ディープフェイク詐欺・なりすましと企業の対策マニュアル｜社内ガイドライン・研修・検知ツール導入の実務

ディープフェイクによる詐欺・なりすましは、もはや「見た人が見分ける」問題ではなく「組織としてどう防ぐか」という業務プロセスの問題です。 香港の建設大手 Arup では、CFO を含む参加者全員がディープフェイクの合成映像だった Teams 会議で約 38 億円が送金されました。個人が動画を見て違和感に気づく前に、承認フロー・本人確認ルール・検知ツールを組織側に実装しておくことが唯一の現実的な防御です。本記事では、社内ガイドラインの作り方・研修の設計・検知ツール導入の判断基準を、実務担当者がそのまま使える形で解説します。個別の詐欺事例と防衛策チェックリストは 【2026年版】ディープフェイク詐欺の事例7選と企業を守る8つの防衛策｜Arup 38億円・Ferrari 撃退事例 にまとめています。

なぜ「見分け方」だけでは組織を守れないのか

2026 年時点の生成 AI は、担当者が画面越しに見分けられるレベルを超えています。 OpenAI の Sora 2（HeyGen に統合）や Google の Veo 3、音声クローンの ElevenLabs などは、数秒の音声サンプル・1 枚の顔写真から本人と区別が困難な動画・音声を生成できます。まばたきの周期や光と影の整合性といった「肉眼のチェックポイント」は一時的な目安にはなりますが、技術の進化速度に対して個人の注意力だけで対抗するのは限界があります。

Ferrari では CEO の音声クローンによる送金指示を、経理担当者が「最近読んでいる本のタイトルは？」と逆質問して見破りました。これは個人の機転による成功例ですが、同じ手口が別の担当者・別の部署で再現されるかは運任せです。企業が取るべき対応は、個人の勘に依存せず、誰が担当しても同じ手順で止められる仕組みを作ることにあります。

ディープフェイクが企業にもたらす典型的な被害パターン

「見分け方」の前に、まず自社がどのリスクに晒されているかを把握します。企業が実際に受けている被害は大きく 4 パターンに整理できます。

1. 経営層なりすまし送金詐欺：CFO・CEO の音声や映像を偽装し、緊急送金や機密情報の開示を指示する手口。Arup 事件（約 38 億円被害）が典型例です。
2. 音声のみのなりすまし：ビデオ通話ではなく電話・音声メッセージで経営層や取引先を装うケース。ElevenLabs 等のツールでは 3 秒の音声サンプルから声を再現できるとされ、検知の難易度が上がっています。
3. 採用面接でのなりすまし：顔交換技術で身元を偽装し、リモート採用面接を突破して社内システムへのアクセス権を得る手口。海外では IT 人材の採用面接での事案が複数報告されています。
4. 偽情報によるブランド毀損・株価操作：役員の偽発言動画が SNS で拡散し、信用毀損や株価変動を引き起こすケース。

被害の詳細な時系列と各社の対応は ディープフェイク詐欺の事例7選と企業を守る8つの防衛策 で個別に解説しているため、本記事では「型」の整理に留めます。

社内ガイドラインに盛り込むべき 5 つの規定

ディープフェイク対策を「検知ツールの導入」だけで終わらせず、社内ガイドラインとして文書化・周知することが出発点です。 最低限、以下の 5 項目を明文化します。

1. 金銭・機密情報にかかわる指示は必ず二経路で確認する

音声通話・ビデオ会議で金銭の振込や機密情報の開示を指示された場合、その場で完結させず、別の連絡手段（社内チャット・登録済み電話番号への折り返し・対面）で再確認することをルール化します。「いますぐ」「他言無用」「別ルートで連絡するな」という指示自体を警戒シグナルとして明文化しておくと、現場が判断に迷いません。

2. 単独承認を禁止し複数人の承認を必須にする

Arup 事件では、参加者全員が偽装されたビデオ会議という状況下で、担当者一人の判断に依存したことが被害拡大の要因になりました。一定金額以上の送金や機密データの開示は、必ず複数人（上長・経理・情報システム部門など）の承認を経るフローを標準化します。

3. 本人確認の合言葉・逆質問ルールを決めておく

Ferrari の事例のように、「事前に決めておいた合言葉」「即答が難しい個人的な質問」を確認手順に組み込みます。決裁権者ごとに確認方法をあらかじめ合意しておくと、緊急時でも実行しやすくなります。

4. 生成AIツールの業務利用範囲を明示する

会社が許可していない生成AIツールを従業員が独自に業務利用する「シャドーAI」は、社内情報の流出リスクを高めます。利用してよいツールと入力禁止情報の線引きは、シャドーITのリスクと情報漏洩事件を防ぐ対策ガイド｜Claude安全導入手順 を土台にガイドライン化します。

