2025年、香港の多国籍企業で経理担当者がビデオ会議中にCFOの「ディープフェイク映像」に騙され、2億香港ドル（約38億円）を送金した事件が世界的な衝撃を与えた。BEC（Business Email Compromise：ビジネスメール詐欺）は、従来のテキストベースのなりすましメールから、AI生成の音声・映像を使った「リアルタイムなりすまし」へ進化している。IPA「情報セキュリティ10大脅威 2026」でもBEC詐欺は上位に位置し、中小企業にとってもはや対岸の火事ではない。
本記事では、ディープフェイクBEC詐欺の最新手口、検知方法、そして中小企業が今すぐ実行すべき対策チェックリストを解説する。
ディープフェイクBEC詐欺とは何か
従来のBEC vs ディープフェイクBEC
横にスクロールして確認できます
| 項目 | 従来のBEC | ディープフェイクBEC |
|---|---|---|
| なりすまし手段 | メール（ドメイン偽装・類似ドメイン） | 音声・映像のAI生成 |
| 使用技術 | メールスプーフィング | 音声クローニング、顔画像合成、リアルタイム変換 |
| 攻撃コスト | 低い（無料ツールで可能） | 中程度（AI SaaSで月数千円から） |
| 被害者の心理 | 「メールだから偽物かも」と疑う余地あり | 「声も顔も本人」だから疑いにくい |
| 検知難易度 | 中（メール認証で防御可能） | 高（人間の五感では判別困難） |
攻撃の3つのパターン
パターン1：音声クローニング型（電話なりすまし） 攻撃者はSNS、YouTube、ウェビナーなどから標的人物の音声サンプルを収集し、AI音声クローニングツールで合成音声を生成する。わずか3秒の音声データがあれば、高精度のクローンが作成可能だ。経理担当者に「社長」を名乗って電話し、緊急送金を指示するケースが急増している。
パターン2：映像合成型（ビデオ会議なりすまし） リアルタイムのフェイスチェンジ技術を使い、ビデオ会議で他人になりすます。冒頭の香港の事件がこのパターンだ。複数名が参加する会議で、参加者全員がディープフェイクだったケースも報告されている。
パターン3：ハイブリッド型（メール＋音声のダブル確認突破） 「メールで送金指示→電話で本人確認→電話もディープフェイク」という二重三重の攻撃。従来の「電話で折り返し確認」というBEC対策を無効化する点で最も危険だ。
RETAIL & EC DX
実店舗とECの在庫分断、1本のOMSで解消しませんか？
POS／自社EC／モールを統合するオムニチャネル基幹。同規模小売・D2Cの概算費用・導入期間・事例をその場で確認できます。
なぜ中小企業が標的になるのか
大企業と比較して中小企業が狙われやすい3つの理由がある。
横にスクロールして確認できます
| 要因 | 大企業 | 中小企業 |
|---|---|---|
| 送金承認プロセス | 多段階の承認フロー | 社長の口頭指示で実行されやすい |
| セキュリティ体制 | SOC/CSIRTが常駐 | 兼任のIT担当者1名、または不在 |
| 社内通信の透明性 | メール監視・ログ分析あり | 私用端末・個人LINEで業務連絡 |
攻撃者はこの「承認フローの脆弱性」を熟知している。社長と経理担当者の2名だけで送金が完結する環境は、ディープフェイクBECにとって最も効率的な標的だ。
ディープフェイクを検知する方法
人間が見分けるための5つのチェックポイント
横にスクロールして確認できます
| チェック項目 | 確認方法 |
|---|---|
| 1. 瞬きの不自然さ | ディープフェイク映像は瞬きが少ない、または一定間隔になる傾向がある |
| 2. 顔の輪郭と背景の境界 | 髪の毛周辺にぼやけやちらつきが発生する |
| 3. 音声と口の動きのズレ | リップシンクが微妙にずれる（0.1〜0.3秒の遅延） |
| 4. 照明の矛盾 | 顔の明るさと背景の照明方向が一致しない |
| 5. 質問への反応速度 | 予想外の質問に対する反応が不自然に遅い（AI処理のレイテンシ） |
技術的な検知手段
- DMARC/DKIM/SPF：メール経路での偽装を防止（従来BEC対策の基本）
- 音声認証（声紋認証）：登録済みの声紋と照合して本人確認
- AI検知ツール：Microsoft Video Authenticator、Intel FakeCatcherなどがリアルタイム検知に対応
- 多要素認証による送金承認：音声・映像に頼らない認証レイヤーの追加
