AIディープフェイク「ボス詐欺」がデジタル詐欺を40%増加——銀行の本人確認が通用しない理由

デジタル詐欺は、単に増えているだけではありません。その検出は根本的に難しくなっています。年間40%もの急増は、ほぼ完全に生成AIツールによるものです。犯罪者は、約20ドルと30分の労力で、声をクローンし、合成動画を作り、偽の身分証を生成できるようになりました。

これは遠い世界の話ではありません。2024年、英エンジニアリング大手Arupの経理社員は、会社のCFOや数名の同僚が映るビデオ会議に参加しました。画面に映っていた全員がAI生成のディープフェイクでした。同社は結果的に約2500万ドル（約38億円）を送金してしまいました。

こうした「ボス詐欺」——CEOやマネージング・ディレクター、家族を装う詐欺——は、金融サービス業界で最も急速に拡大している詐欺カテゴリーです。そして、銀行や企業が10年にわたって依存してきた本人確認システムがもはや十分ではないという、決定的な弱点を突いています。

デジタル詐欺が年間40%増加する3つの要因

この加速には主に3つの原因があります。

コモディティ化した生成AI。フォトリアリスティックな動画、ボイスクローニング、合成書類生成のツールが市販され、特別な技術がなくても使えるようになりました。ディープフェイクによるKYC（本人確認）回避キットは約20ドル、30分で配備可能です。ボイスクローニングに必要な音声はわずか3秒。SNSや決算説明会、録音された会議から収集され、85%の精度で複製されます。

産業規模の自動化。詐欺は高額な単発攻撃から、自動化された大量攻撃へとシフトしています。2025年、なりすまし詐欺は1400%以上増加しました。総損失額が横ばいでも被害者数が増加しているのは、AIによる自動化・大量生産型詐欺の特徴です。

合成ID詐欺。2024年に世界の金融サービス業界に約220億ドル（約3.3兆円）の損害をもたらし、2025年には310億ドル、2026年には400億ドルを超えると予測されています。主な要因はディープフェイク技術です。AI生成の身分証を使った巧妙な詐欺は前年比180%増加しました。

ディープフェイクは現在、**世界の不正活動全体の11%**を占めています（Vectra AI調べ）。ディープフェイクを使ったID詐欺は、2026年には2025年比で495%増加する見込みです。金融サービス業界では、2022年以降ディープフェイク詐欺の試行が2137%増加しています。

「ボス詐欺」の手口：AIボイスクローニングと合成動画

ボス詐欺では、犯罪者がCEOやCFOなどの経営幹部を装い、経理担当者に緊急の送金を指示します。主な手口は以下の通りです。

AIボイスクローニング。犯罪者は、公開された決算説明会や録音会議、SNSのクリップから数秒の音声サンプルを取得し、説得力のある声を合成します。クローンされた声は電話やボイスメールで使われ、部下に送金を指示します。2026年1月、スイスの起業家は、信頼するビジネスパートナーの声をAIでクローンされた電話を受け、数百万スイスフランを騙し取られました。

ディープフェイクビデオ通話。Arupの事例が最も有名ですが、これだけではありません。2025年3月、シンガポールの財務責任者は、ビデオ通話でCFOと思しき人物から指示を受け、約4200万ドル（約64億円）を送金してしまいました。攻撃者はCFOや他の役員のAI生成映像と音声を使用していました。

家族緊急事態を装う詐欺。子どもや孫の声をクローンし、交通事故や逮捕、誘拐、医療緊急事態を装って緊急送金を求める手口です。家族緊急事態ディープフェイク詐欺による確認された被害額は500万ドル以上に上ります。

マルチチャネル戦術。詐欺師はWhatsApp、メール、Microsoft Teams、電話などを駆使し、権威と緊急性を感じさせます。公開情報を事前に調査してなりすましの信憑性を高め、偽の緊急性と秘密厳守を装って被害者に圧力をかけます。2026年7月、米国連邦検察は、1200人以上の高齢者を対象に、銀行員や家族を装った4700万ドル（約71億円）のディープフェイク詐欺事件で14人を起訴しました。

銀行の本人確認システムが機能しない理由

銀行やフィンテック企業は、この10年、リモートでの本人確認を「公的身分証の提示＋自撮り＋簡易ライブネスチェック」という単純なパターンで構築してきました。2026年、そのパターンは計測可能な形で破綻しつつあります。

