ディープフェイクを使ったなりすましへの備え

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

生成AIを使うと、実在する人の声や顔に似せた音声・映像を作れるようになりました。こうした偽の音声や映像はディープフェイクと呼ばれ、経営者や取引先になりすました詐欺にも使われています。この記事では、IPA（情報処理推進機構）、警察庁、米国のFBIの資料にそって、手口と会社としての備えを整理します。

ディープフェイクは、どんななりすましに使われていますか？

IPAの「情報セキュリティ10大脅威 2026」解説書は、ビジネスメール詐欺（BEC）の手口の説明の中で、なりすましにAIによるディープフェイクなどの利用も確認されているとしています。弁護士などの社外の権威ある第三者を名乗る手口では、生成AIなどによる偽の電話が使われることもあるとしています。

米国のFBIが運営するIC3（インターネット犯罪苦情センター）は、2024年12月の注意喚起で、生成AIを使った金銭の詐欺の手口を次のように挙げています。

日本でも、警察庁の資料が引用する政府の人工知能基本計画は、ディープフェイクなどAIを悪用した問題が表に出てきていることを挙げ、AIを悪用したサイバー攻撃や詐欺への対応を図るとしています。

なぜ「見分ける」より「確かめる」なのですか？

FBIの注意喚起は、画像や映像の不自然さ（手や顔のゆがみ、影、声と口の動きのずれなど）に目を向けることも挙げています。一方で、生成AIの性能は上がり続けており、短い通話や画面の小さいビデオ会議では、違和感に気づけないこともあります。

FBIの注意喚起は、一般の人に向けた助言として、電話をいったん切り、相手の組織の連絡先を自分で調べて、その番号に直接かけ直して確かめることを挙げています。IPAの解説書も、振込依頼や口座の変更の依頼は、ふだんの連絡手段とは別に事前に取り決めたルートで確かめることを対策に挙げています。

相手の顔や声が本人らしいかどうかではなく、「決めた手順で確かめたかどうか」で判断するのが、ディープフェイクへの備えの考え方です。

確かめる手順は、どう決めればよいですか？

すべての依頼を厳しく確かめると、業務が回らなくなります。依頼の重さに応じて、確認の強さを変えると続けやすくなります。

① お金や信用に関わる依頼を洗い出す：送金、振込先の変更、取引の条件の変更、機密の情報や個人情報の送付、アカウントの権限の変更、パスワードのリセットなどです。

② 依頼の重さで段階を分ける：たとえば、金額が一定以上の送金や振込先の変更は「重い」、社内向けの資料の共有は「軽い」などと分けます。

③ 段階ごとに確認の方法を決める：「重い」依頼は、決めておいた別の手段での折り返しと、複数の人の承認を組み合わせます。

④ 折り返しの連絡先を前もって登録する：届いたメールや通話で伝えられた番号ではなく、契約書や社内の名簿にある連絡先を使います。

⑤ 例外の扱いを決める：「社長が出張中で急いでいる」といった例外の場面ほど、なりすましに使われやすくなります。例外のときこそ手順を省かない決まりにします。

IPAの解説書は、なりすましのメールで「緊急」や「他の従業員には秘密」と添える例を挙げています。急がせる・口止めする依頼は、確かめる合図として社内で共有しておくと効果的です。

FBIの注意喚起は、家族の間で本人を確かめるための秘密の言葉を決めておくことも挙げています。これは家族を対象にした個人向けの助言で、会社での使い方を示したものではありません。会社で同じ考え方を取り入れる場合は、合言葉が漏れることもあるため、合言葉だけに頼らず、折り返しの確認と組み合わせることが考えられます。

ビデオ会議や電話での依頼には、どう備えますか？

ビデオ会議や電話では、その場で答えを迫られ、確かめる時間を取りにくくなります。次のような決まりを用意しておくと、落ち着いて対応しやすくなります。

• 会議や通話の中では、送金や権限の変更を決めない。会議の後に、決めた手順で確かめてから実行する
• 初めての相手や、ふだんと違う経路（個人のアカウント、知らない会議の招待など）からの依頼は、相手の組織の公式の連絡先で確かめる
• 「カメラの調子が悪い」「声がかすれている」などの説明で、確認を省こうとする依頼には注意する

警察庁の資料は、銀行を名乗る電話でメールアドレスを聞き出し、偽のメールに誘導する「ボイスフィッシング」の被害も紹介しています。銀行から電話があったときは、代表電話などに折り返して本物かどうか確かめる対応を社内で徹底するよう呼びかけています。声による依頼全般にも参考になる考え方です。

自社の役員や社員の声・顔は、どう扱えばよいですか？

偽の音声や映像は、公開されている動画や音声をもとに作られることがあります。FBIの注意喚起は、個人向けの助言として、可能であれば自分の画像や声をネット上に公開する範囲を絞ることを挙げています。

会社としては、役員の講演や動画の発信をやめる必要はありません。声や顔が公開されていることを前提に、手続きで守ると考えるほうが現実的です。そのうえで、社内向けの動画を社外に公開しない、会議の録画の保管場所と閲覧できる人を決める、といった管理をあわせて行うと安心です。

社員への伝え方と、起きたときの動き方は？

① 確かめることを責めない：上司や取引先を疑うようで気が引ける、という心理が詐欺に使われます。「決めた手順で確かめるのは当然」と経営者から伝えておくことが大切です。

② 訓練で体験する：AIで作った音声の例を見せたり、偽の依頼を想定した手順の練習をしたりすると、手順が身につきやすくなります（「社員のセキュリティ教育の進め方」参照）。

③ 被害に気づいたらすぐ報告する：送金してしまった場合は、すぐに金融機関に連絡し、警察にも相談します。社内の報告の流れは「セキュリティ事故が起きたときの対応の手順」にまとめています。

チェックリスト

• 送金・振込先の変更・機密の情報の送付など、お金や信用に関わる依頼を洗い出している
• 依頼の重さに応じて、確認の方法の段階を決めている
• 重い依頼は、別の手段での折り返しと複数の人の承認を組み合わせている
• 折り返しの連絡先を、契約書や社内の名簿から前もって登録している
• 会議や通話の中では送金や権限の変更を決めない決まりがある
• 急がせる・口止めする依頼は確かめる合図だと、社内で共有している
• 確かめることを責めないと、経営者から社員に伝えている
• 偽の依頼を想定した手順の練習をしている
• 送金してしまったときの連絡先（金融機関・警察）を一覧にしている