1回の電話で2,500万ドルを盗んだAIディープフェイク

問題点

あるCFO（最高財務責任者）の声をクローンしたディープフェイクが、わずか1回のライブ通話で2,500万ドルを窃取しました。クローン音声は、リアルタイムで往復する指示にも自然に対応できるほど精巧でした。電話の向こう側にいた財務担当者には、まるで本物の上司が話しているように聞こえたため、複数の人間による確認ポイントをすべてすり抜けました。これはSFの話ではありません。2025年初頭、欧州のエネルギー企業で実際に起きた事件です。

この攻撃が成功したのは、最新の音声クローニングなら、録音済みの音声が3〜5分あれば説得力のある複製を作れるからです。元になる素材は至る所にあります。決算説明会、ウェビナー、ポッドキャスト、さらにはSNSの短いクリップまで。攻撃者は経営幹部の声のサンプルを入手し、それを武器へと変えたのです。

しかも、音声詐欺は氷山の一角にすぎません。2025年第1四半期だけで、記録されたディープフェイク事故は179件に上ります。これは2024年通年の合計を早くも19%上回るペースです。同じ時期に、クローン音声を使った音声フィッシング（vishing）攻撃は、2024年末と比較して1,600%以上急増しました。

あなたのセキュリティチームは、「偽物はひと目で分かるもの」という前提の世界に向けて作られてきました。その世界はもう存在しません。従業員が「耳で」違和感に気づくことに頼っているなら、防御モデルには致命的な隙間があります。

なぜ貴社のビジネスにとって重要なのか

金銭的被害は、あらゆるチャネルで加速しています。次の取締役会のスライドに載せるべき数字がこちらです：

• 27億7,000万ドル — 2024年単年でFBIに報告されたビジネスメール侵害（BEC）の損失総額。BECは、サイバー犯罪関連詐欺の中で最も財務的な打撃が大きい手法であり続けています。
• 166億ドル — 2024年にFBIのIC3に報告されたサイバー犯罪関連詐欺の損失総額で、報告された全損失の83%を占めます。
• 488万ドル — フィッシングメールで始まったデータ侵害の平均コスト。北米の組織では、この数字は1,022万ドルに達します。
• 54% — AI生成フィッシングメールのクリックスルー率。従来型キャンペーンの12%という基準値のほぼ5倍です。

これらの数字は、複数の経路で貴社の損益に直撃します：

• 不正送金およびBECによる直接的な詐欺損失。
• EU AI法に基づく規制リスク。非準拠のAIシステムには、最大€3500万または全世界売上高の7%の罰金が科される可能性があります。
• インシデント対応コスト — 2024年、BECは全サイバーセキュリティ・インシデント対応案件の27%を占め、ランサムウェアに次ぐ第2位でした。
• クローン音声が貴社の口座から数百万ドルを動かしたと知ったときの、顧客・パートナー・規制当局からの評判面のダメージ。

機密データや高額取引を扱う組織にとって、これらの脅威は抽象的なものではありません。狙われているのは、貴社のビジネスが成り立つ土台である信頼——電話の相手が名乗る本人であるという前提——そのものです。

舞台裏で実際に起きていること

AIを迅速に導入した企業の大半は、業界で「ラッパー」と呼ばれる形を通じてそれを行いました。ラッパーとは、自分で管理できないサービスから車を借りるようなものです。使いやすいインターフェースに質問を入力すると、データ——すべてのプロンプト、すべての文書の断片、すべての機微な詳細——が処理のために公衆インターネット越しに他人のサーバーへと流れていきます。

ここから、3つの具体的な問題が生じます。

第一に、データが建物の外に出ていく。「ゼロデータ保持」を掲げるエンタープライズAPIプランでさえ、悪用監視のためにデータを最大30日間保持することが珍しくありません。ヘルスケア、防衛、金融の各企業にとって、この30日間の窓は法的な負債です。

**第二に、法的主権を失う。**主要なAIプロバイダーの多くは米国拠点であり、米国CLOUD法の適用を受けます。この法律の下では、データが欧州やアジアのサーバーに置かれていても、米国の法執行機関がアクセスを強制できます。これはGDPRや各国のデータレジデンシー法制と正面から衝突します。