5. 検知ツールの導入基準と適用範囲を定める

すべての通話・会議に検知ツールを適用するのは現実的でないため、「一定金額以上の送金指示」「経営層を名乗る緊急連絡」など、適用対象をあらかじめ絞って規定します。次章で具体的な選定基準を解説します。

社内研修で取り上げるべき内容と設計のポイント

ガイドラインを作っただけでは浸透しません。四半期に一度を目安に、実例ベースの研修を継続することが定着の鍵になります。

• 直近の実例を教材にする：Arup・Ferrari など報道済みの事例を、自社の業務フロー（送金承認・採用面接・広報対応）に置き換えて疑似体験させます。
• 「怪しい特徴」ではなく「行動ルール」を教える：まばたきや声の違和感を教えるより、「不審な指示を受けたら誰に・どう報告するか」という行動フローを繰り返し訓練する方が実務では機能します。
• 報告した人を評価する文化にする：誤報告であっても咎めない運用にしないと、疑わしい連絡があっても現場が萎縮して報告が上がらなくなります。
• 対象を経理・広報・人事・情報システムに広げる：送金権限を持つ経理部門だけでなく、採用面接を行う人事、対外発信を担う広報も研修対象に含めます。

検知ツール導入の判断基準

検知ツールは「導入すれば安心」という性質のものではなく、自社のリスク領域に合わせて適用範囲を決めることが重要です。

導入を検討する際は、以下の順で判断します。

1. どの業務プロセスが最もリスクに晒されているか（送金承認・採用面接・広報対応など）を洗い出す
2. その業務で使われている通信手段（ビデオ会議・電話・メール添付動画）に対応したツールを絞り込む
3. 既存の会議システム・採用管理システムとの連携可否を確認する
4. スモールスタートで対象部署を絞り、運用負荷とアラート精度を検証してから全社展開する

インシデント対応計画（IR プラン）の事前策定

ガイドライン・研修・検知ツールを整えても、被害が完全にゼロになるとは限りません。発生を前提に、対応計画を事前に策定しておくことが被害の最小化につながります。

• 緊急連絡網：不審な指示を受けた担当者が即座に報告できる窓口（情報システム部門・法務部門）を明確化する
• 社外発表テンプレート：自社の役員を騙るフェイク動画が拡散した場合の、プレスリリース・SNS 声明のひな形を事前に用意する
• プラットフォームへの削除依頼ルート：SNS・動画プラットフォームへの緊急削除申請の手順を整理しておく
• CSIRT との連携：情報セキュリティインシデント対応チームがある場合は、ディープフェイク関連のインシデントも対応範囲に含めて訓練する

2026 年の規制動向と企業に求められる対応

EU AI Act の透明性義務（Article 50）は 2026 年 8 月 2 日から施行され、ディープフェイクを含む AI 生成コンテンツに機械可読の透かしと「AI 生成」明示ラベルが義務化されます（EU AI Act Article 50、European Commission Code of Practice）。違反時は最大で全世界年間売上の 3% の制裁金対象です。EU 域内で事業を行う企業や、EU 向けにAI生成コンテンツを配信する企業は、自社発信物のラベリング体制を今のうちに確認しておく必要があります。

日本ではディープフェイクを直接規制する単独法はまだ整備されておらず、名誉毀損罪・著作権法・不正競争防止法・性的姿態撮影等処罰法などで個別に対応している段階です。経済産業省・総務省・警察庁の合同検討会が追加ガイドラインの整備を進めており、上場企業の有価証券報告書でも AI リスクに関する記載が求められる流れが強まっています。社内ガイドラインの整備は、将来の規制対応の前倒しにもなります。

生成 AI を安全に業務へ組み込む全体設計は AI基本計画で企業に何が求められるか？社内AI導入ロードマップとガバナンス体制の作り方、AIエージェントの権限設計は AIエージェントのガバナンスは4段階で設計する も参考にしてください。

まとめ｜ディープフェイク対策は「見分ける」から「仕組みで防ぐ」へ

ディープフェイクによる詐欺・なりすましは、個人の注意力で見破る段階を超え、組織のプロセス設計で防ぐフェーズに入っています。本記事の要点は次の 3 点です。

1. ガイドライン：金銭・機密情報の指示は二経路確認、単独承認の禁止、合言葉・逆質問ルール、生成AI利用範囲の明示、検知ツールの適用基準を文書化する
2. 研修：実例ベース・行動ルール中心・報告を評価する文化を、経理・人事・広報・情報システムまで対象を広げて四半期ごとに継続する
3. 検知ツールとIRプラン：自社のリスク領域に合わせてツールを選定し、被害発生を前提にした緊急連絡網・発表テンプレートを事前に整備する

詐欺の具体事例と防衛策テンプレートは ディープフェイク詐欺の事例7選と企業を守る8つの防衛策 で深掘りしています。EU AI Act の施行を控え、企業のAIコンテンツ管理責任は今後さらに重くなります。ガイドライン・研修・技術・IR プランの4点を今のうちに整えておくことが、組織を守る現実的な一歩です。