CyberFix Noteディープフェイク音声・映像のなりすまし詐欺。声や顔を疑わずに手順で止める
対象の目安: 経理財務・情報システム担当・一般の利用者 / 実務
ディープフェイク詐欺は、生成AIで作った偽の音声や映像を使い、経営者や取引先、家族などになりすまして送金や情報提供を迫る詐欺です。従来の詐欺が文章のなりすましだったのに対し、耳で聞く声や画面に映る顔まで本物そっくりに再現される点が新しく、電話やビデオ会議という「相手を直接確認できる」はずの経路が、そのまま攻撃経路に変わってしまいます。
この記事は、送金や承認にかかわる経理財務や情報システムの担当者と、家族の声を装う電話に不意を突かれ得る一般の利用者の双方に向けて書いています。なぜ人の耳や目では見抜きにくいのかという機構を押さえたうえで、声や顔を疑う努力に頼るのではなく、確認の手順で止めるという考え方を、企業と個人の両面から具体的に解説します。
ディープフェイク詐欺の主な型
ディープフェイクといっても手口は一様ではありません。なりすます相手と経路によって、いくつかの型に分かれます。自社や自分がどの型に狙われやすいかを把握しておくと、確認手順を組み立てやすくなります。
| 型 | なりすます相手 | 典型的な経路と狙い |
|---|---|---|
| 経営者なりすまし型 | 自社の経営層・役員 | 電話やボイスメッセージで「極秘の送金を至急」と指示し、担当者に振り込ませる |
| ビデオ会議なりすまし型 | 経営層や複数の同僚 | 偽の映像と音声で会議を演出し、その場の指示として送金を承認させる |
| 取引先なりすまし型 | 取引先の担当者 | 電話で「振込先が変わった」と本人の声で伝え、偽口座へ誘導する |
| 家族・知人なりすまし型 | 子・孫・友人など | 「事故に遭った」「トラブルで今すぐお金が要る」と泣きつく声で送金を急がせる |
| 公的機関・著名人なりすまし型 | 官公庁の担当者や著名人 | AI音声で権威を装い、信頼させてから偽サイトや別経路へ誘導する |
FBIのIC3は、2025年4月以降、米国の政府高官になりすます手口としてAI生成の音声メッセージ（ビッシング）とショートメッセージ（スミッシング）が組み合わされ、信頼を築いたうえで別の連絡手段へ誘導し、認証情報を盗む偽サイトやマルウェアへ導く事例を注意喚起しています。声そのものが信頼の入口として悪用されている点が、この型の特徴です。
なぜ耳や目では見抜きにくいのか
ディープフェイク詐欺が厄介なのは、これまで「本人である証拠」とみなされてきた声や顔が、そのまま偽装の対象になるからです。私たちは電話で聞き覚えのある声を、ビデオ会議で見慣れた顔を、無意識のうちに本人証明として受け取ります。生成AIはこの受け取り方を逆手に取り、判断の入口で信頼を成立させてしまいます。
少ない素材から声や顔を合成できる
音声合成は、対象の声を録音した短い素材があれば、その声色や話し方を再現します。動画共有サイトの登壇映像、SNSに上げた自撮り動画、留守番電話の応答メッセージなど、公開されている音声や映像が素材になり得ます。狙われる側が特別に不用心でなくても、仕事や日常で声や顔を人目に触れさせている限り、素材は集まってしまうという構造です。
緊急と権威と秘密で考える時間を奪う
技術が新しくなっても、人をだます心理の仕組みは古典的な詐欺と共通します。よく使われるのが次の三つです。
- 権威: 「社長から」「官公庁から」と、断りにくい立場を声で演出し、指示の正しさを疑う前に従わせます。
- 緊急: 「今日中に」「今すぐ」と締め切りを切り、確認する時間を奪います。あせりは正規の手順を飛ばさせます。
- 秘密保持: 「この件は極秘なので誰にも言わないでほしい」と口止めし、本来なら相談や確認をするはずの相手に声をかけさせません。
本物そっくりの声や顔が加わると、この三つの圧力はいっそう効きます。声が本人に聞こえるだけで、担当者は「確認したら失礼にあたる」と感じ、ふだんの手順を自分から飛ばしてしまいます。
リアルタイムの通話にも重ねられる
初期の合成音声は録音されたメッセージが中心でしたが、通話中の音声や映像に本人の声色や顔をかぶせる手法も現れています。2024年には、香港の会社員がビデオ会議で自社の最高財務責任者（CFO）と複数の同僚に見える相手から指示を受け、複数回に分けて多額を送金した後に本社への確認で偽物だと判明した事例が報じられました。会議の参加者が本人以外すべて合成だったとされ、合成された参加者から送金の指示を受けた点が、この手口の見抜きにくさを示しています。なお、この事例で参加者とリアルタイムに自然な対話が成立したとまでは確認されておらず、合成映像でも指示を信じ込ませられる点が教訓です。
