ディープフェイク詐欺対策｜企業がまず整える送金と承認の型【2026】

「社長の声で電話がかかってきて、至急この口座に振り込んでほしいと言われた」。数年前なら作り話に聞こえた相談が、いまは実務の相談として届きます。生成AIで音声や映像を合成するコストが下がり、経営者になりすまして送金させる手口が、大企業だけの話ではなくなりました。この記事では、中小企業が今日から回せる形で、ディープフェイク詐欺の対策を業務手順に落とします。

結論を先に書きます。ディープフェイク詐欺の対策は「見破ること」ではなく、「送金と権限変更の手順を変えること」です。合成音声・合成映像の品質は上がり続けるため、受け手の目と耳を頼りにする防御はいずれ破られます。実際、香港警察が2024年に公表した事案では、ビデオ会議に映っていた「同僚」が全員合成で、財務担当者が15回に分けて計2億香港ドルを送金しました。一方で、この手口はいずれも「1人の担当者が、いつもと違う経路の指示だけで送金できてしまう」構造に依存しています。そこを閉じれば、映像や音声の出来映えは関係なくなります。

結論：見分けようとしない。手順で止める

対策を「社員のリテラシー向上」に寄せると、必ず行き詰まります。判別の難易度は攻撃側の技術進歩で上がる一方なのに、防御側の判別力は研修を重ねても頭打ちだからです。しかも判別に自信を持たせるほど、「自分は見抜けるはず」という前提で例外的な送金を通してしまいます。

代わりに置くべきは、「誰から、どんなに緊急に、どんなに本人らしく指示が来ても、決められた経路での確認が取れるまで実行しない」という業務手順です。これは新しい発想ではありません。ビジネスメール詐欺（BEC）への対策として、警視庁も全国銀行協会も一貫して「メール以外の手段で、名刺やアドレス帳の連絡先に確認する」ことを求めてきました。ディープフェイクは、その「メール以外の手段」だったはずの電話とビデオ会議まで汚染してきた、という位置づけで捉えるのが正確です。

脅威としての重みも公的資料に表れています。IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初選出され、10位には「ビジネスメール詐欺」が2018年以降9年連続9回目で入りました。目新しい脅威と古典的な脅威が、同じ送金フローの上で合流しているのが現在地です。

いま企業が狙われる4つの型

相談として持ち込まれる手口は、大きく4つに整理できます。型ごとに「どこで止まるか」が違うので、まず自社がどれに晒されているかを見てください。

4つに共通するのは、「本人性の確認」と「実行の承認」が同じ経路で完結してしまっていることです。声で本人だと判断し、その同じ電話で承認したことにする。会議で顔を見て本人だと判断し、その同じ会議で実行を決める。この2つを物理的に別の経路へ分ける、というのが対策の芯にあたります。

警察庁も2026年2月13日に「法人を対象とした詐欺（ニセ社長詐欺）に注意！」として注意喚起を出しています。実在する経営者の名前と社名でメールを送り、SNSグループの作成や招待用QRコードの返信を指示したうえで、そのグループ内で「事業資金が必要」などと称して指定口座への送金を求める流れが示されています。対策として挙げられているのは、組織内での情報共有、社内の送金ルールの再確認、SNS招待への警戒の3点です。ここでも「見破れ」ではなく「ルールを確認せよ」と書かれている点に注目してください。

今日から入れられる止め方

ここからが実務です。ツールの導入は要りません。既存の電話とチャットと承認フローだけで組めます。

1. コールバック検証を唯一の本人確認にする

送金・振込先変更・権限付与のいずれかを含む依頼を受けたら、依頼が来た経路では絶対に確認しないと決めます。相手が電話で言ってきたなら、その通話では確認せず、いったん切って社内名簿の番号にかけ直す。チャットで来たなら電話にかけ直す。ビデオ会議で言われたなら、会議を出てから電話にかけ直す。

かけ直す番号は、必ず事前に登録された連絡先を使います。メールの署名欄、チャットのプロフィール、会議の招待文に書かれた番号は使いません。警視庁も「メールに記載された連絡先は偽装されている可能性があります。名刺やご自身のアドレス帳で連絡先を確認してください」と明記しています。攻撃者は、本物そっくりの声を作るのと同じくらい簡単に、連絡先の1行を差し替えられます。

2. 合言葉を1つだけ決めておく

コールバックが物理的に難しい場面（役員が海外出張中、私用端末しか繋がらない等）に備えて、経営者と経理担当のあいだで合言葉を1つ決めておきます。条件は3つです。ネット上に出ていない語であること、社内文書に書かないこと、四半期ごとに変えること。「創業年」「社長の出身地」のような、調べれば分かる情報は使えません。

