CEOの声で極秘の送金を求める電話：AI詐欺が企業から 129 百万ドルを奪った手口と、それを止めるひとつのルール

2026 年 11 月 10 日火曜日の今日、サウジアラビアでは「詐欺」が検索上位に入っています。5日前、ニューヨークの米連邦検察は、AIで最高経営責任者や弁護士の声と映像を複製し、2024 年から 2026 年にかけて社員に 129 百万ドル超、約 483 百万サウジ・リヤルを送金させた組織の起訴を発表しました。どの会社にも当てはまる教訓は、声が社長に似ているという理由で決して送金しないことです。通常の手順を外れた送金依頼は、事前に登録した番号へ自分から電話して確認し、さらに二人目の承認を得ます。極秘の取引も例外にしません。（全体像はディープフェイクとAI詐欺の記事で、偽メールはフィッシングメールの記事で解説しています。）

数字で見る事件の概要

2026 年 11 月 5 日木曜日、ニューヨーク南部地区連邦検事局は、スペインと英国で逮捕された 3 人に対する起訴状を公開しました。身柄引き渡しの請求は係属中です。起訴状の内容はすべて、まだ法廷で証明されていない申し立てです。発表では、ほかの被害企業に加えて 6 社が挙げられています。

• ミズーリ州の病院グループ：4,829,580 ドル。
• ロードアイランド州の銀行：2,684,580 ドル。
• カリフォルニア州の病院グループ：2,968,497 ドル。
• 英国のフィンテック企業：11,578,474 ドル。
• マサチューセッツ州の投資信託会社：4,639,918 ドル。
• フロリダ州のペットフード会社：5,242,747 ドル。

この6社だけで約 31.9 百万ドルになります。注目すべきは、被害者が不注意な小規模店ではなかったことです。銀行、フィンテック、ファンド運用会社など、財務チームと内部統制を持つ組織が含まれています。

電話はどう進むのか、ステップごとに

検察の発表によると、筋書きは毎回同じ順序で繰り返されました。

1. CEOから電話：詐欺師が最高経営責任者になりすまし、通話中にAIでその声や映像を模倣して、極秘の金融取引への協力を社員に求めます。
2. 弁護士が登場：偽のCEOは、取引を担当しているという大手国際法律事務所の弁護士に連絡するよう社員に指示し、詐欺師はその弁護士にもなりすまします。
3. 送金：偽の弁護士が、組織の管理する銀行口座への多額の送金を指示します。口座は米国、スペイン、ポルトガル、ギリシャ、アラブ首長国連邦、シンガポール、オーストリア、スロバキア、中国などにありました。
4. 隠蔽：入金された資金は、出所を隠すため暗号資産に換えられました。

最も示唆的なのは、被告の一人が Lawyer Call という題の手書き台本を持っていたことです。そこには、電話の件を同僚と話さないよう社員を説得する文言が含まれていました。秘密はこの詐欺の些細な要素ではありません。あらゆる内部統制を止めてしまう道具なのです。

声を聞き分けるだけでは足りない理由

「よく聞けば分かる」という助言はもう通用しません。FBIインターネット犯罪苦情センターの 2025 年年次報告書は、AIで作られた合成コンテンツは見破りにくく作りやすくなっており、音声クローンが送金の依頼に使われていると指摘しています。2025 年だけで：

• 同センターはAIに言及した苦情を 22,364 件受け付け、損失は 893,346,472 ドルでした。
• 企業は、AIを使ったビジネスメール詐欺で 30 百万ドル超の損失を報告しました。
• ビジネスメール詐欺全体の損失は、24,768 件の苦情で 3,046,598,558 ドルでした。

これは米国の数字ですが、手口に国境はなく、組織の口座にはアラブ首長国連邦のものも含まれていました。サウジアラビアでは、サウジ中央銀行（SAMA）が、詐欺の手口はさまざまでも目的は同じで、お金を盗むか、口座を違法な取引に使うことだと注意を促し、情報は公式の情報源からのみ得るよう勧めています。社内での公式の情報源とは、かかってきた番号ではなく、すでに登録してある番号です。

会社の送金を守る 5 つのルール

1. 折り返し確認を必須にする。電話、ビデオ、WhatsApp による送金依頼は、たとえCEOの声でも、社員が会社の記録にあるCEOの番号へ自分から電話して確認します。同じ番号への折り返しや、依頼者が送ってきた会議リンクへの参加で確認してはいけません。
2. 秘密を理由にした例外を認めない。社内規程に明記します。どんな極秘取引も承認手続きを免除されません。本物のCEOが財務責任者に送金を隠すよう求めることは決してないと、チームに伝えてください。同僚に話さないでという依頼は、すぐに手を止める合図です。
3. 一定額を超えたら二人で承認する。通話に参加していない二人目の承認が必要になる金額を決め、できればマニュアルに書くだけでなく、財務システムと銀行口座の権限設定で強制します。
4. 社内の確認用の合言葉を決める。送金を依頼できる人全員と、支払い依頼のときだけ使い、メールやチャットには決して書かない質問や言葉を決めておきます。詐欺師は声を複製できても、聞いたことのないものは知りようがありません。
5. 日単位ではなく時間単位で通報する。送金してしまったら、すぐに銀行へ電話して止めてもらいます。2025 年、FBIの資産回収チームは銀行と協力して 3,900 件の事案に対応し、679,013,183 ドルを凍結しました。成功率は 58% で、最大の要因は被害者が通報した速さでした。

Origami の見方

私たちはこの事件を、技術の問題というより手順の問題と捉えています。組織はどの被害者のシステムにも侵入していません。利用したのはひとつだけ、単独で送金でき、聞き慣れた声に従う社員です。声や顔の偽造が安くなった今、持ちこたえるルールは、社員が聞いたものを判断することに依存しないルールだけです。

だからこそ、サウジ企業向けに会計、購買、支払いのシステムをオーダーメイドで開発するとき、私たちは承認フローをシステムそのものに組み込みます。金額の上限、二人目の承認、そしてすべての依頼と承認者の記録です。どんなに説得力のある電話でも、それを迂回できないようにするためです。支払い承認フローの見直しをご希望なら、お問い合わせいただくか、サービスをご覧ください。

まとめ：今週やるべきこと

• 支払いを送金・承認できる全員を集め、この事件を 10 分で説明する。
• 折り返し確認のルールと、秘密を理由にした例外を認めないルールを、チームが署名する書面の規程にする。
• 銀行口座の権限を確認する。一人で二人目の承認なしに任意の金額を送金できないか。
• 必要になる前に、取引銀行の不正対応窓口の番号を財務チームに登録しておく。

出典

• 米司法省 ニューヨーク南部地区連邦検事局 — 2026 年 11 月 5 日の発表：起訴内容、CEOと弁護士へのなりすましの手口、6社の損失額、口座が開設された国。
• FBIインターネット犯罪苦情センター — 2025 年 IC3 年次報告書：AI関連の苦情と損失、ビジネスメール詐欺の損失、資金凍結の結果。
• サウジ中央銀行（SAMA） — 不審なメッセージや電話に関する注意喚起：なりすましの手口とその目的、公式の情報源のみを頼るようにとの助言。