AIなりすまし詐欺から会社を守る｜「社長の声」まで作れる時代の確認ルール

「本人だと思った」が通じなくなった

私たちはこれまで、相手が本人かどうかを「声」と「顔」で判断してきました。長く十分に役立った判断です。ところが生成AIの普及で前提が崩れました。声も映像も文章も、本物とほとんど区別できない形で作れるようになったのです。声や顔で判断できないなら、別の方法で確かめる手順を用意すればよい——この記事は、その手順を決める案内です。

10大脅威2026で、AIリスクが3位に

まず、公的な情報で確かめます。IPA（情報処理推進機構）は毎年「情報セキュリティ10大脅威」を公表しています。約250人の専門家が審議・投票して決める、日本でもっとも参照される一覧のひとつです。

2026年1月29日公表の組織向けの一覧では、「AIの利用をめぐるサイバーリスク」が初めて選出され、いきなり3位に入りました。1位はランサム攻撃、2位は委託先を狙った攻撃です。

注目したいのは、10位にビジネスメール詐欺が入っている点です。取引先や役員を装ってお金を送らせる手口で、生成AIによって文面の自然さが増し、声や映像まで加わったことで見破るのが難しくなりました。

AIなりすましの3つの形

①電話・音声——上司や取引先の担当者の声で「急いで振り込んでほしい」「口座が変わった」と伝えてきます。②ビデオ会議——画面に映る相手そのものが作られた映像の場合です。顔が見えるという安心感が、逆に働きます。③メール・文書——署名まで真似た自然な日本語が届く。不自然な日本語という手がかりは、もう当てにできません。

実際の手口では、この3つが組み合わされます。先にメールで話を作り、電話やビデオ会議で「本人らしさ」を補強する——この重ねがけが、判断を狂わせるのです。

3秒の録音があれば、声は再現できる

「うちの社長の声なんて出回っていない」。そう思われるかもしれませんが、条件はすでに低い。マイクロソフトの研究チームが2023年に公表した音声合成の論文では、3秒ほどの録音を手がかりに、その人の声で任意の文章を読み上げさせられることが示されました。その3秒は身近です——会社紹介の動画、採用ページのインタビュー、展示会での挨拶、SNSの短い動画。公開情報だけで足ります。発信をやめても相手を確かめる必要は残るので、備えは「作られても通らないようにする」側に置きます。

約40億円の被害と、小さい会社の危うさ

実際の被害も起きています。英国のエンジニアリング大手アラップの事例では、報道によれば香港拠点の財務担当者が偽のテレビ会議に参加させられ、画面に映った「最高財務責任者」や「同僚」の指示に従って計約2億香港ドル（当時の換算で約40億円）を送金したとされています。会議の参加者は、担当者本人を除いて全員がAIで作られた偽の姿だったと報じられました。

注目すべきは、担当者が不注意だったわけではない点です。最初にメールで話が作られ、多人数の会議に見知った上司の顔と声が並んでいました。最後の一線は「手順」でしか守れません。気づけなくても止まる仕組みを置く——これがいちばん実用的な学びです。

巨額の被害が報じられるため「あれは大企業の話だ」と感じがちですが、狙われやすさを決めるのは規模ではなく、確認の手順があるかどうかです。振込の決裁が社長と担当者だけで完結する。社長が外出中は電話一本で承認が下りる。意思決定の速さが、そのまま「一人をだませば通る」弱点になっているのです（AI利用ルールの作り方）。

4ステップと確認のルール

①まず立ち止まる。手口はほぼ例外なく「急いで」「内密に」を伴う。急ぎ・お金・秘密の3つがそろった連絡は、それだけで警戒の合図。②別の手段で確かめる。③二人で承認する。一定金額以上の送金や振込先の変更は、一人では実行できないようにします。④社内で共有する。似た連絡は他の社員にも届いていることが多く、共有した瞬間に会社の防御力が上がります。

心強いのは、公的機関が勧める対策も同じ方向を向いていることです。IPAはビジネスメール詐欺の対策として、急な振込先や決済手段の変更はメール以外の方法で取引先へ確認すること、不審なメールは社内で共有することを挙げています。人の手順が対策の中心です。

とくに効くのはかけ直す番号をどこから取るかを決めておくことです。届いた連絡に書かれた番号にかけ直しても意味がありません。使うのは名刺や社内の取引先名簿など、自社が以前から持っている連絡先。この一手間で、多くの手口は止まります。

同じ連絡でも、対応で分かれる

左側はどれも「まじめに、早く仕事を進めよう」とした結果です。だからこそ危ない。熱心さがそのまま被害につながるのが、この手口のいやなところです。右側はどれも数分で済みます。覚えることを一つに絞るなら「急ぎ・お金・秘密」の3語。朝礼でも伝えられます。

角を立てずに本人確認をお願いする

確認のルールをつくるとき、多くの会社がためらうのが「相手を疑うようで失礼ではないか」という点です。相手が社長や大切な取引先だと、電話をかけづらい。この気まずさこそが、なりすましのつけ入る隙です。だから言い方を用意しておきます。

使いやすいのは「社内ルールなので」と、自分たちの決めごとを理由にする言い方です。「恐れ入ります。振込先の変更は、社内ルールとして必ずお電話で確認させていただいております」。この一言で確認はしやすくなります。上司へも「確認だけさせてください、ルールなので」と添えます。

大切なのは確認を個人の判断にしないことです。会社の決めごとにすれば、担当者は「疑う人」ではなく「手順を守る人」になれます。逆に言えば、明文化していない会社では現場は確認できません。だから書いて共有する意味があります。

「疑ってくれてありがとう」と言える会社に

どんなに良いルールをつくっても、現場が使えなければ意味がありません。決めるのは社内の空気です。「社長の指示を疑うのか」と怒られた社員は、次からは黙って従います。反対に「よく確認してくれた、ありがとう」と言われた社員は、その後もためらわず確認します。経営者の反応ひとつで、ルールは生きるか死ぬかが決まるのです。

加えてだまされた人を責めないという姿勢も決めておきます。責める空気は発覚を遅らせ、被害額を膨らませます。万一のときは社内で抱え込まず、取引先の金融機関と警察へ速やかに相談する。早さが取り戻せる可能性を左右します。

そのまま使えるプロンプト

社内ルールのたたき台づくりは、AIが得意です。かっこ内を自社の状況に置きかえ、出てきた案は必ず人が読んで直します。

なお実在の取引先名や口座情報、社内の未公開情報をそのまま入力しないでください。会社名は「当社」、取引先は「A社」に置きかえて使いましょう（入力してはいけない情報一覧）。

よくある質問（Q&A）

まとめ

AIは仕事を軽くする道具であると同時に、だます側の道具にもなりました。けれど必要な備えは高度なものではありません。急ぎ・お金・秘密がそろったら止める。自社の名簿の番号でかけ直す。金額を決めて二人で承認する。おかしいと感じたら共有する。この4つを紙一枚に書いて朝礼で読むだけで、守りは今日から変わります。

筆者コメント