社長なりすまし詐欺の対策 — ディープフェイク・AI音声の手口と社内ルール【中小企業向け】

社長や取引先になりすました送金詐欺は、AIによる音声やビデオ会議の偽物が加わっても、守り方の中心は変わらない。「声や顔で本人確認をしない」「送金は一人で完結させない」「連絡は登録済みの番号へ折り返す」の3つを、社内ルールとして決めておくことである。 技術的な見分け方は今後も変わり続けるが、手順で止める仕組みは生成AIの進歩に左右されにくい。本稿では、典型的な手口、中小企業が狙われる理由、今日から決められる社内ルール、費用のかかる技術的対策、被害に遭ったときの初動までを整理する。

ディープフェイクとは、AIで作った本物そっくりの映像や音声のことである。音声クローンは、数十秒から数分程度の音声があれば、その人の声に似せた音声を作れる技術を指す。決算説明会の動画、SNSの投稿、取材記事の音声、ウェブ会議の録画など、経営者の声や顔は意外に多く公開されている。

従来の「社長になりすましたメール」は、文面の不自然さや差出人アドレスの違和感で気づけることがあった。電話口で本人の声が聞こえれば信じてしまう、というのが人間の自然な反応であり、そこを突くのが音声クローンである。変わったのは、「声が本人らしい」「画面に本人が映っている」ことが、本人確認の根拠にならなくなった点である。

一方で、手口の骨格は昔からある送金詐欺と同じである。「急ぎ」「秘密」「いつもと違う口座」「普段の手順を飛ばしてほしい」という要素が組み合わさる。この骨格を知っておけば、技術が進んでも対処の方針は立てやすい。

警察庁もビジネスメール詐欺（BEC）について、取引先や自社の経営者になりすまして偽のメールを送り、入金を促す詐欺として注意を呼びかけている。振込先の変更はメール以外の方法、たとえば電話で確認すること、送金してしまった場合は速やかに銀行へ組戻しを依頼することが案内されている（警察庁：ビジネスメール詐欺）。

実際の被害は、次の4つのパターン、またはその組み合わせで起きる。

経理担当や総務担当に、社長（または役員）の声で電話がかかってくる。「取引先との極秘の案件で、今日中に送金が必要だ」「詳細は後で説明する」と急がせ、指定の口座に振り込ませる。声が本人そっくりで、社内の事情を一部知っているように話すため、疑うきっかけを失いやすい。着信番号が社長の携帯電話に見える場合もあるが、発信者番号は偽装できるため、番号の表示も確認の根拠にはならない。

海外では、ビデオ会議の参加者が本人そっくりの偽物だった事例が報道されている。香港では2024年、英国の設計・エンジニアリング会社Arupの香港拠点の担当者が、CFOらを装う偽のビデオ会議に参加させられ、約2億香港ドルを複数回に分けて送金した。香港警察の発表をもとに報じられており、偽物は過去のオンライン会議などの映像・音声が元になったとされている。担当者が本社に確認して発覚した、という経緯も報じられている（報道例：Computing）。

この事例が示すのは、「複数人が映っているから本物だ」という判断も危ういことである。同時に、最後に助けになったのは「別の経路で本社に確認する」という、ごく基本的な行動だった点も押さえておきたい。

最近の詐欺は、一つの手段で完結させない。まずメールで「社長」から「後ほど電話する」と連絡が入り、続いて電話や通話アプリで指示が来る。メールの段階で疑いを持たなかった人も、電話の声で安心してしまう。逆に、電話で指示を受けたあとに、手続用のメールや請求書が届くパターンもある。複数の連絡手段が揃っていても、それが同じ犯人から来ているなら、確認したことにはならない。

社長の名前を使わない手口も多い。取引先の担当者を名乗り、「口座を変更したので次回から新しい口座に振り込んでほしい」とメールや電話で依頼する。取引先のメールアカウントが乗っ取られて、本物のやり取りの流れの中で届く場合もあり、見分けがさらに難しい。自社が支払う側だけでなく、取引先が自社を装った偽のメールを受け取る被害も起きる。後者を減らすには、自社ドメインのなりすまし対策が有効であり、なりすましメール対策 SPF・DKIM・DMARC入門で手順を整理している。

