ここまでの本シリーズでは、自社がAIを「使う」ことに伴うリスクを中心に見てきました。情報の渡し方、権限の管理、行動の記録。いずれも自社の内側の話です。この記事からは視点を反転させ、攻撃者がAIを使うと何が変わるのかを扱います。
先に結論めいたことを言えば、自社がAIを導入していなくても、この話と無関係ではいられません。攻撃者は、標的がAIを使っているかどうかを気にしないからです。メールと電話と銀行口座がある会社は、すべて射程に入っています。規模も業種も、もはや関係ありません。まず何が変わったのかを、順に見ていきましょう。
「不自然な日本語」で見分ける時代は終わった
かつてのフィッシング（偽のメールやサイトで情報や金銭をだまし取る攻撃）には、分かりやすい弱点がありました。不自然な日本語です。機械翻訳らしきぎこちない文面、おかしな敬語、見慣れない言い回し。「怪しいメールは日本語がどこか変だ」という経験則は、長らくそれなりに機能してきました。
生成AIは、この経験則を過去のものにしました。自然で丁寧な日本語の文面を、攻撃者はほぼコストゼロで量産できます。しかも、相手の業界や役職に合わせて文面を調整することも、同じ手口を多言語に展開することも、同様に低コストでできてしまう。「文面の不自然さ」というフィルターは、もう機能しないと考えるべきです。従業員に「怪しい日本語に注意」と伝えるだけの対策は、前提が崩れています。
変わったのは文面だけではありません。実在の取引先や公的機関を装う偽サイトの作り込み、返信のやり取りを続けて信頼を積み上げてから本題を切り出す手口など、攻撃の一連の流れ全体が滑らかになっています。一往復のメールで見破る前提ではなく、「丁寧なやり取りの数往復目に罠が来る」ことも想定しておく必要があります。
ビジネスメール詐欺は「下調べ」から変わる
ビジネスメール詐欺（取引先や経営者になりすまして偽の送金指示を送り、お金をだまし取る詐欺）は、以前から一件あたりの被害額が大きい攻撃として知られてきました。この詐欺の成否を分けるのは、実は文面そのものよりも下調べです。誰が経理の担当者か、どの取引先と付き合いがあるか、社長はいま出張中か。もっともらしい状況を組み立てられるほど、騙される確率は上がります。
典型的な流れはこうです。まず何らかの方法で取引先か自社のメールのやり取りを覗き見し、請求のタイミングや文面の癖を観察する。そして本物の請求書が届くころを見計らって、「振込先の口座が変わりました」という自然なメールを、それまでの文脈に沿った形で差し込む。受け取る側から見れば、いつもの相手から、いつもの話題の続きが届いたようにしか見えません。
この下調べが、AIで効率化されています。ウェブサイト、プレスリリース、SNS、採用情報。公開されている情報をAIに整理させれば、組織の輪郭や取引関係の推定が短時間ででき、標的型（特定の相手に合わせて作り込む）攻撃の精度が上がります。そして、なりすましの技術はすでにメールの文面にとどまりません。ビデオ会議に映る「上司の顔と声」までもが偽装され、海外では巨額の送金詐欺に至った事件も報じられています。メールを見抜く対策だけでは、もはや守り切れないところまで来ているのです。
質だけでなく「量」が変わる ― 中小企業も標的になる
もう一つの本質的な変化は、攻撃の「量」です。従来、標的型の攻撃は人手と時間がかかるため、攻撃者は費用対効果の高い大企業や金融機関を優先してきました。裏を返せば、「うちは狙われるほどの会社ではない」という中小企業の感覚には、これまで一定の合理性があったのです。
AIは、この構図を壊します。下調べと文面作成が自動化され、攻撃一件あたりの単価が下がれば、動く金額が小さい中小企業を狙っても採算が合うようになる。大量の会社に、それぞれ個別に作り込んだ攻撃を仕掛けることが可能になります。「狙われるほどの会社ではない」という前提は、構図として成り立たなくなりつつある。これが経営として押さえるべき変化です。
もう一点、忘れてはいけないのは取引先経由の被害です。自社がどれだけ守りを固めても、取引先が乗っ取られれば、その取引先の正規のメールアドレスから偽の口座変更依頼が届きます。逆に、自社のメールが乗っ取られれば、自社の名前で取引先が騙され、信用問題に発展します。ビジネスメール詐欺は、自社と取引先の弱いほうを突いてくる攻撃なのです。
教育の限界 ― 「見抜く」から「騙されても実害を出さない」へ
対策として真っ先に思い浮かぶのは、従業員教育でしょう。もちろん無駄ではありません。しかし、文面が自然になり、下調べの精度が上がった攻撃を、人間の注意力だけで見抜き続けるのは無理があります。100通を見抜いても、101通目に騙されれば実害が出る。教育は続けつつ、軸足は「騙されても実害に至らないプロセス」の設計に移すべきです。
具体的には、次のような手順が有効です。
- 送金先口座の変更依頼は、メールだけで完結させず、必ず別経路で確認する。基本となるのがコールバック（かかってきた連絡とは別に、事前に把握している既知の番号へかけ直して確認する手順）です
- 一定額以上の送金や急ぎの送金指示には承認を二重化し、一人の判断だけでは送金が完了しない仕組みにする
- 「社長からの至急の指示」のように確認を飛ばさせようとする状況でこそ、手順を省略しないと決めておく
お気づきのとおり、これらはAIとは関係のない、昔ながらの業務プロセスの話です。攻撃はAIで高度化しましたが、防御の要は依然として、誰か一人が騙されても最後の一線を越えさせない仕組みにあります。
教育の役割も、置き直すとよいでしょう。目指すのは「全員が見抜けるようになること」ではなく、「変だと思ったら気軽に報告・確認できる空気をつくること」です。騙されかけた従業員を責める文化では、報告が遅れ、被害が拡大します。「確認の電話を一本入れた人が褒められる」職場のほうが、結果として強いのです。
経営としての初動 ― 送金の確認手順を見直す
明日できる初動は明快です。経理・財務部門と一緒に、「口座変更・急ぎ送金のときの確認手順」を一度見直すこと。手順は文書になっているか。コールバック先の電話番号は事前に登録されたものか。「急ぎ」「社長案件」のときに手順が省略されない設計になっているか。この1時間の点検が、数千万円の被害を防ぐことがあります。
余力があれば、主要な取引先との間で「口座変更の連絡はメールだけでは行わない」という取り決めを交わしておくことをおすすめします。互いに「メールで口座変更の依頼が来たら、それは疑ってよい」という共通了解があるだけで、この種の詐欺の成功率は大きく下がります。
そして、なりすましの本丸は、文面から「声と顔」へ移りつつあります。ビデオ会議の向こうにいる相手が本人とは限らない時代に、本人確認をどう設計し直すか。次回、ディープフェイク時代の本人確認で掘り下げます。
DSB Consultingでは、AIで高度化する攻撃を前提とした送金・承認プロセスの点検や、社内ルールづくりを支援しています。自社の確認手順がいまの攻撃に耐えられるか不安があれば、無料相談をご利用ください。