CFOの顔は50ドルで偽れる。電信統制は、その前提で作られていなかった。
こうした検知ツールを初めて欺こうとしたとき、かかったのは午後数時間と、およそ50ドルだった。
同僚の公開カンファレンス講演をYouTubeから取り出し、民生用グラフィックカード上で動くフェイススワップモデルに通し、出力を仮想カメラに向けた。そして、自分ではない誰かとしてテスト用のビデオ通話に参加した。評価中の「ディープフェイク検知」プラグインは、緑色のランプをつけたまま、まったく問題なしという様子だった。それはウェブカメラに印刷写真をかざす手口を捕まえるために作られていた。私はクリーンな合成フィードをデータストリームに直接流し込み、ツールは正しい場所を一度も見ていなかった。
その午後の出来事に、エンタープライズ向けディープフェイク検知の問題がすべて凝縮されている。ツール自体は本物で、優れたものもある。だが、実際に企業の銀行口座を空っぽにしている攻撃から守ってくれるものは、ほとんどない。有効な防御はツールではない。それが、翌年かけてCFOたちに「必要だ」と説得し続け、マーケットプレイスでは買えないもの——私たちが最終的にVeriprajnaにおける多層型ディープフェイク防御プラクティスを構築したのであって、誰かのプラグインを転売したのではない。
どうしてそこに至ったのかを話そう。最初は、まったく逆のことを信じていたからだ。
私はこれを検知の問題だと思っていた。そうではない。
企業のディープフェイク詐欺を初めて調べたとき、私は技術者なら誰もがやることをした——より良いモデルを待てば解決する精度の問題だと決めつけた。最高の検知器を買い、Zoomに接続すれば終わり。偽の顔を捕まえ、詐欺を止める、と。
そこで最高の検知器を探しに行った。しかし読めば読むほど、その計画の足元は崩れていった。
私の前提を打ち砕いた数字は、Purdueの2025年ベンチマーク研究から来た。研究室で96〜99%の精度を謳う検知ツールが、実運用では50〜65%に落ちるというのだ。CFOの頭で、もう一度読み直してほしい。50%はコイントスだ。65%なら、3つに1つの偽物が通り抜ける。あなたは電信送金——ときに8桁の電信送金——を、3回に1回は外れる確率的アラートに賭けろと言われている。
3回に2回正しい検知器は、優れた研究結果であり、壊滅的な統制だ。戻ってこない資金の承認経路に、コイントスを置いてはならない。
私はしばらくその事実と向き合った。セキュリティの本能は、つねにより良いモデルを追うことだ。だが、「機械がこの顔はおそらく本物だと思っている」を資金移動の許容根拠にする精度の数字など、存在しない。たとえ99%でも足りない——攻撃者は一度勝てばよく、しかも日を選べるからだ。
それが私が最初に間違えた点であり、それを認めたことが、その後私たちが構築したすべてを変えた。
2,560万ドルのディープフェイク通話は、実際どう動くのか？
この分野の誰もが研究する事例は、2024年2月のグローバル・エンジニアリング企業Arupだ。香港の財務部門の社員が、自社のCFOと数人の上級幹部とのビデオ通話に参加し、機密取引について話し合い、その後の数日間で合計2,560万ドルの電信送金を15回実行し、香港の銀行口座5つへ送金した。
その通話にいた被害者以外の全員が、合成だった。
Arupで私を捉えるのは技術ではない。その経路がいかにありふれていたかだ。攻撃者は幹部の公開動画と音声——YouTube、カンファレンス録画、LinkedIn——を集め、顔だけでなく抑揚や微表情まで再現する生成モデルを訓練した。学習データのコストはゼロだった。私たち自身が幹部の顔を公開しているからだ。モデル訓練は民生用ハードウェアで走り、費用は50ドル未満。