合言葉は万能ではありません。過去のやり取りが漏れていれば破られます。あくまでコールバックの補助であって、代替ではないと位置づけてください。

3. 二人承認と金額しきい値を規程に書く

金額のしきい値を決め、それを超える送金は必ず2人の承認を要する形にします。中小企業では「社長と経理」の2人でも構いません。重要なのは人数そのものより、2人目が「依頼者本人以外」であることと、2人目の承認が依頼の経路と別のところで記録に残ることです。

しきい値の決め方に正解はありませんが、実務的には「その金額が消えても翌月の資金繰りが回るか」を基準に置くと決めやすくなります。月商の数パーセント程度で線を引き、運用しながら調整してください。金額に関係なく振込先口座の変更は例外なく二人承認にするのが、費用対効果としては最も高い一手です。IPAもBEC対策として「急な振込先や決済手段の変更等が発生した場合、取引先へメール以外の方法で確認する」ことを挙げています。

4. メールは「返信」せず「転送」する

取引先とのやり取りでは、送信元アドレスが本物によく似た別ドメインに差し替えられていることがあります。この場合、そのまま「返信」すると攻撃者に返ってしまいます。全国銀行協会は、「返信」ではなく「転送」機能を用いて、名刺等の正式な書式に記載されている正しいメールアドレスを再入力するという手順を推奨しています。1操作の違いですが、なりすましメールへの応答をそこで断ち切れます。

5. そのまま社内に配れる文面例

ルールは、配って読ませられる長さでないと定着しません。以下をコピーして、社内チャットの固定メッセージや経理の机上に置いてください。

【送金・口座変更・権限付与の確認ルール】

1. 送金、振込先の変更、システム権限の付与を依頼されたら、依頼が来た経路（メール／電話／チャット／ビデオ会議）では確認しません。いったん保留にします。

2. 社内名簿に登録された番号に、こちらからかけ直して本人に確認します。依頼文に書かれた番号にはかけません。

3. ○万円を超える送金と、金額にかかわらず振込先口座の変更は、依頼者以外の2人目の承認を得てから実行します。

4. 「今すぐ」「他言無用」「社長からの特別扱い」が揃ったら、それは手順を飛ばさせるための圧力です。保留にして構いません。保留にしたことで叱責されることはありません。

5. 迷ったら実行前に相談してください。実行後の相談より、実行前の相談のほうが常に安く済みます。

4番と5番を必ず入れてください。この種の詐欺が成立する最大の理由は、技術ではなく「社長に逆らって確認するのが気まずい」という社内の空気です。経営者自身が「自分の指示でも保留していい」と明文で許可を出さないかぎり、手順は現場で骨抜きになります。

見る側で気づけるポイントと、その限界

手順が最優先である前提のうえで、受け手として引っかかりを覚えるための観点も挙げておきます。ただしこれらは補助であり、判定の根拠にはしないでください。

1行目の「対話の噛み合い」は、香港の事案で実際に効いた可能性のある観点です。香港警察の説明では、犯人はYouTube等で公開されていた映像と音声からディープフェイクを作っており、会議に流された映像は事前に録画されたもので、被害者との対話やり取りは含まれていなかったとされています。つまり、その場で予定外の質問を投げていれば破綻し得たということです。とはいえ、これは2024年時点の1事案の性質にすぎません。「質問すれば見抜ける」と一般化するのは危険です。

検知ツールについても触れておきます。合成音声・合成映像を判定するサービスは複数ありますが、本記事執筆時点（2026年8月13日）で、日本の公的機関が特定の検知手法の精度を保証している公表資料は確認できませんでした。ツールを入れる場合も、あくまで手順の上に重ねる補助として扱い、「ツールが通したから本人」という運用にはしないでください。

被害に遭った直後の初動

送ってしまった後は、時間との勝負になります。着金後に引き出されるまでの短い時間に口座を凍結できるかで、回収可能性が変わります。順番を決めておいてください。

3番の「事実だけを共有する」が重要です。犯人グループは同じ会社の複数の担当者を並行して狙うことがあります。責任追及の話は後回しにして、まず「この手口の連絡が来ている」という事実を全員に流してください。警察庁の注意喚起でも、対策の1番目に組織内での情報共有が挙げられています。

