サイバー攻撃対策

ディープフェイクBEC詐欺の最新手口｜AI悪用によるなりすまし攻撃の検知と対策

2026年4月11日16分で読める

QUICK CHECK

本文を読みながら、自社で進めるべきか、相談前に何を整理するかを確認できます。

GXO COLUMN

セキュリティ

2025年、香港の多国籍企業で経理担当者がビデオ会議中にCFOの「ディープフェイク映像」に騙され、2億香港ドル（約38億円）を送金した事件が世界的な衝撃を与えた。BEC（Business Email Compromise：ビジネスメール詐欺）は、従来のテキストベースのなりすましメールから、AI生成の音声・映像を使った「リアルタイムなりすまし」へ進化している。IPA「情報セキュリティ10大脅威 2026」でもBEC詐欺は上位に位置し、中小企業にとってもはや対岸の火事ではない。

本記事では、ディープフェイクBEC詐欺の最新手口、検知方法、そして中小企業が今すぐ実行すべき対策チェックリストを解説する。

ディープフェイクBEC詐欺とは何か

従来のBEC vs ディープフェイクBEC

横にスクロールして確認できます

項目	従来のBEC	ディープフェイクBEC
なりすまし手段	メール（ドメイン偽装・類似ドメイン）	音声・映像のAI生成
使用技術	メールスプーフィング	音声クローニング、顔画像合成、リアルタイム変換
攻撃コスト	低い（無料ツールで可能）	中程度（AI SaaSで月数千円から）
被害者の心理	「メールだから偽物かも」と疑う余地あり	「声も顔も本人」だから疑いにくい
検知難易度	中（メール認証で防御可能）	高（人間の五感では判別困難）

攻撃の3つのパターン

パターン1：音声クローニング型（電話なりすまし） 攻撃者はSNS、YouTube、ウェビナーなどから標的人物の音声サンプルを収集し、AI音声クローニングツールで合成音声を生成する。わずか3秒の音声データがあれば、高精度のクローンが作成可能だ。経理担当者に「社長」を名乗って電話し、緊急送金を指示するケースが急増している。

パターン2：映像合成型（ビデオ会議なりすまし） リアルタイムのフェイスチェンジ技術を使い、ビデオ会議で他人になりすます。冒頭の香港の事件がこのパターンだ。複数名が参加する会議で、参加者全員がディープフェイクだったケースも報告されている。

パターン3：ハイブリッド型（メール＋音声のダブル確認突破） 「メールで送金指示→電話で本人確認→電話もディープフェイク」という二重三重の攻撃。従来の「電話で折り返し確認」というBEC対策を無効化する点で最も危険だ。

RETAIL & EC DX

実店舗とECの在庫分断、1本のOMSで解消しませんか？

POS／自社EC／モールを統合するオムニチャネル基幹。同規模小売・D2Cの概算費用・導入期間・事例をその場で確認できます。

OMS／ヘッドレスECの概算を見る

なぜ中小企業が標的になるのか

大企業と比較して中小企業が狙われやすい3つの理由がある。

横にスクロールして確認できます

要因	大企業	中小企業
送金承認プロセス	多段階の承認フロー	社長の口頭指示で実行されやすい
セキュリティ体制	SOC/CSIRTが常駐	兼任のIT担当者1名、または不在
社内通信の透明性	メール監視・ログ分析あり	私用端末・個人LINEで業務連絡

攻撃者はこの「承認フローの脆弱性」を熟知している。社長と経理担当者の2名だけで送金が完結する環境は、ディープフェイクBECにとって最も効率的な標的だ。

ディープフェイクを検知する方法

人間が見分けるための5つのチェックポイント

横にスクロールして確認できます

チェック項目	確認方法
1. 瞬きの不自然さ	ディープフェイク映像は瞬きが少ない、または一定間隔になる傾向がある
2. 顔の輪郭と背景の境界	髪の毛周辺にぼやけやちらつきが発生する
3. 音声と口の動きのズレ	リップシンクが微妙にずれる（0.1〜0.3秒の遅延）
4. 照明の矛盾	顔の明るさと背景の照明方向が一致しない
5. 質問への反応速度	予想外の質問に対する反応が不自然に遅い（AI処理のレイテンシ）

