偽造されるのは、顔ではなく権限である

かつて、詐欺には違和感が残っていた。

不自然な日本語。不鮮明な画像。知らないメールアドレス。ぎこちない会話。会社の事情を理解していない指示。

それらは、受け手が詐欺に気づくための小さな防壁だった。

しかし生成AIは、その違和感を急速に消している。

攻撃者は、企業サイト、LinkedIn、SNS、講演動画、採用情報、プレスリリース、組織図などから人物と企業の情報を収集する。

AIは、その断片を使って自然な日本語を書き、本人に似た声を生成し、映像を合成し、その人物が言いそうな指示を再現する。

ここで偽造されるのは、顔や声だけではない。

• 「社長なら、このような言い方をする」
• 「この会社では、社長案件なら通常手続きを省略する」
• 「極秘案件なら、他の社員に相談してはいけない」

これまでの詐欺は、主に情報を偽造していた。

• 偽の請求書
• 偽の銀行口座
• 偽のウェブサイト
• 偽のメール
• 偽の証明書

企業が公開してきた情報は、これまで広報や採用、営業の資産として扱われてきた。

しかしAI時代には、それらがなりすましの学習素材にもなる。

経営者の講演動画は、声と表情のデータになる。

LinkedInの職歴は、人間関係と権限構造を示す。

採用ページは、組織文化と言葉遣いを示す。

プレスリリースは、現在進行中の案件や取引先を示す。

SNSは、本人の感情、関心、移動、生活リズムを示す。

社長になりすます詐欺で、本当に利用されているのは社長の外見ではない。

攻撃者が模倣するのは、社長が組織の中で持っている例外権限である。

• 「緊急だから先に振り込んで」
• 「極秘案件なので誰にも言わないで」
• 「後から申請すればいい」
• 「私の責任で進めて」
• 「いつもの手順は今回は不要だ」

なりすまし詐欺では、被害者を組織から切り離す工程が使われる。

• 緊急である
• 極秘である
• 他の社員には話せない
• 個別チャットへ移動する
• いつもの担当者には確認できない
• 会議中なので電話には出られない

AI詐欺が増えるほど、AI詐欺対策を売る市場も大きくなる。

そこに新しい詐欺が生まれる。

• 「なりすまし対策が必要です」
• 「御社の脆弱性を発見しました」
• 「このAI検知ツールを導入してください」
• 「安全なローカルLLMへ移行しましょう」

従来のセキュリティ教育は、不審なメールや不自然な日本語を見抜くことを重視してきた。

しかし、生成AIが違和感を消すほど、人間の注意力だけに依存した対策は弱くなる。

• 顔を見ても判断できない
• 声を聞いても判断できない
• 文章を読んでも判断できない
• 社内事情を知っていても本人とは限らない

AI時代の企業は、「誰が言ったか」だけで重要な判断をしてはいけない。

確認すべきなのは、人物ではなく行為である。

• 送金申請が正式に登録されているか
• 取引先口座の変更が別経路で確認されたか
• 複数人による独立した承認があるか
• 通常と異なる金額、時間、地域ではないか
• 緊急性を理由に手順が省略されていないか
• 承認履歴が後から検証可能か

AIは、人間のふりをする。

だが、より重要なのは、人間同士の関係のふりをすることである。

• 上司と部下
• 社長と経理
• 取引先と担当者
• 専門家と顧客
• セキュリティ会社と企業

Scam Pattern

権限偽造の攻撃経路

Scam Evolution

偽造対象の進化

1. Phase 1

   偽の情報

   Fake Information

   • 偽請求書
   • 偽サイト
   • 偽メール

2. Phase 2

   偽の本人

   Fake Person

   • 偽音声
   • 偽映像
   • 偽アカウント

3. Phase 3

   偽の関係

   Fake Relationship

   • 上司
   • 取引先
   • 専門家との関係性を再現

4. Phase 4

   偽の組織

   Fake Organization

   • 申請経路
   • 社内文化
   • 権限構造を模倣

5. Phase 5

   偽の安全

   Fake Safety

   • セキュリティ製品
   • 認証
   • 診断サービス自体を偽造

Signals to Watch

Signals to Watch / 監視対象の兆候

これらは観測のための兆候であり、単一のサインだけで詐欺と断定すべきではない。