ディープフェイクとAI詐欺：あなたの企業は何に直面しているのか？

要するに、詐欺師は今やAIを使って上司の声や顔、メッセージを偽造し、社員をだまして送金させたりデータを漏えいさせたりできるということです。対策は一つの魔法のようなツールに頼るものではなく、互いに補完し合う三つの層に基づきます。社員の意識向上、重要な送金や変更の前に行う厳格な確認手順、そして技術的対策であり、技術的対策は改ざんを検知してその影響を抑えます。インシデントが起きる前にこれらの層を築いた企業こそ、最小限の損失で乗り切ることができます。

ディープフェイクとは何か、なぜ今企業にとって脅威なのか？

ディープフェイクとは、完全に本物に見えるようにAIで生成された偽のコンテンツ、つまり音声、画像、動画のことです。かつては専門家と高価な機材が必要だったことが、今では安価なツールで誰にでもできるようになり、SNSに上がっている上司の短い音声があれば、その声を不安になるほどの精度で複製できます。その結果、詐欺はもはや見抜きやすい稚拙なメールではなく、CFOが本人の顔と声で「出席」し、至急の送金を求めるビデオ通話になっています。

AI詐欺の最も一般的な手口

  • CEO詐欺：経営幹部を装った偽の電話や音声メッセージで、通常の手続きを経ずに「極秘かつ至急」の送金を求めるもの。
  • 偽造されたビデオ通話：複数の責任者が参加しているように見えるオンライン会議で、実際には全員がAIで生成された偽物であり、社員に送金指示を実行させるためのもの。
  • 音声クローン：オーナーや取引先の声で電話をかけ、銀行口座情報の変更や支払いを求めるもの。
  • デジタルIDのなりすまし：顔認証システムを突破したり、完全に架空の身元で口座を開設したりするもの。
  • 恐喝と評判の毀損：責任者や社員のねつ造された動画や画像を使い、脅迫したりブランドを傷つけたりするもの。

2024年に広く報じられた事件では、グローバル企業の拠点に勤める社員が、自社のCFOや同僚だと思い込んだ人物が参加するビデオ通話の後にだまされ（実際には全員がAIで生成された偽物でした）、約2500万米ドルを送金しました。教訓はテクノロジーを恐れることではなく、人の「見た目」や「声」だけでは重要な判断を承認するのに決して十分ではないよう、手順を設計し直すことです。

新たな黄金律：見たもの、聞いたものだけを信じず、偽造できない確認ステップを信じること。

会社を守る方法：実践的な三層プラン

効果的な防御は互いに補完し合う複数の層で構成され、一つが破られても次の層が攻撃を止めます。

  1. 手順の層（最も重要で最も安価）：あらゆる送金や口座情報の変更について「別経路で確認する」ルールを導入しましょう。事前に把握している番号へ折り返し電話をかけ、決して同じ通話の中で応じないことです。承認権限の上限、高額案件の二重承認、例外的な依頼のための口頭の合言葉を定めておきましょう。
  2. 意識の層：緊急性、秘密保持、感情的な圧力が詐欺の典型的なサインであることをチームに教えましょう。「今すぐ、内密に、誰にも言わないで」という依頼は、相手がどれほど信頼できそうに見えても警告サインとして扱う必要があります。
  3. 技術の層：すべての財務システムとメールで多要素認証を有効にし、不正検知システムや異常な送金の監視を活用し、会社が必要もなく公開している経営幹部の高品質な音声や動画を減らしましょう。

自分の目でディープフェイクを見抜く方法

技術が進歩しても、偽物を見破る手がかりはまだあります。音声と完全には一致しない口の動き、不自然な、あるいは極端に少ないまばたき、顔の照明や影の不自然さ、髪や耳のまわりのぼやけた輪郭、自然な感情のない抑揚のない声などです。ただし目だけに頼らず、それらを別経路で確認するきっかけと捉えましょう。こうしたシステムは、私たちが目で見抜く力よりも速く進化しているからです。

詐欺が起きたらどうするか

スピードが損失を抑えます。送金の停止や回収を試みるため直ちに銀行に連絡し、すべて（メッセージ、番号、通話録音）を記録し、関係当局に通報しましょう。サウジアラビアでは、取引銀行やサイバー犯罪を担当する治安機関に連絡できるほか、金融詐欺への対応と通報について国家サイバーセキュリティ庁とサウジアラビア中央銀行のガイダンスを確認できます。

サウジアラビアの状況：企業を支える規制の枠組み

サウジアラビアは、組織向けに義務的な管理策を定める国家サイバーセキュリティ庁（NCA）と、個人データ保護法（PDPL）に基づきAIの責任ある利用とデータ保護を規制するサウジデータ・人工知能庁（SDAIA）を通じて、サイバーセキュリティの強化を進めています。これらの管理策への準拠は単なる規制上の負担ではなく、この種の攻撃に対する会社の免疫力を高める既成の枠組みなのです。

テクノロジーパートナーの役割

対策の大半は手順に関するもので、どの組織でも実行できます。しかし、多要素認証をシステムに組み込む、送金前の自動確認フローを構築する、あるいはシステムを不正検知や異常監視のツールと連携させる必要があるときこそ、テクノロジーパートナーの出番です。事業に合わせたソリューションを設計し、持続的な社内の能力を築きます。目的は複雑さの層を増やすことではなく、安全な道を社員にとって最も簡単な道にすることです。

まとめ

ディープフェイクが詐欺を生み出したわけではありませんが、詐欺をより説得力のある、より安く実行できるものにしました。あなたの武器は恐れでも一つのツールでもなく、人の見た目や声だけでは決して十分とされない、根付いた確認の文化と手順です。今日からこれらの層を築き、チームを訓練しましょう。備えのある企業は、起こり得る攻撃を大きな損失ではなく、失敗に終わった試みに変えられるのです。

出典

  • 国家サイバーセキュリティ庁：nca.gov.sa
  • サウジデータ・人工知能庁（SDAIA）：sdaia.gov.sa
  • サウジアラビア中央銀行（SAMA）：金融詐欺に関する啓発：sama.gov.sa
  • 2024年のディープフェイク詐欺事件に関する報道：CNN：cnn.com