技術的な検知手段

DMARC/DKIM/SPF：メール経路での偽装を防止（従来BEC対策の基本）
音声認証（声紋認証）：登録済みの声紋と照合して本人確認
AI検知ツール：Microsoft Video Authenticator、Intel FakeCatcherなどがリアルタイム検知に対応
多要素認証による送金承認：音声・映像に頼らない認証レイヤーの追加

FREE DOWNLOAD

AI導入チェックリスト（PoC 失敗要因 10項目）

情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。

30分で相談するチェックリストをDL

中小企業の対策チェックリスト

即日対応（コスト0円）

送金承認を「口頭指示のみ」から「メール＋別経路での確認」の二段階にする
「緊急送金」指示を受けた場合、必ず 登録済みの電話番号に折り返す（相手の着信番号にかけ直さない）
社内に「ディープフェイク詐欺が存在する」ことを周知する全社メールを送信
経理・財務担当者に「いかなる場合も1名の判断で100万円以上の送金をしない」ルールを設定

1ヶ月以内の対応

送金承認フローを書面化し、例外なく 2名以上の承認 を必須にする
DMARC/DKIM/SPFのメール認証を設定（未設定なら即対応）
ビデオ会議で機密事項を扱う場合の「本人確認プロトコル」を策定（例：事前に決めた合言葉を使う）
標的型メール訓練を四半期ごとに実施

3ヶ月以内の対応

送金・契約関連のワークフローをシステム化（口頭承認を排除）
AI検知ツールの導入検討（メール・音声のなりすまし検知）
インシデント対応手順書にディープフェイクBECのシナリオを追加

被害発生時の対応フロー

万が一、ディープフェイクBEC詐欺の被害に遭った場合の対応手順を示す。

① 送金の即時停止依頼
   └→ 銀行に電話し、送金の組戻し（取消し）を依頼
      ※ 国内送金は当日中、海外送金は72時間以内が目安

② 警察への通報
   └→ 最寄りの警察署のサイバー犯罪相談窓口に通報
   └→ 被害届を提出

③ 社内への周知と二次被害防止
   └→ 同様の手口による追加攻撃を警戒
   └→ 全社員への注意喚起

④ 証拠の保全
   └→ 通話録音、メール、ビデオ録画、送金記録を保全
   └→ ログの改ざん防止措置

⑤ 再発防止策の策定・実施
   └→ 承認フローの見直し、セキュリティ教育の強化

まとめ

ディープフェイクBEC詐欺は、AI技術の民主化によって攻撃のハードルが急速に下がっている。音声クローニングは3秒の音声サンプルで、映像合成はリアルタイムで可能になった。「見て聞いて確認したから本物」という前提が通用しない時代に、中小企業が取るべき対策の本質は 「人間の感覚に頼らない承認プロセスの構築」 だ。

ディープフェイクBECは音声・映像で人間の判断を欺く
中小企業は承認フローの簡素さが最大の脆弱性
「口頭指示だけで送金しない」ルールの即日導入が最優先
技術的検知と運用ルールの両面で対策する

GXO実務追記: サイバーセキュリティで発注前に確認すべきこと

この記事のテーマは、単なるトレンド紹介ではなく、自社で最初に塞ぐべきリスク、外部診断の範囲、初動体制を決めるための検討材料です。検索で情報収集している段階でも、発注前に次の観点を整理しておくと、見積もりのブレ、手戻り、ベンダー依存を減らせます。

まず決めるべき3つの論点

横にスクロールして確認できます

論点	確認する内容	未整理のまま進めた場合のリスク
目的	売上拡大、工数削減、リスク低減、顧客体験改善のどれを優先するか	成果指標が曖昧になり、PoCや開発が終わっても投資判断できない
範囲	対象部署、対象業務、対象データ、対象システムをどこまで含めるか	見積もりが膨らむ、または重要な連携が後から漏れる
体制	自社責任者、現場担当、ベンダー、保守運用者をどう置くか	要件確認が遅れ、納期遅延や品質低下につながる