そして、ほとんどの防御が見落とす部分が来る。社員は最初は懐疑的だった——良い勘だ——そこで攻撃者はメールからビデオ通話へエスカレートした。見慣れた顔を見せることこそが、懐疑を上書きするからだ。そして彼らはOBS VirtualCamやオープンソースのDeepfake Offensive Toolkitのような仮想カメラソフトウェアを使い、捏造したフレームを会議ストリームに直接送り込んで合成映像を注入した。
これが、いま私がCISOとの会話を必ず切り出す区別だ。資金が安全かどうかを決めるのは、まさにこの一点だからだ。
プレゼンテーション攻撃は、カメラの前に何かをかざす。インジェクション攻撃は、カメラを完全に迂回する。ライブネスチェックは前者を捕まえ、後者は一度も見ない。
市場の「ディープフェイク検知」の大半——本人確認オンボーディング向けのiProov型生体ライブネスチェックや、頭を回せ・光を追えといったツール——は、プレゼンテーション攻撃向けに設計されている。その用途では本当に優秀で、iProovのFlashmark技術はまさにその仕事でNIST認定を受けている。だがインジェクション攻撃は、会議アプリに正規のハードウェア入力に見える合成フィードを渡し、上流のライブネス論理は満足する。インジェクション攻撃が2023年に255%増えたのには理由がある。企業がちょうど買ったばかりの防御を破る手口だからだ。
マルウェアなし。窃取された認証情報なし。侵害されたネットワークなし。Arupで損なわれたのは、画面上で見たもの・聞いたものへの信頼だけだった。
なぜ単一ベンダーでは止められないのか？
攻撃を理解したあと、誰がそれを止められるかを見るためベンダー地図を作り始めた。スプレッドシートを組み、モダリティ、プラットフォーム統合、各ツールが本当に得意なこと、そして決定的に、どこで破綻するかを書いた。すぐに長くなり、1枚の発注書で済ませたい人には居心地の悪い結論になった。
Reality DefenderはZoom内でリアルタイムのマルチモーダル監視を行うが、サーバー側分析がフレームごとに往復レイテンシを加え、カメラ経路ではなくコンテンツを検査するため、インジェクション攻撃へのカバレッジは薄い——クリーンな合成フィードでも正規入力として読まれる。Pindropは音声に極めて強く、1,300%の急増をディープフェイク詐欺について文書化し、私が音声を真剣に扱う理由でもある——だが映像ストリームはまったく分析しない。GetReal Securityはライブ通話中に生体・行動・文脈シグナルを相関させ、形としてはより近いが、1,750万ドルのシリーズAの新しい参入者で、エンタープライズ規模の実績は限られる。Beyond IdentityのRealityCheckはウェブカメラフィードが物理ハードウェア由来かを検証し——インジェクションに直結する——だがデバイスレベルで、コンテンツは見ない。Adaptive Securityは従業員向けディープフェイク・シミュレーション訓練を行い、それは重要だが、訓練は統制ではない。何もブロックしない。
まだ続けられる。重要なのはカタログではなく形だ。映像カバレッジはここ、音声はあそこ、ライブネスは第三の場所、デバイス証明は第四——その隙間こそが、有能な攻撃者の居場所になる。
そしてコンサル型の答えもある。Big Fourや大手インテグレーターは喜んでディープフェイク案件を請け負う——50万〜500万ドルで——そしてガバナンス枠組みと取締役会向けデッキを渡す。検知ツールはなし。上記ベンダーを推奨するが、自ら構築・統合することは稀だ。そうした成果物は読んだ。間違ってはいない。ただ、防御ではない。
映像、音声、行動、そして人のプロセスを単一ベンダーがすべて覆うことはない。その継ぎ目を設計する者が要る。その者はたいてい誰もおらず、だからこそ継ぎ目から資金が流出する。
何もかからず、すべてを止める統制
ここで私の考えは完全にひっくり返った。
数週間、検知精度、ベンダーのモダリティ、インジェクション対プレゼンテーションの分類に深く潜っていた。そして「Arupを止めたものは何か」への答えは、そのどれとも無関係だと判明した。