技術的な侵入をともなわず、人の判断を突いて送金させる点で、この手口はビジネスメール詐欺（BEC）と地続きです。入口が声や映像に変わっただけで、守るべき勘所は共通しています。あわせて押さえておくと、組織全体の防御を組み立てやすくなります。
あわせて読みたい
ビジネスメール詐欺（BEC）の手口と組織的対策。送金プロセスを統制で守る
検知ツールに頼りきれない理由
「合成された声や映像を見抜くツールを入れれば安心ではないか」と考えたくなりますが、検知を守りの中心に据えるのは危険です。合成技術と検知技術は追いかけ合いの関係にあり、学習していない新しい生成方式や、圧縮や雑音、通話品質の劣化が加わると、検知の精度は落ちやすくなります。人による違和感の判断も同じく鈍ります。検知はあくまで補助であり、誤検知や見逃しが起きる前提で、検知結果だけを本人確認の根拠にしない運用が必要です。
だからこそ、守りの軸は「その場で偽物を見抜くこと」ではなく、「見抜けなくても送金や情報提供が成立しない手順」に置きます。声や顔を判断材料から外し、あらかじめ決めた別経路での確認を必ず通す。この発想の転換が、技術の進歩に左右されにくい防御になります。
注意
声や顔が本人そっくりでも、それだけを根拠に送金や口座変更、認証情報の提供を判断しないでください。合成音声や合成映像は、電話やビデオ会議という本人確認のつもりの経路をそのまま突破します。判断は必ず、相手が指定していない別経路での確認に委ねてください。
企業の対策：承認プロセスの統制で止める
企業向けの対策は、担当者一人の注意力に依存させないことが要点です。人は疲れ、急ぎ、権威に弱いため、注意で守ろうとするといつか破られます。守りを業務プロセスに組み込み、心理操作が一人に効いても全体が止まる仕組みにします。
企業がとる確認手順
- 1
送金と口座変更を『別経路の折り返し』で必ず確認する。依頼が電話やビデオ会議で来ても、あらかじめ台帳に登録した番号へこちらからかけ直して本人と用件を照合する運用を必須にします。
- 2
確認の連絡先は、依頼の中で示された番号やリンクから取らない。依頼者が指定した連絡先は攻撃者のものかもしれないため、事前登録した正規の連絡先だけを使います。
- 3
権限を分離し、一人で送金まで完結させない。起票者と承認者を分け、一定額以上や口座の新規登録・変更には別の担当の承認を必須にします。
- 4
合言葉や事前に決めた確認質問を、社内の高額送金の承認に組み込む。声や顔ではなく、通話相手しか知り得ない情報で本人性を確かめます。
- 5
『極秘だから確認するな』という指示自体を警告サインとして扱う。確認を止めさせる圧力こそ手口だと社内で共有し、確認を歓迎する文化を明示します。
口座情報の変更は、送金と同じ重みで扱ってください。取引先なりすまし型の多くは、まず「振込先が変わりました」という本人の声の連絡から入ります。ここで口座変更を無確認で受け入れると、その後の正規の請求がそのまま偽口座へ流れます。声で伝えられたからといって信用せず、別経路の折り返しで確認する場面です。
社員教育も、手口の実演を交えて具体的に伝えることが有効です。ソーシャルエンジニアリング全般の考え方は、ディープフェイクへの備えとも重なります。
あわせて読みたい
ソーシャルエンジニアリングの手口と対策。なりすまし・プリテキスティング・テールゲーティングを原理から理解する
個人の対策：家族間の合言葉と露出の見直し
個人向けで最も多いのが、家族や知人の声を装う緊急の電話です。「事故を起こした」「トラブルで今すぐお金が要る」と、泣きつくような声で送金を急がせます。声が本人に聞こえるほど、冷静な確認が難しくなるのがこの型の怖さです。
個人がとる確認手順
- 1
『今すぐお金』の連絡が来たら、いったん電話を切る。かけ直して確認すると告げ、相手が渋っても手順を変えないことが第一歩です。
- 2
本人だと知っている番号へ、自分からかけ直す。着信履歴や相手が伝えた番号ではなく、電話帳に登録済みの番号を使います。つながらなければ別の家族や共通の知人を通じて安否を確かめます。
- 3
家族間で合言葉を事前に決めておく。緊急時に『合言葉は』と尋ね、答えられなければ本人ではないと判断できるようにします。声だけで信用しない習慣を家族で共有します。
- 4