費用・期間・体制の目安

横にスクロールして確認できます

フェーズ	期間目安	主な成果物	GXOが見るポイント
事前診断	1〜2週間	課題整理、現行確認、投資判断メモ	目的と範囲が商談前に整理されているか
要件定義 / 設計	3〜6週間	要件一覧、RFP、概算見積、ロードマップ	見積比較できる粒度になっているか
PoC / MVP	1〜3ヶ月	検証環境、効果測定、リスク評価	本番化判断に必要な数値が取れるか
本番導入	3〜6ヶ月	本番環境、運用設計、教育、改善計画	導入後の運用責任と改善サイクルがあるか

発注前チェックリスト

重要システムと個人情報の所在を棚卸ししたか
VPN、管理画面、クラウド管理者の多要素認証を必須化したか
バックアップの世代数、復旧時間、復旧訓練の実施日を確認したか
脆弱性診断の対象をWeb、API、クラウド、社内ネットワークに分けたか
EDR/MDR/SOCの必要性を、監視できる人員と照らして判断したか
インシデント時の連絡先、意思決定者、広報/法務/顧客対応を決めたか

参考にすべき一次情報・公的情報

上記の一次情報は、社内稟議やベンダー比較の根拠として使えます。一方で、公開情報だけでは自社の現行システム、業務フロー、データ状態、予算制約までは判断できません。記事で一般論を把握した後は、自社条件に落とした診断が必要です。

GXOに相談するタイミング

次のいずれかに当てはまる場合は、記事を読み進めるだけでなく、早めに相談した方が安全です。

見積もり依頼前に、要件やRFPの粒度を整えたい
既存ベンダーの提案が妥当か第三者視点で確認したい
補助金、AI、セキュリティ、レガシー刷新が絡み、判断軸が複雑になっている
社内稟議で費用対効果、リスク、ロードマップを説明する必要がある
PoCや診断で終わらせず、本番導入と運用改善まで進めたい

ディープフェイクBEC詐欺の最新手口｜AI悪用によるなりすまし攻撃の検知と対策を自社条件で診断したい方へ

GXOが、現状整理、RFP/要件定義、費用対効果、ベンダー比較、導入ロードマップまで実務目線で確認します。記事の一般論を、自社の投資判断に使える形へ落とし込みます。

セキュリティ初期診断を相談する

※ 初回相談では営業資料の説明よりも、現状・課題・判断材料の整理を優先します。

フィッシングメール訓練の進め方——標的型メール訓練の設計と実施手順
ランサムウェア対策完全ガイド——身代金要求型攻撃への備え
セキュリティポリシー策定テンプレート——中小企業向け最低限のポリシー設計
CSIRT構築ガイド——インシデント対応チームの作り方
GXOの導入事例一覧——セキュリティ対策の支援事例

ディープフェイク対策・BEC対策のご相談

「自社の送金承認フローに脆弱性がないか診断してほしい」「社員向けのセキュリティ研修を企画したい」という方へ。GXOでは、BEC対策の現状診断から承認フロー設計、社員教育プログラムの実施までワンストップで支援しています。無料セキュリティ診断を申し込む ※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

実務判断のポイント

この記事は、経営者、CIO、情シス、セキュリティ担当、開発責任者向けです。脆弱性管理、外部公開資産棚卸し、月次セキュリティ運用、インシデント対応を自社で進めるか、外部の専門家と整理するかを判断する材料として使えます。

GXOが重視するのは、話題性の高さよりも「自社の業務、データ、権限、予算、運用責任にどう影響するか」です。ディープフェイクBEC詐欺の最新手口｜AI悪用によるなりすまし攻撃の検知と対策に関する検討では、担当者だけで判断を閉じず、経営、現場、情シス、外部パートナーの役割を早い段階で分けることが重要です。

放置した場合と整備した場合の違い

横にスクロールして確認できます

観点	放置した場合	整備した場合
業務影響	属人的な判断が増え、対応の優先順位がぶれやすい	影響範囲、期限、責任者を決めて進められる
投資判断	ツール導入や外注費だけが先行し、効果測定が曖昧になる	売上、工数削減、リスク低減の指標にひも付けられる
現場運用	例外処理や承認フローが残り、定着しにくい	権限、ログ、教育、改善サイクルまで設計できる
経営報告	問題が発生してから説明資料を作ることになる	月次で状況、課題、次の打ち手を説明できる