- 決裁者と経理が近く、一人で送金できてしまう: 社長の指示一つで経理担当が動く会社では、チェックが働く前に送金が終わる
- 公開情報から社内の関係を推測しやすい: 社長の名前、担当者の名前、取引先は、ウェブサイトや求人、SNSから分かる
- 送金ルールが文書化されていない: 「いつもこうしている」という慣習だけで動くため、例外を求められたときに断る根拠がない
- 専任のIT・セキュリティ担当がいない: 不審な連絡を相談できる窓口がない
- 断りにくい人間関係: 社長からの直接指示を、部下が疑って確認するのは心理的に難しい

大企業のように何重もの承認や専門部署がなくても、「疑って確認することが正しい行動だ」と会社が明確に決めておけば、この弱点は大きく減らせる。次の章がそのための具体策である。

費用がほとんどかからず、効果が大きいのが社内ルールである。ルールは文書にし、全員が見られる場所に置く。社長自身がルールの対象になる、と明記することが重要である。社内規程の作り方全体は中小企業の情報セキュリティ方針の作り方も参考にしてほしい。

一人が依頼し、別の一人が承認しなければ、送金が実行されないようにする。ネットバンキングの承認機能（作成者と承認者を分ける設定）を使えば、仕組みとして強制できる。社長自身の指示による送金も、必ず別の人が確認する。社員が二人しかいない会社なら、社長と経理担当の二人で、「社長だけの指示では動かさない」と決めるだけでも効果がある。

電話やメールで送金・口座変更の依頼を受けたら、依頼に書かれた番号やメールアドレスではなく、自社の台帳や過去の書類に登録されている番号へ折り返して確認する。 相手が「この番号にかけ直してほしい」と言ってきた場合は、その番号こそ疑う。ビデオ会議で指示を受けた場合も、会議を一度終えて、登録済みの番号に電話をかけ直す。

経営者と経理担当など、送金に関わる人の間だけで共有する合言葉を決める。メールやチャットには書かず、対面で伝える。電話で依頼を受けたら、合言葉を答えてもらう。AIが声を真似ても、事前に共有していない合言葉は知らない。定期的に変更し、退職者が出たら変える。質問形式（例：「去年の社内旅行の行き先は」）でもよいが、SNSなどで公開されている情報は避ける。

取引先から振込先の変更を求められたら、メールや電話の依頼だけで変更しない。変更届の書面（押印や署名のあるもの）を受け取り、さらに、過去の取引で使っている登録済みの電話番号で担当者に確認する。 変更後の最初の支払いは少額から始める、変更から一定期間は支払いを保留する、といった運用も有効である。

「一定額以上は必ず二人以上が確認する」「初めての口座への送金は必ず口座名義を確認する」といった金額・条件を決めておく。金額は会社の規模に合わせて、たとえば月の平均支払額を基準に、通常より大きい額を設定する。閾値の具体的な数字は、各社の事情で決めてよい。大事なのは、条件に該当したら例外なく止まる、という運用である。

詐欺の指示には、次の3つの特徴が重なりやすい。①急がせる、②他の人に言うなと口止めする、③普段と違う手順や口座を求める。 この3つのうち、いずれか一つでも当てはまったら、必ず別の人に相談して確認する。「社長でも、緊急でも、確認は省略しない」と、社長自身が従業員に伝えておくと、確認する側の心理的な負担が下がる。

技術的な対策は、ルールを補強する位置づけである。費用は規模や利用中のサービスによって大きく変わるため、以下はあくまで目安として見てほしい。

最優先は、費用がほとんどかからない二重承認とコールバックのルール化である。 ディープフェイクの映像・音声を技術的に見破るサービスも存在するが、精度は日々変わり、中小企業が単独で導入して運用するには負担が大きい。見破ることよりも、見破れなくても送金が止まる手順を整える方が現実的である。

音声や映像だけでなく、メールの偽装も依然として入口になる。自社ドメインのSPF・DKIM・DMARC設定は、取引先や顧客が自社を装った偽メールを受け取るリスクを下げる。ただし、他社が管理するドメインや、似た名前のドメイン（紛らわしい別ドメイン）から届くメールは、自社の設定では防げない。自社の設定だけに頼らず、受け取るメールの送信元を確認する習慣も並行して必要である。

