ディープフェイクとは？詐欺事例・見分け方・企業対策【2026年版】

---

画面に映っていたのは、英国本社の最高財務責任者（CFO）と見慣れた同僚たちだった。だが、画面の中には、誰も本物はいなかった。

本物だったのは、送金指示を受けた財務担当者ただ一人だった。担当者は極秘取引の指示を受け、複数回に分けて約2億香港ドルを送金した。

この事件の教訓は、担当者が偽物を見破れなかったことではない。映像と音声だけで会社の資金を動かせる業務プロセスだったことである。

2026年のディープフェイク対策とは、目や耳を鍛えることではなく、「社長の声」でも重要取引を承認できない会社へ変えることである。

ディープフェイクとは？生成AIとの違い

ディープフェイクは生成AIの一形態であり、実在人物の本人性や発言の真偽を偽装できる点に大きなリスクがある。

ディープフェイクとは、AIや機械学習を使って画像、動画、音声を生成・加工し、実在する人物が実際にはしていない行動や発言を、本物らしく見せる技術またはコンテンツです。

生成AIは文章、画像、音声、動画、コードなどを新しく作る広い技術概念です。そのうち、特定人物の顔や声を再現し、本人のように振る舞わせるものがディープフェイクと呼ばれます。

映画の吹き替えや教育、アクセシビリティなど正当な活用が進む一方、詐欺や偽広告、信用毀損に悪用されれば、企業の資金、社会的信用、意思決定そのものが揺さぶられます。

生成AIとディープフェイクの違い

項目	生成AI	ディープフェイク
対象	文章・画像・音声・動画・コード全般	主に人物の顔・声・動作・発言
目的	新しいコンテンツの生成	本人性や出来事の再現・偽装
企業リスク	誤情報、権利侵害、情報漏えい	なりすまし送金、偽広告、信用毀損

香港・約40億円のディープフェイク詐欺――画面の全員が偽物だった

世界的に知られるArup社の被害は、映像の精巧さよりも、権威と緊急性によって通常手順が外された点に本質がある。

2024年1月、国際的なエンジニアリング企業Arup社の香港拠点で、財務担当者に英国本社のCFOを名乗る人物から極秘取引の連絡が届きました。担当者は当初、不審に思ったものの、複数の同僚が参加するビデオ会議へ招かれます。

画面に並んだ顔と声が見慣れた人物に見えたため、担当者は複数回に分けて約2億香港ドルを5つの口座へ送金しました。これは、当時の日本円で約40億円規模に相当します。

香港政府の説明では、会議は公開されていた映像や音声から作られた事前収録型の偽ビデオで、実際の対話はありませんでした。会議終了後の送金指示は、インスタントメッセージで続けられています。

事件の怖さは、映像が精巧だったことだけではありません。会社の通常手順が、権威と緊急性によって自然に外されたことです。攻撃者は、役員の肩書、同僚の顔、極秘案件、時間制限を組み合わせ、担当者が通常の確認をためらう状況を作りました。

被害を生んだのはディープフェイク単体ではなく、ディープフェイクとソーシャルエンジニアリング、脆弱な承認手順の組み合わせです。

ディープフェイクが会社を狙うとき、最初に壊れるもの

最初に壊れるのは送金口座ではなく、「この顔と声なら本人だ」という企業内の信頼である。

危険性1：なりすまし送金と振込先変更

最初に狙われるのは、技術ではなく、経理の「いつもの手順」です。最も直接的な被害は、CEOやCFO、取引先担当者を装う送金詐欺です。

高額送金だけが標的ではありません。請求書の振込先を犯罪者の口座へ差し替え、通常の支払日に送金させる手口は、金額が日常業務の範囲に見えるため発見が遅れます。

危険性2：認証情報と営業秘密の窃取

偽の役員やIT担当者が、パスワード再設定、多要素認証コード、顧客リスト、設計データ、未公表の決算資料を要求する場合があります。金銭を要求しないため詐欺と気づきにくく、侵入後に本物のメールアカウントを使った二次攻撃へ発展します。

危険性3：偽広告とブランド信用の毀損

経営者や著名人が投資商品、暗号資産、健康商品を推奨しているように見せる偽動画は、企業が関与していなくても問い合わせ、苦情、風評被害を生みます。公式サイトや公式SNSで正規情報を確認できる導線と、偽広告を発見した際の削除要請・注意喚起の手順が必要です。

