課題
2024年2月、世界的エンジニアリング企業Arupの従業員が、同社のCFOおよび複数の上級幹部とのビデオ通話に参加しました。どの顔も本物に見えました。どの声も本物に聞こえました。CFOは5つの異なる銀行口座への計15件の電信送金を指示しました。従業員はその指示に従いました。被害総額：2,560万ドル。
ここからが恐ろしい点です。その場にいた人物は一人として実在の人間ではありませんでした。その通話に参加していたすべての幹部は、公開されているYouTube動画やカンファレンスの映像から作成された合成複製体、すなわちAI生成のディープフェイクだったのです。攻撃者は何カ月もかけて本物のArup幹部の動画と音声を収集しました。そして顔だけでなく、特有の話し方のパターンや微小表情までも再現するようAIモデルを訓練しました。その結果生み出された「高忠実度な合成ツイン」の面々は、生中継の会議で訓練を受けた財務の専門家を欺くのに十分な説得力を持っていました。
マルウェアは一切使われていません。パスワードも盗まれていません。データベースも侵害されていません。インシデント全体を通じて、Arupのデジタルインフラは完全に無傷のままでした。攻撃者は企業のシステムをハッキングしたのではなく、従業員が見たものや聞いたものに対する信頼をハッキングしたのです。この不正が発覚したのは、従業員が後にロンドンの本物のCFO室に連絡したときだけでした。そのような会議は一度も開かれていなかったのです。
これはファイアウォールの破綻ではありません。「目に見えるものは信じられる」という前提の破綻だったのです。
これが貴社のビジネスに重要な理由
Arupにおける2,560万ドルの損失は衝撃的ですが、真の脅威は構造的なものです。貴社の組織もおそらく、日々の本人確認や高額な意思決定の承認をビデオ通話に頼っているはずです。その前提は今や崩壊しました。
数字は、急速にエスカレートする脅威の実態を物語っています。
- インジェクション攻撃 — 攻撃者がZoomやTeamsなどのWeb会議ソフトウェアに偽の動画を直接流し込む手口 — は、2023年に255%増加しました。
- フェイススワップ攻撃 — 攻撃者のライブWebカメラ映像がフレーム単位でディープフェイクに置き換えられる手口 — は、同期間に704%急増しました。
- 説得力のあるディープフェイクを生成するコストは、およそ15ドルと45分の作業時間にまで低下しています。
直接的な金銭的打撃にとどまらず、経営幹部個人への責任追及リスクも高まっています。CIOやCTOは現在、ディープフェイクに対応した統制に関して、より高い水準の善管注意義務（受託者責任）を問われています。合理的なセキュリティ手順の導入を怠った場合、株主や顧客から過失で提訴されれば個人責任に発展しかねません。裁判所では、詐欺を防ぐのに最も有利な立場にあった当事者に損失を負担させる「インポスター・ルール（なりすまし法理）」の適用が増加しています。
コンプライアンス上の義務も拡大しています。EU AI法、NIST AIリスクマネジメントフレームワーク、生体認証攻撃検知に関するISO/IEC 30107-3などの標準規格はすべて、今や組織が合成メディアの脅威から防御することを求めています。貴社の検証プロセスが依然としてビデオ通話を本人確認の証拠として扱っているなら、規制当局や原告側の弁護士が見逃さない重大なギャップが存在することになります。
これはITチーム向けの技術的な問題ではありません。取締役会が取り組むべき財務統制の問題なのです。
内部で実際に起きていること
この攻撃がなぜ成功したのかを理解するには、精巧な偽造紙幣を思い浮かべてみてください。偽造者は造幣局を襲撃する必要はなく、レジ係が受け入れてしまうほど精巧な紙幣を作れば十分です。Arupを狙った攻撃者は、人間の顔と声を使ってまったく同じことを行いました。
彼らは2種類のAIモデルを組み合わせて使用しました。敵対的生成ネットワーク（GAN）— 2つのAIモデルが偽物の生成と検出で競い合うシステム — がリアルタイムの顔交換を担当しました。一方のモデルが偽の顔を生成し、もう一方がそれを見破ろうとします。何百万回もの試行を経て、生成モデルは検出モデルですら本物と見分けがつかない顔を作り出します。拡散モデル（Diffusion Models）— ランダムなノイズから鮮明な画像を構築することを学習するAI — は、動作中にディープフェイクの顔がちらついたり歪んだりしないよう担保しました。人間の目は視覚的な違和感に極めて敏感であるため、この「時間的一貫性（temporal consistency）」が極めて重要になります。
最も重要な技術的詳細は、偽の動画がどのように通話に送り込まれたかです。攻撃者はカメラの前に画面をかざしたわけではありません。彼らは「ビデオインジェクション攻撃」を用い、Web会議ソフトウェアのデータストリームに合成動画パケットを直接流し込みました。アプリケーションはこのデジタルフィードを、あたかも本物のカメラから送られてきたかのように処理しました。奥行きや物理的な境界線を探すような標準的な生体検知（ライブネスチェック）では、分析すべき物理的痕跡が存在しないため、この手法を検出できません。
これこそが具体的な障害モードです。Web会議ツールは受信したあらゆるビデオストリームを無条件に信頼してしまいます。そのストリームが実在の人物に向けられた本物のカメラから来ているのかどうかを検証する手段はないのです。
何が有効で、何が有効でないか
まず、この問題を解決できない3つのアプローチから見ていきましょう。