メールアカウントの乗っ取りは、取引先になりすました振込先変更依頼の一因になる。多要素認証（パスワードに加えて確認コードなどを求める仕組み）を、メールとクラウドサービスに有効にしておくことは、費用が小さく効果の大きい対策である。社内に外部からのメールを示す警告表示を付けると、「社内から来たように見えるが、実は外部」という偽装に気づきやすくなる。

送金してしまった、または送金した疑いがある場合は、時間との勝負である。 資金が別の口座へ移されてしまうと、回収が難しくなる。迷った時点で、次の順に動く。

- 1. 銀行へ連絡して組戻しを依頼する: 送金元の銀行に、できるだけ早く連絡する。送金日時、金額、振込先口座を伝え、組戻しや、相手口座の凍結につながる手続きを相談する。営業時間外でも、銀行の緊急窓口が案内されていないか確認する
- 2. 警察に相談・通報する: 最寄りの警察署、または都道府県警のサイバー犯罪相談窓口に連絡する。被害届の提出も含めて相談する
- 3. 証拠を保全する: 受信したメール（ヘッダー情報を含む形で保存）、通話履歴、録音、ビデオ会議の記録、送金の控え、チャットのやり取りを、削除せずに保存する。パソコンの電源やアカウントの扱いは、削除や初期化をせず、状況を記録してから判断する
- 4. 取引先に連絡する: 自社がなりすましの被害を受けた場合や、取引先のメールが乗っ取られている疑いがある場合は、相手方に事実を伝える。取引先の側で別の被害が起きているかもしれない
- 5. 社内の連絡と記録をまとめる: 時系列（いつ、誰が、どの手段で連絡を受け、何を実行したか）を、記憶が新しいうちにまとめる
- 6. アカウントの安全を確保する: 乗っ取りの可能性がある場合は、メールなどのパスワード変更と多要素認証の設定を行う。個人情報や機密情報が漏えいした可能性がある場合の対応は、情報漏えいが起きたときの初動も参考にしてほしい

被害に遭った担当者を責めない運用も重要である。責められると報告が遅れ、回収の可能性が下がる。「すぐ報告した人が評価される」雰囲気づくりが、結果的に被害額を小さくする。

教育は、ディープフェイクの見破り方を教えるものではなく、「確認の行動を習慣にする」ためのものと位置づける。見破り方は技術とともに古くなるが、手順は残る。

- 声や顔だけで本人と判断しない。AIで似せることができると知っておく
- 送金・口座変更の依頼を受けたら、登録済みの番号に折り返す
- 「急ぎ」「秘密」「いつもと違う」を感じたら、その場で動かず、別の人に相談する
- 社長からの指示でも、ルールどおりの確認を省略してよいことにはならない
- おかしいと思った時点で、すぐに報告する。間違いでも責められない

研修は、年に1回の座学よりも、短い時間で繰り返す方が定着しやすい。たとえば、四半期に一度、15分で「社長を名乗る電話が来た想定」のロールプレイをする、といった形である。費用や選び方はセキュリティ研修・標的型メール訓練の費用で整理している。

- 送金は、依頼者と承認者が別の人になる仕組み（二重承認）になっているか
- 社長の指示による送金も、別の人が確認する決まりがあるか
- 電話・メールで送金や口座変更を依頼されたとき、登録済みの番号へ折り返す手順があるか
- 送金に関わる人の間で、合言葉を決めているか
- 取引先の振込先変更は、書面と別経路の確認を必須にしているか
- 一定額以上の送金や、初めての口座への送金に追加確認のルールがあるか
- 「急ぎ」「秘密」「いつもと違う」が警告サインだと全員が知っているか
- メールとクラウドサービスで多要素認証を有効にしているか
- 自社ドメインのSPF・DKIM・DMARCを確認したか
- 被害時に連絡する銀行の窓口と警察の相談先を、一覧にして共有しているか
- 定期的に、ロールプレイなどで確認手順を練習しているか

ディープフェイクや音声クローンは、送金詐欺の「信じさせる力」を高めた。ただし、対策の本質は、AIを見破ることではなく、一人の判断で送金が完了しない仕組みをつくることである。まず、二重承認、登録済みの番号への折り返し、合言葉、振込先変更の書面確認の4つを、今週中に決めて文書にしたい。次に、メールの多要素認証と自社ドメインの対策を、無理のない順で整えていく。そして、被害に気づいたときの連絡先を、あらかじめ一覧にしておく。この3段階を済ませるだけでも、多くの中小企業の備えは大きく前進する。