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
中小企業の対策チェックリスト
即日対応（コスト0円）
- 送金承認を「口頭指示のみ」から「メール＋別経路での確認」の二段階にする
- 「緊急送金」指示を受けた場合、必ず 登録済みの電話番号に折り返す（相手の着信番号にかけ直さない）
- 社内に「ディープフェイク詐欺が存在する」ことを周知する全社メールを送信
- 経理・財務担当者に「いかなる場合も1名の判断で100万円以上の送金をしない」ルールを設定
1ヶ月以内の対応
- 送金承認フローを書面化し、例外なく 2名以上の承認 を必須にする
- DMARC/DKIM/SPFのメール認証を設定（未設定なら即対応）
- ビデオ会議で機密事項を扱う場合の「本人確認プロトコル」を策定（例：事前に決めた合言葉を使う）
- 標的型メール訓練を四半期ごとに実施
3ヶ月以内の対応
- 送金・契約関連のワークフローをシステム化（口頭承認を排除）
- AI検知ツールの導入検討（メール・音声のなりすまし検知）
- インシデント対応手順書にディープフェイクBECのシナリオを追加
被害発生時の対応フロー
万が一、ディープフェイクBEC詐欺の被害に遭った場合の対応手順を示す。
① 送金の即時停止依頼
└→ 銀行に電話し、送金の組戻し（取消し）を依頼
※ 国内送金は当日中、海外送金は72時間以内が目安
② 警察への通報
└→ 最寄りの警察署のサイバー犯罪相談窓口に通報
└→ 被害届を提出
③ 社内への周知と二次被害防止
└→ 同様の手口による追加攻撃を警戒
└→ 全社員への注意喚起
④ 証拠の保全
└→ 通話録音、メール、ビデオ録画、送金記録を保全
└→ ログの改ざん防止措置
⑤ 再発防止策の策定・実施
└→ 承認フローの見直し、セキュリティ教育の強化
まとめ
ディープフェイクBEC詐欺は、AI技術の民主化によって攻撃のハードルが急速に下がっている。音声クローニングは3秒の音声サンプルで、映像合成はリアルタイムで可能になった。「見て聞いて確認したから本物」という前提が通用しない時代に、中小企業が取るべき対策の本質は 「人間の感覚に頼らない承認プロセスの構築」 だ。
- ディープフェイクBECは音声・映像で人間の判断を欺く
- 中小企業は承認フローの簡素さが最大の脆弱性
- 「口頭指示だけで送金しない」ルールの即日導入が最優先
- 技術的検知と運用ルールの両面で対策する
関連記事
- フィッシングメール訓練の進め方——標的型メール訓練の設計と実施手順
- ランサムウェア対策完全ガイド——身代金要求型攻撃への備え
- セキュリティポリシー策定テンプレート——中小企業向け最低限のポリシー設計
- CSIRT構築ガイド——インシデント対応チームの作り方
- GXOの導入事例一覧——セキュリティ対策の支援事例
ディープフェイク対策・BEC対策のご相談
「自社の送金承認フローに脆弱性がないか診断してほしい」「社員向けのセキュリティ研修を企画したい」という方へ。GXOでは、BEC対策の現状診断から承認フロー設計、社員教育プログラムの実施までワンストップで支援しています。 無料セキュリティ診断を申し込む ※ 営業電話はしません | オンライン対応可 | 相談だけでもOK
FAQ
まず何から確認すべきですか？
最初に確認すべきなのは、対象業務、対象データ、責任者、判断期限です。情報収集だけで終えると、導入可否や対応優先順位を決められません。
社内だけで進めるべきですか？
既存業務の棚卸しは社内で進められます。ただし、要件定義、セキュリティ、費用対効果、ベンダー比較が絡む場合は、外部視点を入れた方が手戻りを抑えやすくなります。
GXOにはどの段階で相談できますか？
構想段階、予算化前、RFP作成前、既存システムの見直し段階から相談できます。脆弱性管理、外部公開資産棚卸し、月次セキュリティ運用、インシデント対応の相談を入口に、実装や運用改善まで整理できます。
公式・一次情報（最終確認: 2026年7月12日）
- 経済産業省・IPA AI事業者ガイドライン: https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/
- NIST AI Risk Management Framework: https://www.nist.gov/itl/ai-risk-management-framework
制度、仕様、価格、法令、脆弱性情報は改定されるため、発注・申請・対応の直前にリンク先の最新版と適用条件を再確認してください。