一般的な多要素認証（MFA）。 Arupの攻撃者は、ログイン認証情報を標的にしていなかったため、MFAを完全に回避しました。彼らが標的にしたのは生中継の通話における人間の判断力でした。貴社のMFAが保護するのはアカウントであり、人間の目ではないのです。
公開API上に構築された汎用AIチャットボット。 これらの「LLMラッパー」ツール（データをサードパーティのクラウドに送信して処理する薄いソフトウェア層）は、純粋に確率的なものです。実際の記録と事実を照合するのではなく、最も確からしい次の単語を予測するにすぎません。ディープフェイクを検出することはできず、機密性の高い財務データをネットワーク外部に送信することで新たなリスクをもたらします。
従来のフィッシング対策研修。 ほとんどの研修プログラムは不審なメールへの備えを促すものであり、上司や5人の同僚の精巧な複製が登場する生中継のビデオ通話を想定していません。Arupの従業員も当初はフィッシングメールに疑念を抱いていました。ビデオ通話はまさに、その疑念を払拭するために仕組まれたものだったのです。
実際に有効なのは、AIがまだ偽造できないシグナルを通じて本人確認を行う多層防御です。
1. 入力検証 — 「物言わぬ守護者」としての行動バイオメトリクス。 高額な取引を実行する前に、システムはその人物がテクノロジーをどのように操作しているかを継続的に分析すべきです。キーストロークの速度、マウスの動きのパターン、タッチスクリーンの筆圧などにより、各幹部固有の行動プロファイルが形成されます。こうした神経生物学的なパターンを偽造することはほぼ不可能です。通話中の「CFO」が2,500万ドルの送金を要求している一方で、そのタイピング行動が過去のプロファイルから逸脱している場合、システムはそのやり取りに自動的にフラグを立てる必要があります。
2. 処理 — 別チャネルを通じたアウトオブバンド（帯域外）確認。 金融取引において、ビデオ通話を本人確認の最終根拠とすることはもはやできません。高額な指示はすべて、事前に検証された電話番号、Signalのような暗号化メッセージングプラットフォーム、あるいは非デジタルチャネルで共有された事前合意の認証コードを通じて、独立した検証を義務付けるべきです。最初のビデオ通話に参加していなかった二次承認者を必須とします。
3. 出力 — 暗号学的真正性（来歴）証明と生理学的検証。 C2PA標準は、動画の撮影時に暗号化メタデータを埋め込み、すべてのフレームに対して改ざん検知可能な保管記録（チェーン・オブ・カスタディ）を作成します。TeamsやZoomの通話におけるビデオフィードにこれらの認証情報がない場合は、未署名の契約書を扱うのと同様の警戒感を持って対処してください。これに生理学的シグナル分析（人間の目には見えない、心拍に伴う顔色の変化を監視する技術）を組み合わせます。合成動画にはこうした生物学的シグナルが存在しません。
コンプライアンスチームや監査チームにとっての決定的な利点は、この多層アーキテクチャがあらゆる段階で検証可能な証跡を生み出す点です。貴社の セキュリティ評価および堅牢化プラクティス において、これらの統制策をNIST AIリスクマネジメントフレームワークの4段階プロセス（統治［Govern］、マッピング［Map］、測定［Measure］、管理［Manage］）や、生体認証攻撃検知に関するISO/IEC 30107-3の認証要件に直接マッピングできます。
特に 金融サービス分野の組織において、このアーキテクチャは貴社の既存の 規制リスクおよび訴訟への備え に関する義務にも直接連動します。すべての検証イベントはログに記録されます。すべてのオーバーライドは文書化されます。監査人や規制当局から合成メディア詐欺に対する防御策を問われた際、研修用のスライド資料を示すのではなく、論理的な証跡を提示することができます。
完全なアーキテクチャ仕様については 技術分析の全文を読む ことができます。また、防御フレームワークの視覚的な解説については インタラクティブ版を試す こともできます。
要点
- Arupに対するディープフェイク攻撃では、偽のビデオ通話を通じて2,560万ドルが詐取されました。マルウェアは使用されず、パスワードも盗まれず、システムも侵害されていません。
- 2023年にフェイススワップ攻撃は704%急増し、説得力のあるディープフェイクの作成にかかるコストは現在わずか約15ドルと45分にすぎません。
- 高額な金融取引においてビデオ通話はもはや本人確認として機能しません。すべての多額の送金には別チャネルを通じたアウトオブバンド（帯域外）確認が必要です。
- 行動バイオメトリクス（タイピングやマウス操作の分析）は、ディープフェイク技術がまだ模倣できないなりすましを検出できます。
- 侵害が発生する前にディープフェイク対応の統制を導入しなかった場合、CIOやCTOは個人的な法的責任を問われるリスクが高まっています。
結論
Arupのインシデントは、AI生成動画が生中継の通話において訓練を受けた専門家を欺くのに十分なレベルに達したことを証明しました。貴社の防御策は、人間が見たり聞いたりできるものを超えて、テクノロジーが測定できるもの（行動パターン、生理学的シグナル、暗号学的な真正性証明）へと移行しなければなりません。貴社のAIベンダーにこう問いかけてみてください。「もしディープフェイクされた幹部がビデオ通話に現れて電信送金を要求した場合、貴社システムのどの層がそれを捕捉するのか。そしてその監査ログを提示できるか」と。