AI生成音声によるなりすまし攻撃が急増、被害防ぐ実践的訓練の手法を米メディアが解説

要点

• 組織の6割超がディープフェイク攻撃を経験しており、クローン音声による送金詐欺や権限奪取が現実の脅威となっている。

• 音声合成の高度化で見分けは困難になっており、対策の主眼は人間の知覚から確認手順の標準化へ移行している。

• 事前準備として、模倣されやすい幹部層と標的になりやすい財務やIT担当者を整理した一覧の作成が推奨される。

• 被害防止の要として、正規台帳に基づく別経路での折り返し確認や2名承認ルールの明文化が提示されている。

• 米サイバーセキュリティ専門メディアのThe Hacker Newsは2026年10月14日、AIによる音声や映像のなりすまし攻撃に備え、組織内で実践的な準備訓練を行う手法を解説した。

• 記事では、精巧なディープフェイク（AIを用いたリアルな音声や映像の偽造技術）を人間の知覚で見破ることは困難だと指摘されている。

• その上で、被害が出る前に社内の検証手順が実際に機能するかを確かめるための具体的な導入手順が示されている。

急増する攻撃と送金以外の標的

AI音声を用いたなりすましは、実際のインシデントとして表面化している。金曜夕方に最高財務責任者（CFO）を装う電話で週明けの取引完了を口実に至急送金を指示し、直後に電子メールで口座情報を送るといった手口が現実に起きているという。

米Gartnerの2025年調査（セキュリティ責任者302人対象）では、62%が過去12か月間にディープフェイク攻撃を経験し、43%が音声通話、37%がビデオ通話でのインシデントに遭遇したと回答した。

標的は送金にとどまらない。同一の音声でヘルプデスクにMFA（パスワードに加え別手段で認証する多要素認証）トークンの変更を求めたり、管理者に監査前を口実とした特権管理者アカウントの追加を要求したりする手口も発生している。不正送金は照合時に発覚しやすいが、不正アカウントは数か月潜伏し、アカウント乗っ取り（正規権限の不正奪取）を招く恐れがある。幹部を装う電話に対し、確認規程が現場で機能するかを事前に検証した組織は少ないという。

聴覚による検知の限界とプロセスの重視

従来の教育では不自然な言い回しなどの兆候を探すよう指導されてきたが、技術進化によりそうした兆候は減少し続けており、人間の耳で見分けることには限界があるとされる。

米連邦捜査局（FBI）は2025年5月、米政府高官を装うAI音声の警告を出し、本物とほぼ同一に聞こえるため独自に入手した番号へ折り返して確認するよう求めた。また、米Osterman Researchの2026年1月調査（米IT・セキュリティ責任者128人対象、IRONSCALES委託）では、60%が既存の教育を行っていても攻撃に対抗する自信がないと回答した。

このため、防衛の要を個人の感覚ではなく運用プロセスに置く必要があると説かれている。金銭や認証情報、権限が関わる際に常に同じ確認手順を踏めば、合成音声の精巧さは問題にならなくなる。上位幹部から強い要請を受けた際にも、現場が手順を確実に遂行できるかを確かめることが訓練の主眼だという。

模倣対象と標的部署のマッピング

訓練の第一歩として、模倣される人物と連絡を受ける担当者の双方を整理した一覧の作成が推奨されている。

模倣の対象には、CEOやCFOら経営陣に加え、日常的に業務要求を行う財務・IT・人事のディレクター層が含まれる。突然のCEOからの連絡よりも疑念を持たれにくいためである。取引先の担当者や、システム運用を担うMSP（ITシステムの運用保守を請け負う外部事業者）のエンジニアなど、実質的な権限を持つ外部関係者も対象となる。決算説明会やウェビナーなど公開音声が多い人物ほど標的になりやすく、数分の音声でもクローン作成には十分とされる。

連絡を受ける側には、財務や給与計算、人事、役員秘書のほか、ITヘルプデスクやID管理者が挙げられている。ヘルプデスクなどは見落とされやすいが、MFAリセットによる不正侵入に直結するため対象に含めるべきだとされている。

訓練前に定めるべき検証ルール

事前のルールがない訓練は直感を試すだけに終わるため、検証基準の文書化が前提となる。効果的なルールとして以下の要素が挙げられている。

• 別ルート（アウトオブバンド）での確認: 資金移動や口座変更、認証情報共有、MFAリセット、権限変更の要求は、社内台帳などから取得した正規の連絡先に折り返して確認する。連絡内で提示された番号は使用しない。
• 明確な基準の設定: 要求者の役職や緊急度に関わらず、確認を義務付ける行為を明文化する。
• 二重承認の徹底: 新規支払先や口座変更、特権アカウント作成、役割変更には2名による承認を必須とする。
• 合言葉の導入: 頻繁に模倣される幹部との間で、事前に確認用の合言葉を設定する。

補足

生成AIによる音声合成が高度化する中、違和感に頼る防衛から、手順を機械的に遂行する組織的体制への転換が求められている。