必須のアウトオブバンド検証ポリシー：一定閾値を超える財務指示は、実行前に事前登録のコールバック番号、または別の暗号化チャネルで確認しなければならない。発信者が教える番号ではない——この騒ぎが始まる前から手元に保管していた番号だ。ディープフェイクのCFOは完璧でもよい。インジェクションは検知不能でもよい。関係ない。資金は通話の説得力では動かないからだ。資金が動くのは、財務担当者が自分の引き出しの内側に貼った番号をダイヤルし、本物の人物が「はい」と言うのを聞いたあとだ。
この統制の実装コストはゼロだ。合成メディア詐欺のあらゆる変種——現在も、将来も、映像も、音声も、攻撃者が次に何を作ろうとも——に有効だ。偽物を検知しようとしないからだ。ビデオ通話を承認経路から完全に外す。
正直に言えば、これを受け入れるのは難しかった。私は技術者だ。答えはモデルであってほしかった。最先端のAI脅威への最高ROIの介入が、1995年の電話ポリシーだという考えは、肩透かしに感じた。テストで検知数値が何度も失敗するのを見る——偽に緑ランプがつくのを、繰り返し——まで、地味な真実への抵抗をやめられなかった。
検知レイヤーは確信度を足す。プロセス統制は確実性を足す。誤りは、前者を買って後者を飛ばすことだ。
だからいま私たちが構築するものの背骨はこうだ：プロセスが先、その上に多層防御としての検知。検知ツールの居場所は、異常をフラグし、疑いの一瞬を買うことだ。攻撃者と財務のあいだに立つ唯一の盾になる資格はない。
誰も見ていなかった請求書：保険が失効していた
長いあいだ、CFOとの予算の話はどこにも進まなかった。損失は起きるまで仮説で、支出は今日の現実であり、誰の頭の片隅にも、サイバー保険がどうせカバーするだろうという前提があった。
そして2026年1月、その前提は静かに死んだ。
標準的なサイバー保険はいまや、「AI生成の仲介者」を明示的に除外する。D&O、E&O、雇用慣行保険も、広範なAI除外を追加しつつある。2024年には保険会社の問題だったディープフェイク詐欺は、2026年にはあなたの問題だ——別途ディープフェイク特約を買っていない限り。その特約は年額500〜3,000ドルで、ほとんど誰も持っていない。いまArup型の攻撃があなたに起きれば、2,560万ドルは無保険だ。以上。
その単一の変化が、私が引用してきたどんな損失統計よりも予算を動かした。全体の枠組みが変わった。「仮説を避けるために金を使う」ではない。「当てにしていた補償は消え、責任があなたの机に着地した」だ。裁判所は特定のディープフェイク統制の欠如について、雇用主の過失をますます認めつつあり、古い「なりすましルール」は、詐欺を防ぐのに最も適した立場にあった側に損失を負わせる。2026年1月以降、それはあなただ。
規制当局がこれから求めること
取締役会に壁へ書き出せと伝える日付が2つある。判断の問題を締め切りに変えるからだ。
2026年8月2日：EU AI法の第50条、ディープフェイクコンテンツに関する透明性義務が発効し、罰則は最大3,500万ユーロまたは世界売上高の7%。EU近辺で事業を行うなら、合成メディア・ガバナンスを任意扱いできる時代は、その日に終わる。
そして2023年12月以降、SECは重大なサイバーセキュリティインシデントをForm 8-Kで営業日4日以内に開示するよう求めている。2,500万ドル超のディープフェイク詐欺は、ほぼ確実に重要性の閾値を超える。実際のシーケンスを想像してほしい。詐欺を発見し、いま公開提出の4日カウントダウンが走る——電信統制がどう失敗したかを正確に記述する提出——資金はすでに消えている。開示規則は、私的な損失を、投資家が並走して読む公的な損失に変える。