危険性4：一度騙した相手を再び狙う二次被害

被害者へ警察、金融機関、調査会社を装って接触し、「資金を回収する」として追加費用や個人情報を要求する手口もあります。FBIは2026年、AI生成動画で捜査機関を装い、偽サイトへ誘導する再被害型の詐欺を警告しました。

企業が守るべきものは、送金口座だけではありません。誰の指示を正当と認め、どの情報を開示し、どの発信を公式と証明するかという「信頼の経路」全体です。

ディープフェイク詐欺が成立する5段階

攻撃者は顔や声を作る前に、公開情報や侵害した通信から「その会社がどう動くか」を学習する。

① 公開情報収集
登壇動画・SNS・組織図

② 文脈把握
メール・取引先・承認手順

③ 顔・声を偽造
動画・音声・チャット

④ 例外を要求
極秘・緊急・今日中

⑤ 被害成立
送金・口座変更・情報開示

公開情報から「役員らしさ」を作る

決算説明会、採用動画、講演、SNSには、役員の顔、声、口癖、役職、出張予定が蓄積されています。攻撃者は、これらを合成素材として利用するだけでなく、誰が誰へ指示を出す会社なのかまで推測します。

本物の業務文脈へ偽物を差し込む

メールアカウントや取引先情報が侵害されると、偽の依頼は既存の案件名、請求時期、担当者名を含むようになります。突然の怪しい依頼ではなく、進行中の仕事の続きとして届くため、社員は警戒を下げます。

権威・緊急性・秘密保持で確認を止める

「社長案件」「M&Aで口外禁止」「銀行が閉まる前に」といった言葉は、確認行動を遅らせます。攻撃者の狙いは、完璧な映像を作ることより、通常手順を守る時間と心理的余裕を奪うことです。

ディープフェイクの見分け方と、その限界

見た目や声の違和感は警告材料になるが、重要取引の本人確認を人間の観察力だけへ依存してはならない。

FBIは、不自然な顔や手、アクセサリー、影、透かし、音声の遅延、声と口元の不一致、不自然な動きを確認するよう注意喚起しています。文章や話し方が普段と違う、連絡先やURLが微妙に異なる、強い恐怖や緊急性をあおることも赤信号です。

人が確認できる兆候と、取るべき行動

兆候	確認ポイント	行動
映像	輪郭、影、眼鏡、歯、指、首の動きが不自然	頭を左右に動かすなど予測不能な動作を求める
音声	間、抑揚、語彙、呼び方、返答速度が普段と違う	会話をいったん切り、登録済みの別経路で確認する
連絡先	メール、電話番号、URL、アカウント名に微妙な違いがある	メッセージ内のリンクや番号を使わず確認する
要求	秘密、緊急、例外、暗号資産、個人口座を強調する	取引を停止し、責任者とセキュリティへ報告する
※FBIおよび香港警察の公開情報を基にArpable編集部が整理（2026年7月時点）。兆候の有無だけで真偽を断定せず、必ず別経路で確認してください。

ただし、これらは見破るための補助線です。AI生成コンテンツは、すでに人間が識別しにくい水準へ進んでいます。映像が自然だった、声が本人と同じだった、質問へ答えたという理由だけで、本人確認を完了させてはいけません。

見分けられない社員を責める制度ではなく、見分けられなくても送金できない制度を作ることが、企業対策の中心です。

「見分ける」より先に、会話を切って別経路で確認する

不審な連絡を受けた際、相手に「社内しか知らない質問」を投げる方法もあります。しかし、メールやチャットが侵害されていれば、攻撃者が答えを知っている可能性があります。固定の合言葉も、時間の経過とともに漏えいリスクが高まります。

実務では、第一に会話を終了し、第二に登録済みの安全な連絡経路へ切り替え、第三に取引固有の情報を承認システム上で照合します。申請番号、契約番号、既存口座、承認者、期限のいずれかが一致しなければ停止します。

相手が「電話を切るな」「この件は誰にも言うな」「今すぐ画面共有しろ」と確認を妨げる場合、それ自体が重大な警告です。本人であることを証明する責任は依頼者側にあり、受け手が疑ったことを謝罪する必要はありません。