4番の保全は、被害届の受理や銀行との交渉で効きます。恥ずかしさから記録を消してしまう例がありますが、消すと打てる手が減ります。

中小企業でありがちな3つの穴

大企業向けの対策をそのまま持ち込んでも、中小企業では回りません。規模ゆえに開く穴が3つあります。

経営者の声と顔がネット上に十分ある

会社紹介動画、セミナー登壇、YouTube、SNSのライブ配信。営業のために出したこれらの素材が、そのまま音声・映像合成の学習材料になります。香港の事案でも、素材はYouTube等の公開映像でした。

ただし、ここで「発信をやめる」という判断はおすすめしません。露出は中小企業の受注に直結しますし、素材を引っ込めても既に取得された分は戻りません。露出は続けたうえで、送金手順の側を閉じるのが現実的な解です。そのうえで、社外向けに出す動画で「当社は電話やビデオ会議だけで送金指示を出しません」と明言しておくと、取引先側の防御にもなります。

代表電話が不在がちで、かけ直しが機能しない

コールバックを規程に書いても、社長が現場に出ていて捕まらなければ、現場は「捕まらないから先に処理する」を選びます。ここは規程ではなく運用で埋めてください。具体的には、コールバック先を2人以上（社長＋もう1名の役員や配偶者役員など）用意し、どちらかに繋がればよい形にします。そして「どちらにも繋がらなければ、繋がるまで実行しない」を明文化します。繋がらないことは、実行してよい理由にはなりません。

経理が1人で、二人承認が組めない

経理担当が1人しかいない会社は珍しくありません。この場合、社内で2人目を作れないので、銀行側の仕組みを2人目として使います。ネットバンキングの承認者を分ける、都度振込の上限額を低く設定して超過分は窓口扱いにする、といった設定です。金融機関によって使える機能は違うので、取引銀行の法人担当に「送金の承認を2段階にしたい」と相談するのが早道です。顧問税理士に承認を挟んでもらう形を採る会社もあります。

社内ルールへの落とし込み

ここまでの手順は、口約束にすると3か月で消えます。経理規程（なければ社内規程や業務マニュアル）に、以下のような1文を追加してください。文言は自社の実態に合わせて調整します。

第○条（送金時の本人確認）　送金、振込先口座の変更、およびシステム権限の付与に関する指示を受けた場合、指示を受領した経路以外の方法により、あらかじめ社内に登録された連絡先に対して発信し、指示者本人への確認を行ったうえでなければ、これを実行してはならない。指示者の役職を問わない。

2　○万円を超える送金、および金額にかかわらず振込先口座の変更については、指示者以外の承認者による承認を得たうえで実行する。

3　前2項に定める確認および承認が完了しないことを理由として実行を保留した従業員は、これにより不利益な取扱いを受けない。

第3項が実効性の要です。「保留しても不利益を受けない」と規程に書いてあると、現場は上長の圧力に対して規程を根拠にできます。逆にこれがないと、規程はあっても運用されません。

あわせて、AI関連の社内ルール全体を1枚に整えておくと、教育の手間が減ります。生成AIの業務利用ルールをまだ作っていない場合は生成AI利用ガイドラインの社内テンプレートから着手し、会社が把握していないAI利用が広がっている場合はシャドーAIの見つけ方と畳み方を先に読んでください。情報を「出さない」側の対策は生成AI業務利用の情報漏洩対策にまとめています。

まとめ：閉じるのは目と耳ではなく、送金フロー

ディープフェイク詐欺の対策として本当に効くのは、次の3つだけです。第一に、送金・口座変更・権限付与の指示は、来た経路とは別の経路で、登録済みの連絡先へかけ直して確認する。第二に、しきい値超えの送金と口座変更は、依頼者以外の2人目の承認を必須にする。第三に、保留した従業員が不利益を受けないことを規程に明記する。

どれも今週中に着手できて、追加のツール費用はかかりません。合成技術がこの先どこまで精巧になっても、この3つは陳腐化しません。逆に、判別の訓練にいくら投資しても、それは数年で価値が減っていきます。投じる先を間違えないことが、いちばんの対策です。

社内の送金・承認フローの点検や、AI利用ルールの整備でお困りでしたら、Mihataでもご相談を承っています。

ディープフェイクによるなりすましと合わせて、そもそも社内でAIに何を入力してよいかという線引きも重要です。AIに入力してはいけない情報とは・機密情報のNG例で整理しています。また、偽の公式アプリを装った詐欺への注意点はChatGPT公式アプリの見分け方、AIを大量に動かす基盤側のリスクという観点ではAIの電力消費とデータセンターの実データもあわせてご覧ください。