確認手段が、技術的に突破された点です。CFOからの送金依頼メールを「フィッシングかもしれない」と一度は疑った担当者でも、ビデオ会議でリアルな本人を確認すると最終的に信用してしまいます。これがディープフェイクの恐ろしさです。

IPAや各セキュリティ機関の調査でも、ディープフェイク悪用の脅威は「組織にとって無視できるレベルまで高度化してきた」と評価されています。

何が起きているのか：ディープフェイク悪用の最新トレンド

2026年現在、ディープフェイクが悪用される手口は次のように多様化しています。

  • ビデオ会議型なりすまし：複数人が映る会議で経営陣を装い、急な送金や情報開示を指示
  • 音声型なりすまし（ボイスクローン）：30秒〜数分のサンプル音声から本人の声を合成し、電話で送金指示
  • 採用面接の偽装：応募者がディープフェイクで別人を装い、リモート面接を通過してリモートワーカーとして潜入
  • SNS／プレスリリースの偽動画：株価操作目的で経営者の偽動画を拡散する
  • 本人確認（eKYC）の突破：金融サービスの本人確認手続きを、ディープフェイク映像で偽装

特に音声合成は、攻撃ハードルが極めて低くなっています。CEOがメディア出演した際の動画や、決算説明会の音声、講演イベントの登壇動画などはYouTubeやIR資料として公開されており、攻撃者はそこから無料同然で素材を入手できます。LinkedInの公開プロフィールと組み合わせれば、誰が誰に指示できる立場かまで簡単に把握できる時代です。

なぜ従来の本人確認では止まらないのか

情シス担当者が直面しているのは、「本人確認チャネルそのものが汚染された」という構造的な問題です。

  • 電話：番号は偽装可能（番号スプーフィング）、声はAIで合成可能
  • ビデオ会議：映像も音声も合成可能。Web会議システム側にはディープフェイク検知機能がほぼ存在しない
  • メール：DKIM/SPFを通過する偽ドメインや表示名なりすましが日常茶飯事
  • チャット：アカウント乗っ取りやSlack/Teams上での偽装が増加

つまり、「人が見て聞いて判断する」レイヤーは、もはや本人確認の決定打にならないのが現在地です。情シスとしては、ここに「技術的に検証可能な経路」を組み合わせる設計が必要になります。

何が得られるのか：本人確認プロセス再設計のベネフィット

ディープフェイクを前提とした本人確認プロセスを整備すると、次の効果が得られます。

  • AI悪用詐欺への耐性が組織として担保される：単一の通信経路が突破されても、別経路で必ず止まる仕組みを作れます
  • ディープフェイク技術の進化に依存しない防御：「検知技術の精度」ではなく「業務フローの設計」で防ぐため、攻撃側の技術向上に左右されません
  • 被害発生時の説明責任が果たせる：「合言葉確認」「複数経路確認」「権限分離」を実装していた事実は、監督当局や取引先への説明で大きな意味を持ちます
  • 採用・契約プロセスのリスクも低減できる：リモート採用面接のなりすまし対策にも同じ考え方が応用できます

実運用のハマりどころ：現場でやってわかるTips

公式ドキュメントには載っていない、ディープフェイク対策の実践ポイントを共有します。

1. 「合言葉（コードフレーズ）」を経営層と財務部門で共有する
電話・ビデオ会議の最後に、事前に決めた合言葉を必ず確認する運用を導入します。合言葉は紙やオフラインで共有し、メール／チャット／クラウドストレージには絶対に保存しないこと。攻撃者がメールボックスに侵入していても入手できない情報にしておく必要があります。四半期ごとにローテーションするのが理想です。

2. 「ビデオ会議で初対面の重要決裁は行わない」を明文化する
特にM&A・新規取引・大口送金など、攻撃者が好む高額案件は、初対面のオンライン会議で完結させない運用にしてください。「直接会う」「複数経路で確認する」「決裁権者を分離する」という3段階のチェックを業務規程に組み込みます。

3. ビデオ会議で「リアルタイム検証」を要求する
怪しいと感じた場合の即席チェックとして、以下を相手にお願いします。

  • 「画面の前で手を顔の前で左右に振ってください」（ディープフェイクは横顔や手の遮蔽に弱い）
  • 「カメラの前で立ち上がってください」
  • 「今、その場にあるペンを取って何か書いてください」

リアルタイム生成型のディープフェイクは、こうした突発的な動作の追従に弱い性質があります。これは100%の検知手段ではありませんが、攻撃者にとってコストの高い障害になります。

4. メールベースの送金指示は「絶対にメールで返信完結しない」
送金指示メールへの確認は、必ず**別経路（社内電話帳から直接ダイヤル、対面、別チャットツール）**で実施するルールにしてください。メールに書かれた連絡先には絶対に折り返さない。これは花井22で取り上げたCEO詐欺対策と同じ原則で、ディープフェイクの時代でも変わりません。

5. 経営層の映像・音声の公開範囲を見直す
攻撃の素材になる映像・音声の供給源を絞ることも有効です。決算説明会の動画を全文公開している企業も多いですが、必要最小限の範囲に絞る、もしくは認証ゲート越しに限定公開する選択肢を検討してください。完全に止めるのは現実的でなくても、「無防備に大量供給している」状態は見直す余地があります。

次のアクション：「技術検知」より「業務設計」で守る

ディープフェイク対策は、AI検知ツールに過度に依存しないことが重要です。検知精度は攻撃側の進化と常にいたちごっこになりますが、業務フローの設計で多重チェックを担保しておけば、技術がどう進化しても被害には至りません。

「ディープフェイク検知AIを買えば安心」という発想ではなく、「本人確認チャネルが汚染された前提で送金・契約・採用プロセスを再設計する」という考え方が、2026年以降の企業セキュリティの基本姿勢になります。

自社の業務規程・送金フロー・採用プロセスに、合言葉や複数経路確認が組み込まれているか、ぜひ点検してみてください。設計や運用ルール整備に不安がある場合は、Colorkrewのセキュリティチームへお気軽にご相談ください。最新の攻撃トレンドを踏まえた防御フローの設計をご支援します。

参考文献