もし今、CFOの声で「今日中に送金してほしい」と届いたら、あなたの会社は止まれますか。

企業が実装すべき5つのディープフェイク対策

最も有効な対策は検知ソフトだけではなく、重要取引を一つの映像・音声・メッセージで成立させないことである。

対策1：登録済みの別経路で確認する

メールやビデオ会議で受けた依頼は、その画面に表示された電話番号やリンクを使わず、社内ディレクトリ、契約書、取引先マスターなどに登録済みの連絡先で確認します。ビデオ会議の相手へ同じ会議内で質問するだけでは、同じ攻撃経路の中に留まります。

社内では、承認システム、会社支給端末、既知の内線、対面確認など、攻撃者が同時に乗っ取りにくい経路を組み合わせます。役員にも「確認の電話を歓迎する」と明言してもらう必要があります。

対策2：依頼・承認・実行を分離する

高額送金、海外送金、新規取引先、機密情報の持ち出しは、依頼者、承認者、実行者を分けます。役員一人の音声指示で複数承認を解除できる設計では意味がありません。

金額だけでなく、初回口座、通常と異なる国、営業時間外、分割送金などを高リスク条件として定義し、自動的に追加承認へ回します。承認者は依頼内容だけでなく、確認に使った経路と証跡も記録します。

対策3：口座変更に待機時間を設ける

取引先から振込先変更の連絡が届いた場合、同じメールへ返信して確認してはいけません。過去に登録した担当者または代表窓口へ連絡し、変更理由、口座名義、適用日を確認します。

新規口座や変更直後の口座は即日利用せず、一定の待機時間を設けます。支払期限が迫っていても、例外適用には経理責任者と事業責任者の承認を要求します。

対策4：「極秘・緊急」を手順省略の理由にしない

本当に重要な案件だから手順を飛ばすのではなく、本当に重要な案件だからこそ、短く強い手順を守る。

M&A、事故対応、サイバー攻撃、顧客クレームなど、秘密と速度が必要な案件ほど狙われます。秘密案件専用の少人数承認ルートを事前に作り、緊急時でも本人確認、複数承認、監査ログを省略しないようにします。

対策5：止めた社員を評価する

制度があっても、「社長を疑うのか」「遅い」と叱責される文化では機能しません。不審な依頼を停止した社員へ、結果が本物だった場合でも不利益を与えないルールを明文化します。

訓練では偽動画を見せて正解を当てさせるだけでなく、承認停止、別経路確認、上長へのエスカレーション、金融機関への連絡まで実行します。評価するのは見破る能力ではなく、決められた手順で被害を止める能力です。

① 依頼受領
メール・音声・会議

② 別経路確認
登録済み連絡先

③ 口座確認
名義・変更・適用日

④ 複数承認
職務分離・追加審査

⑤ 実行・記録
証跡・監査ログ

部門別に決めるディープフェイク対応の責任

対策を情シスだけへ任せず、資金・情報・発信を持つ部門ごとに停止権と確認責任を割り当てる必要がある。

部門別の主な役割

部門	平時の準備	不審時の行動
経営層	例外禁止と確認を評価する方針を宣言	本人確認へ協力し、独断送金を要求しない
経理・財務	複数承認、口座変更、待機時間を規程化	送金停止、銀行連絡、証跡保存
情シス・セキュリティ	MFA、端末管理、ログ、連絡網を整備	アカウント停止、侵害範囲の確認
広報・法務	公式発信と偽広告対応の手順を準備	削除要請、注意喚起、法的対応を判断

C2PA・検知ツール・本人認証はどこまで役立つか

技術はそれぞれ守る対象が異なり、単独でディープフェイク詐欺を防ぐ万能策にはならない。

ディープフェイク対策技術の役割と限界

対策	役割	限界
C2PA／Content Credentials	作成元、編集履歴、署名などの来歴を確認	内容の真実性を保証せず、署名がないだけで偽物とは断定できない
ディープフェイク検知	映像・音声の生成痕跡を分析し、疑わしさを数値化	新しい生成手法、圧縮、再録画で精度が変わる
Liveness検知	録画や単純な顔差し替えではないかを確認	高度なリアルタイム生成やセッション乗っ取りは別対策が必要
MFA・端末認証	正規アカウントと端末からの接続を強化	認証済みアカウントの侵害や内部不正は残る
業務統制	送金・口座変更・情報開示を手順で停止	例外運用と形骸化が最大の弱点
※C2PA仕様、本人認証・検知技術の一般的な機能を基にArpable編集部が整理（2026年7月時点）。多層防御を前提とします。

