ディープフェイクとビジネスメール詐欺｜声や映像より承認経路を確認する

IPAは2026年8月3日、メールを起点とした攻撃への対策をまとめた情報を公開しました。フィッシング、ビジネスメール詐欺（BEC）、標的型攻撃などは、似た入口でも狙うものが違います。ログイン情報を盗むのか、誤送金させるのか、端末に侵入するのかを分けると対策を選びやすくなります。

AI音声・動画によるなりすましは、2026年に初めて現れた手口ではありません。IPAの2024年公開事例にもディープフェイクが含まれています。「AIが流行しているから全てAI詐欺」と決めつけず、確認経路を省略させる依頼に注意することが重要です。

確認する行動を社員へ伝えるなら研修の設計へ。受講率・理解度・実際の運用を分けて評価します。

月末の経理担当者に、上司を名乗る相手から「取引先の口座が変わった。今日中に払って」と連絡が来ました。声が似ていて、画面に会社名も表示されています。しかし、社内の申請記録はなく、新しい口座番号はその会話だけで示されました。これは学習用の架空の例です。

ここで問うべきなのは、声の似ている度合いではありません。口座変更の申請者、登録済みの取引先、承認者、変更内容を確認できる記録があるかです。顔や肩書きの表示は、取引先口座の変更を許可した証拠にはなりません。急がせる事情と手続きを省略してよい根拠も別です。

メールに書かれた電話番号へ折り返しても、その番号自体が攻撃者のものなら同じ経路に戻っています。連絡先は、事前に確認された社内名簿や契約時の窓口などから取得します。過去の会話を乗っ取られている可能性もあるため、メールのスレッドが続いていることだけで判断しません。

二重承認も、二人が同じ偽メールを眺めるだけでは弱い対策です。申請者と承認者の役割を分け、口座変更と実際の支払いを別に確認します。少額の変更なら安全とも限りません。例外処理を認める場合は、例外を承認できる人と記録方法を事前に決めておきます。

フィッシングでは認証情報の入力を誘導することがあり、BECでは送金や機密情報の送付を業務上の依頼として誘導することがあります。ディープフェイクは、そのなりすましをもっともらしくする手段の一つです。これらは組み合わせて使われることもあります。

メール認証や迷惑メール対策、MFAは重要ですが、正規のアカウントから届く不正な依頼や、本人が誤った送金を承認する問題を全て解消するわけではありません。入口の防御と、業務上の意思決定を確認する仕組みを併用します。

架空の経理部で、急ぎの送金依頼は上司の承認が省略される慣行になっていたとします。個人に「怪しい声を見抜く力」を求めるだけでは、忙しいときに同じ穴が残ります。一定の変更は必ず別経路で確認する、と業務の側で決めておけば、担当者が相手の頼みを一時保留する理由を持てます。

研修では、どの部署の誰へ連絡するか、承認者が不在ならどうするかまで確認します。会社が用意した検証用の架空例で、依頼の内容と確認先を選ぶ練習をすると、手続きを覚えているかを確かめられます。実際の取引先へ偽の依頼を送るような無断の訓練は行いません。

「自分は騙されない」ではなく、「誰でも保留して確認できる」を目標にします。疑った結果、正規の依頼だった場合も、確認した人が責められない運用が継続的な対策につながります。

疑いに気づいたら、社内の担当者へ直ちに連絡し、送金の場合は金融機関への連絡を組織の手順に沿って進めます。認証情報を入力した場合は、対象サービスの管理者とアカウント・セッションの停止や認証情報変更を判断します。自分だけで相手との交渉を続けないようにします。

メール、通話時刻、送金情報、承認記録は調査に必要です。隠したり削除したりせず、定められた窓口へ安全に共有します。再発防止では、被害者の注意不足だけに帰着させず、正規の確認先が探しにくかったのか、急ぎの例外が常態化していたのかも見直します。

本記事のケース・図解は当サイト独自の学習用です。公表事例と架空の練習例を区別し、実際の試験問題や過去問を再現していません。時事情報がそのまま出題されるという意味ではありません。

学習範囲を確認するなら情報・サイバーセキュリティ管理士の概要、理解を確かめるなら登録不要の無料お試し20問へ。収録内容と料金は管理士のコースページで確認できます。

外部の制度・事例は2026年10月14日時点で確認しました。事件の評価や製品の対応状況は更新されるため、実務判断では末尾の一次資料も再確認してください。