「書類＋自撮り」KYCは突破される。標準的な書類＋自撮りの本人確認は、顔交換ツールやカメラインジェクション（あらかじめ録画したディープフェイク動画をライブカメラ映像として送り込む攻撃）で突破されます。インジェクション攻撃は2024年だけで783%増加しました。ディープフェイクの顔交換は、標準的なライブネスチェックを58%の確率で回避します。

合成IDが本人確認プロセスをすり抜ける。詐欺師は盗んだ身分証の写真を改ざんし、ディープフェイクを使ってリモートの本人確認を通過。開設した口座はローンやクレジットカード詐欺、マネーロンダリングに使われます。現在、100回の本人確認試行のうち1回は何らかのディープフェイクが関与しています。

インジェクション攻撃とリプレイ攻撃がコモディティ化。攻撃者はOBS Virtual Cameraやカスタムドライバーなどのツールを使い、あらかじめ録画・生成された動画ストリームを本人確認セッションに送り込みます。これらのソフトウェアは、もはや市販のツールとして売られています。

規模が圧倒的。米国でのディープフェイク詐欺の試行は、2025年第1四半期だけで1100%増加しました。ID詐欺の推定85%が生成AIツールを使用しています。Entrustの2026年版 Identity Fraud Report によると、生体認証詐欺の5件に1件にディープフェイクが関与し、ディープフェイク自撮りは2025年に58%増加しました。

SEBIの「ボス詐欺」に関する警告（2026年7月）

インドの証券取引委員会（SEBI）は2026年7月17日、公式プレスリリース（No. 40/2026）を発表し、すべての上場企業と規制対象事業体に「ボス詐欺」について警告しました。主な内容は以下の通りです。

• SEBIは、詐欺師がディープフェイクのボイスクローニングとAI生成のビデオ通話を用いて経営幹部を装い、経理部門を騙して送金させていると指摘。
• この勧告は、インドサイバー犯罪調整センター（I4C）からの警告を受けて発出。
• SEBIは企業に対し、すべての送金について厳格な確認プロセス（例：既知の独立した番号への折り返し電話）と、一定額以上の支払いには複数人による承認を求めた。
• 規制当局は、詐欺師が公開情報を調査して説得力のあるなりすましを作り上げ、偽の緊急性と秘密厳守を装って被害者に圧力をかけると警告。

SEBIの勧告は、より広範な流れの一部です。2025年第4四半期には、米国金融犯罪取締ネットワーク（FinCEN）も金融機関向けにディープフェイクを使ったID詐欺に関する勧告を発表しました。欧州議会、INTERPOL、各国の規制当局も同様の警告を発しています。

企業が今すぐ取るべき対策

規制当局とセキュリティ専門家は、一貫して同じ対策を推奨しています。

• 帯域外確認。電話、ビデオ通話、メールだけを頼りに送金を承認してはいけません。発信元ではなく、既知の独立した番号に折り返し電話で確認しましょう。
• 複数人承認。一定額以上の支払いには、最低2人の承認を必須にします。
• 取引限度額。1日あたり、または1回あたりの取引限度額を設定し、超過時には上位の承認を必要とします。
• スタッフトレーニング。経理チームは、見慣れた声や顔がもはや信頼できる身分証明ではないことを認識する必要があります。
• 継続的KYC。従来の「入庫時に一度確認するだけ」のモデルは不十分です。IDと行動の継続的なモニタリングが不可欠になりつつあります。

ある業界関係者は次のように述べています。「デジタル時代において、信頼は武器化されている。ボイスクローニング、ディープフェイク技術、FaaS（Fraud as a Service）プラットフォームが容易に入手可能になる中、捜査官には統合されたフォレンジックプラットフォーム、リアルタイムの情報共有、新たな証拠の枠組みが必要だ」。

結論はシンプルですが、心地よいものではありません。私たちが長年頼りにしてきた、相手を知るための感覚的な手がかり——聞き慣れた声、見覚えのある顔——は、もはや信頼できません。組織は、あらゆるコミュニケーションチャネルが侵害されている可能性があると想定した、本人確認プロセスを構築する必要があります。