C2PAの「Content Credentials」は、作成元や編集履歴などの来歴情報を暗号署名によってコンテンツへ結び付け、後から改ざんを検知できるようにする技術仕様です。ただし、来歴が検証できても、内容が真実・正確・事実であることまで保証するものではありません。

Content Credentialsが付いていないコンテンツを、一律に偽物とみなすこともできません。自社の公式動画や画像へ付与し、正規発信を確認しやすくする用途には有効ですが、受信した会議映像の本人確認や送金承認を置き換えるものではありません。

現行のC2PA仕様を基にしたISO 22144は、2026年7月時点では国際規格として発行済みではなく、策定中です。標準化や普及状況は、今後も確認する必要があります。

アカウント、端末、権限を継続的に確認する考え方は、AIエージェントのゼロトラスト設計でも詳しく解説しています。

日本とEUの法律・ルールはどう変わったか

法規制は被害後に調べるのではなく、先に業務へ落とし込む必要がある。日本は既存法、EUは透明性義務への対応が軸となる。

日本：目的と被害に応じて既存法が関係する

日本では、ディープフェイクという名称だけで一律に適法・違法が決まるわけではありません。詐欺、名誉や信用の侵害、個人情報、著作権・肖像、業務妨害など、目的、素材、公開範囲、被害に応じて既存法が問題になります。個別案件は法務部門や弁護士へ確認してください。

個人情報や本人画像・音声の取扱いについては、個人情報保護法の実務解説も参照してください。

警察庁は2026年2月、実在する社長名や会社名を使い、SNSグループへ誘導して送金させる「ニセ社長詐欺」を注意喚起しました。対策として、不審メールへの警戒、社内での情報共有、送金ルールの再確認が示されています。

総務省と経済産業省が策定してきた「AI事業者ガイドライン」は、2026年3月31日に第1.2版へ更新されました。ディープフェイクを含む生成AI利用では、透明性、セキュリティ、説明責任、リスクベースの運用を自社規程へ落とし込むことが重要です。

EU：2026年8月2日から第50条の透明性義務

EU AI法第50条の透明性義務は、2026年8月2日から適用されます。ディープフェイクを公開・利用する導入者の表示義務（第50条4項）は、同日から適用対象です。

一方、2026年8月2日より前に市場投入されたAIシステムについては、AI生成・操作コンテンツを機械可読形式でマーキングする提供者義務（第50条2項）に限り、2026年12月2日までの限定的な猶予があります。

欧州委員会は2026年7月、適用範囲や実施方法を整理したガイドラインとFAQを公表しました。EU向けに広告、広報、教育、エンターテインメントなどの合成コンテンツを提供する企業は、自社が提供者と導入者のどちらに当たるか、例外や表示方法を確認する必要があります。

制度全体の位置付けは、AI規制とガバナンス完全ガイドで整理しています。

被害が起きた直後に何をするか

送金被害は初動の遅れで回収可能性が下がるため、原因調査より先に金融機関と関係機関へ連絡する必要がある。

1. 送金元金融機関へ直ちに連絡し、送金停止・組戻しと、受取金融機関への緊急連絡を要請する。
2. 警察へ相談・届出を行い、海外取引では現地当局や必要な通報窓口も確認する。
3. メール、チャット、会議、電話、送金記録を保存し、端末を不用意に初期化しない。
4. 侵害の疑いがあるアカウント、APIキー、認証情報を停止し、セッションと転送設定を確認する。
5. 取引先と社内へ注意喚起し、同じ偽装を使った二次被害を防ぐ。
6. 経営・法務・財務・情シス・広報を招集し、事実確認、対外説明、再発防止を一元管理する。

FBIはBEC被害について、金融機関へ直ちに連絡し、送金先金融機関への働きかけを依頼するよう案内しています。日本では警察相談専用電話「#9110」や、都道府県警察のサイバー犯罪相談窓口を利用できます。