コンプライアンス物語の下には、より硬く静かな緊張があり、コンサルの枠組みが手を振る場所でもある。継続的認証を実際に機能させる行動バイオメトリクス——キーストローク・ダイナミクス、マウスパターン、GetReal型ツールが相関させるシグナル——は、まさにイリノイ州の生体プライバシー法を発動するデータだ。BIPAは2025年に107件超の集団訴訟を生み出し、Clearview AIは1件で5,175万ドルで和解した。GDPR第9条は生体データを特別カテゴリとし、明示的同意を求める。だから最良の検知シグナルは、従業員に適切に同意を取らずに展開すれば、最大のプライバシー負債にもなる。不注意なやり方でセキュリティ問題を解くと、訴訟問題が生まれる。各統制をBIPA、GDPR、SEC規則、ISO 30107およびCEN/TS 18099試験標準に対応づけるのは書類作業ではない——8桁のエクスポージャーを別の8桁と取り替えるのを避ける方法だ。
従業員を訓練して偽物を見抜けばいいのでは？
人はつねに、従業員の意識訓練で解決するのかと聞いてくる。みんなに偽物の見分け方を教えればいい、と。
できればそうしたい。人間によるディープフェイク検知はおおよそ50%——偶然と同程度で、技術は毎月向上する。人類として、私たちはこれが下手だ。Arupの社員は不注意ではなかった。最初は押し返すだけの懐疑もあった。判断を覆したのはビデオ通話だ。認識する顔と声が、分析的な脳を迂回するからだ。訓練は、立ち止まりプロセスを起動する助けになる。誰かを信頼できる人間検知器にはせず、その前提で売られるプログラムは安心を売っている。
もう一つよく聞かれるのは、大げさではないか——怖い見出しが数本あるだけではないか、という点だ。そうではない。米国のディープフェイク詐欺損失は、2024年のおおよそ3.6億ドルから2025年の11億ドルへと3倍になった。いまやエンタープライズ平均インシデントはおおよそ68万ドルで、CEO詐欺キャンペーンは1日に数百社を狙う。合成アイデンティティキットはダークウェブで約5ドル、偽動画は50ドルから。経済性は逆転した——攻撃はほぼ無コストで、無防備でいることには莫大なコストがかかる。
そして特定の形で、これからさらに悪化する。セキュリティ専門家のほぼ半数が、エージェンティックAI——偵察、ディープフェイク生成、ソーシャルエンジニアリングを人間なしで連鎖させるシステム——が2026年末までに主要攻撃ベクトルになると見ている。検知器を欺くのに費やした50ドルの午後は、オペレーターが眠っているあいだに数百の標的へ走る完全自動化パイプラインになる。
私たちが実際に構築するもの
だから企業が私たちのもとに来るとき、売り物の製品を持って現れることはない。設計上ベンダー中立だ——私が挙げたツールのどれも転売しない。それが、50万ドルのコンサル枠組みも洗練されたZoomプラグインも、それぞれ単独では不十分だとクライアントに正直に言える唯一の方法だからだ。
私たちはプロセス層から始める。最高ROIの介入で、何も買う必要がないからだ：アウトオブバンド検証ワークフロー、閾値超の二重承認、検知精度を資金の安全とはほぼ無関係にするコールバック規律。次に、実際の会議環境に合わせて検知スタックを設計する——単一プラットフォームの売り文句ではなく、20社前後のベンダーから適切なモダリティの組み合わせを選び、ライブネスツールが残すインジェクション攻撃の継ぎ目を閉じる。いまあなたに関わる規制へ、すべての統制を対応づける。そしてレッドチームする：既存防御に合成攻撃を走らせ、犯罪者が見つける前に隙間を探す——冒頭で私がやった同じ午後の演習を、サービスにしたものだ。全体アーキテクチャが必要なら、全体像は当社のディープフェイク防御ページ。
デモが終わり、部屋が静かになったあと、私が取締役会に必ず伝える言葉で締めくくろう。
このあらゆる版——ディープフェイクの顔、注入されたフィード、次に何を作ろうとも——を生き残る統制は、資金が動く前に財務担当者がダイヤルする事前登録番号だ。セキュリティスタックの中で最も洗練されていないものであり、2026年1月以降、合成された顔と無保険の損失のあいだに立つ唯一のものでもある。