現金の手渡し、電子マネーやギフトカードの番号を伝える、暗号資産で送るといった要求が出たら、詐欺を強く疑う。追跡や取り消しが難しい方法を急がせるのは典型的なサインです。
- 5
官公庁や金融機関をかたる連絡は、公式サイトに載っている窓口へ自分から問い合わせて確認する。相手が伝えた連絡先には折り返さないようにします。
素材となる声や顔の露出も、意識しておく余地があります。SNSに上げた動画や音声は、そのまま合成の素材になり得ます。公開範囲を見直したり、不特定多数に長時間の音声や顔を晒す機会を減らしたりすることは、素材の入手を難しくします。すべての露出を止めることは現実的ではありませんが、家族の連絡手段と合言葉という「最後の確認」を用意しておけば、素材が集められても送金の段で止められます。
米国のFTCは、AIで身近な人の声を装う緊急事態詐欺について、連絡してきた相手が本人かどうかを、自分が知っている番号にかけ直して確かめること、連絡が取れなければ別の家族や友人を通じて確認することを呼びかけています。声が本物に聞こえても、折り返しの一手間が判断を守ります。
生成AIの悪用という文脈で捉える
ディープフェイク詐欺は、生成AIが攻撃側の道具になった一例です。同じ技術は、フィッシングメールの巧妙化や偽サイトの量産にも使われており、なりすましの説得力を底上げする方向に働いています。IPAの「情報セキュリティ10大脅威 2026」でも、AIの利用をめぐるサイバーリスクやビジネスメール詐欺が組織向けの脅威に挙げられ、その解説の中で人の判断を狙う手口が扱われています。手口の本質が「人の判断の隙」にある限り、システムの更新だけでは古びません。
生成AIの悪用がどのように広がっているかを俯瞰しておくと、目の前のディープフェイク詐欺も一過性の流行ではなく、続く傾向として備えやすくなります。
あわせて読みたい
攻撃者が生成AIを道具に使う手口と怪しい兆候の見分け方
まとめ
ディープフェイク詐欺への備えチェックリスト
- 送金と口座変更を、依頼が来た経路とは別の、事前登録した連絡先への折り返しで確認しているか
- 確認の連絡先を、依頼の中で示された番号やリンクから取らない運用になっているか
- 送金の起票と承認を分け、一人で完結できない仕組みにしているか
- 高額送金の承認に、声や顔ではなく合言葉や確認質問を組み込んでいるか
- 『極秘だから確認するな』という指示を、警告サインとして扱えているか
- 家族間で、電話越しに確かめられる合言葉を事前に決めているか
- SNSでの声や顔の露出が合成の素材になり得ると意識し、公開範囲を見直しているか
- 電子マネーやギフトカード、暗号資産での支払いを急かす要求を、詐欺の兆候として共有しているか
ディープフェイク詐欺は、最新の技術で人の耳や目をだます一方で、狙っているのは古くからある「あせりと権威と秘密」への弱さです。だからこそ守り方も、偽物を見抜く努力に振り切るのではなく、見抜けなくても送金が止まる手順を用意することにあります。声や顔を判断材料から外し、別経路の確認と合言葉に委ねる。この地味な一手間が、技術が進んでも破られにくい防御になります。
関連して、入口となるフィッシングの基礎と、人の判断を突くソーシャルエンジニアリングの対策もあわせてご覧ください。
あわせて読みたい
フィッシングの手口と対策の基本。個人と組織でできることを徹底解説
あわせて読みたい
ソーシャルエンジニアリングの手口と対策。なりすまし・プリテキスティング・テールゲーティングを原理から理解する
出典・参考
関連する記事
ビジネスメール詐欺（BEC）の手口と組織的対策。送金プロセスを統制で守る
経営層や取引先になりすまし、正規の業務メールに紛れて送金させるビジネスメール詐欺（BEC）。手口の原理から、なぜ気づきにくいのか、そして送金プロセスの統制と二重確認による組織的な防ぎ方までを実務目線で解説します。
ソーシャルエンジニアリングの手口と対策。なりすまし・プリテキスティング・テールゲーティングを原理から理解する
技術の脆弱性ではなく人の心理を突くソーシャルエンジニアリング。なりすまし、プリテキスティング、テールゲーティングといった代表的な手口の原理と成立条件、個人と組織でできる対策を、専門知識がなくても分かるように実務目線で解説します。
攻撃者が生成AIを道具に使う手口と怪しい兆候の見分け方
攻撃者が生成AIをフィッシング文面の量産やディープフェイクによるなりすましに使うと、何がどう変わるのかを整理します。日本語の不自然さに頼る判断が通用しにくくなった理由と、利用者や組織が兆候を見分けて備える方法を一次情報をもとに解説します。