**第三に、AIは実は貴社のビジネスを知らない。**ラッパーは根本的にステートレスです。大規模な社内文書セットの扱いが苦手で、独自データについて尋ねると高いエラー率——いわゆるハルシネーション——を生みます。公式ツールが不十分だと、従業員はそれを迂回します。2023年にサムスンのエンジニアが半導体のソースコードを誤ってChatGPTに漏洩した後、研究者らは公開AIツールにソースコードが貼り付けられる件数が485%増加したことを確認しました。その利用の72%は、IT部門から見えない個人アカウント経由で行われていました。

これが「シャドウAI」問題です。そして、最も機微なデータが、すでに貴社の管理下にないシステムへ流れている可能性があるという意味でもあります。

何が機能し、何が機能しないか

まず、機能しないものから見ていきましょう。

**従来型のメールフィルター：**パターンマッチングに依存しています。AI生成フィッシングは、標的リストの受信者1人1人に対して固有のバリエーションを作り出します。ブロックすべき共通のシグネチャを持つメールは2つとして存在しません。ポリモーフィック攻撃の90%以上がすり抜けます。

**セキュリティ意識向上研修だけ：**ベースラインの確立には役立ちます。しかし今やフィッシングメールの82.6%が、正規の企業トーンを模倣したAI生成コンテンツを含むため、訓練を受けた従業員でさえ驚くほど高い割合でクリックしてしまいます。

**ラッパー型AIセキュリティツール：**貴社のデータを第三者のインフラに送り、主権リスクを持ち込みながら、貴社の社内コンテキストを深く理解することができません。他人の警報システム——点検できない警報システム——で自宅を守っているようなものです。

実際に機能するのがこちらです。中核となる原則は主権型デプロイメント、すなわち、貴社自身の環境内で、貴社自身のインフラ上で、貴社自身のデータで学習したAIを実行することです。

**1. データ流出ゼロのプライベートインフラ。**AIは、貴社のクラウド環境内またはオンプレミスの専用GPUハードウェア上で実行されます。すべてのプロンプトと応答はファイアウォールの内側にとどまり、公衆インターネットを横切るデータは一切ありません。鍵を握るのは貴社です。

**2. 貴社のビジネスを知るファインチューニング済みモデル。**汎用モデルを借りる代わりに、実際のモデルファイルを自ら所有できるオープンウェイトモデルを、組織固有の文書・用語・基準で学習させます。調査によれば、ファインチューニング済みモデルは98〜99.5%の出力一貫性を達成するのに対し、ラッパー方式は85〜90%にとどまります。さらに、モデルがすでにコンテキストを「把握している」ため、スケール時にはリクエストあたりのコストを50〜90%削減できます。

**3. 権限認識型の検索とランタイムガードレール。**AIは、RAG（Retrieval-Augmented Generation、検索拡張生成）と呼ばれる手法——AIに推測させるのではなく、実際のソース文書を与える——を通じて社内文書に接続します。ただし決定的な追加要素は、これを既存のアクセス制御に紐付けることです。従業員がファイルシステム上で閲覧できない文書は、AIも取得できません。その上で、ランタイムガードレールがすべての入出力をリアルタイムで走査し、プロンプトインジェクションの試みをブロックし、機微な個人データがモデルに届く前にマスキングし、AIを許可されたタスクに集中させ続けます。

監査証跡の優位性が、コンプライアンス部門と法務部門にとっての決め手になります。すべてのプロンプトと応答が改変不能な記録として残ります。規制当局や監査人から意思決定の過程を問われた際には、AIが使用した正確なデータ、生成した正確な出力、通過した正確なガードレールチェックを示せます。これは理論上の利点ではありません。EU AI法は、まさにこの水準の文書化とトレーサビリティを義務付けています。その対象は 規制対象業界における高リスクAIシステム。

高額取引については、最終層となるのが暗号学的来歴証明です。経営幹部は、検証済みのID資格情報を使って、動画または音声による承認にデジタル署名できます。攻撃者は声をクローンできても、経営幹部の検証済みアイデンティティに紐付いた暗号署名は偽造できません。これにより、欧州のエネルギー企業に2,500万ドルの損失をもたらした脆弱性そのものが排除されます。

組織でAI導入の選択肢を評価しているなら、問いは「AIが必要かどうか」ではなく、現在の構成が安全に導入するための 主権型インフラと管理 を備えているかどうかです。さらに、2025年に実際に存在する脅威に対して、自社の セキュリティ態勢が検証されているか どうかでもあります。

完全な技術アーキテクチャと詳細な脅威データについては、 技術分析の全文をお読みください または インタラクティブ版をご覧ください。