インシデント発生後に連絡先を探している余裕はありません。銀行、警察、法務、保険、主要取引先の連絡先と、社内の招集権限を平時に一覧化します。

30日で実装する企業チェックリスト

大規模なシステム導入を待たず、承認経路、連絡先、例外ルール、訓練を30日で整備できる。

• 1週目：役員、経理、購買、人事、営業から、なりすまされると資金・情報が動く人物と業務を洗い出す。
• 1週目：送金、振込先変更、契約、個人情報・機密情報開示の現行承認フローを図にする。
• 2週目：登録済み別経路による折り返し確認、複数承認、待機時間、高リスク条件を規程化する。
• 2週目：役員・取引先の正規連絡先を更新し、依頼メッセージ内の番号を使わないルールを周知する。
• 3週目：金融機関、警察、法務、保険、セキュリティ担当の緊急連絡先を一枚にまとめる。
• 3週目：自社公式動画・画像へのContent Credentials付与と、受信コンテンツの検知サービスを評価する。
• 4週目：偽の社長音声やビデオ会議を使い、停止、別経路確認、エスカレーション、初動連絡まで訓練する。
• 4週目：経営者が「確認による遅延を責めない」と宣言し、例外承認の件数と理由を毎月レビューする。

AIを含むセキュリティ全体の設計は、AIが変えるセキュリティで解説しています。AIエージェントや外部ツール接続の統制は、AIエージェントセキュリティも参照してください。

実装後は「検知件数」より「手順が守られたか」を測る

月次レビューでは、不審依頼の件数だけでなく、別経路確認の実施率、口座変更時の確認率、例外承認の件数、停止から金融機関連絡までの時間、訓練での手順完遂率を確認します。

被害がなかったことだけでは、対策が機能した証拠になりません。例外が増えていないか、役員案件で確認が省略されていないか、連絡先が古くなっていないかを継続的に点検します。

まとめ：「本人らしさ」ではなく「手続き」を信頼する

ディープフェイク時代の信頼は、顔や声の印象ではなく、別経路確認、複数承認、証跡によって設計する必要がある。

画面の向こうに社長がいる。声も話し方もいつも通りで、同僚まで参加している。それでも、重要な送金や情報開示を承認する根拠にはなりません。

ディープフェイクの精度が上がるほど、人間へ「もっと注意深く見抜け」と要求する対策は限界に近づきます。C2PA、検知ツール、Liveness検知、MFAは重要ですが、それぞれ確認できる範囲が違います。

最後に会社を守るのは、「誰に見えたか」ではなく、「どの手続きを通過したか」です。

香港の約40億円事件が示したのは、映像が信用できない未来ではありません。映像と音声だけを信用して会社を動かす時代が終わったという事実です。

信頼を守るのは、人の目ではない。会社の手続きです。

参考文献 / 出典

事件、制度、技術仕様に関する記述は、政府機関・法令・標準化団体などの一次情報を中心に確認している。

次に読むならこの3本

ディープフェイク対策を、AIセキュリティ、規制対応、接続統制の三つの視点から補完する記事である。

補足Q&A

目視判定、C2PA、中小企業の初動という、本文だけでは判断しにくい三つの疑問を補足する。

Q1.
ディープフェイクは目視で見分けられますか？

A1.違和感を発見できる場合はありますが、目視だけで重要判断を行うべきではありません。

顔、影、口元、音声の遅延などは手掛かりになります。しかし、通信品質の低下でも似た症状が出ます。登録済みの別経路確認と複数承認を使ってください。

Q2.
C2PAが付いていない画像や動画は偽物ですか？

A2.付いていないことだけで、偽物とは判断できません。

Content Credentialsは任意であり、未対応の機器や編集環境もあります。C2PAは来歴を確認する材料であって、内容の真偽を単独で保証する仕組みではありません。

Q3.
中小企業が最初に実施すべき対策は何ですか？

A3.送金と振込先変更を、登録済みの別経路確認なしでは実行できないルールへ変えることです。

高価な検知製品を導入する前でも実施できます。次に複数承認、待機時間、緊急連絡先、模擬訓練を整備してください。

更新履歴

制度、技術仕様、犯罪手口の変化に合わせ、読者の実務判断に影響する改版内容を記録する。