香港でディープフェイク詐欺：偽の幹部らがビデオ会議に登場し約2560万ドル被害

海外本社の最高財務責任者（CFO）から極秘送金の依頼が届き、確認のために参加したビデオ会議で、画面の向こうにそのCFOと見慣れた同僚たちが並んで座っていたら、疑いを持ち続けるのは極めて困難です。

香港にある多国籍企業の現地拠点で、まさにその罠に落ちる事件が発生しました。財務担当の従業員が騙され、被害総額は2億香港ドル（約2560万米ドル）に達しました。

サウスチャイナ・モーニング・ポストの報道によると、ディープフェイク技術を用いて複数人が参加するオンライン会議を丸ごと偽装し、これほどの巨額資金を騙し取った事件は香港でも初めてのケースです。香港警察は捜査を進めていますが、企業名は公表されておらず、現時点で逮捕者も出ていません。

被害者以外全員がAI生成の会議

事件の発端は、典型的な標的型フィッシングメッセージでした。

香港オフィスの財務担当者は、英国在住のCFOを名乗る人物から秘密取引の実行を求める連絡を受け取りました。従業員は当初、不審感を抱き詐欺を疑っていたと伝えられています。

しかし、その疑念を完全に払拭させたのが、その後に開催されたグループビデオ会議でした。

その会議に参加していた人物のうち、被害者を除く全員が、ディープフェイクで作られた実在の同僚たちの精巧なクローンでした。犯行グループは、一般に公開されていた動画や音声データを収集し、CFOや他の社員の顔と声を極めてリアルに再現していました。

実在の上司や同僚がリアルタイムで指示を出している光景を目の当たりにした従業員は、完全に信用してしまいました。結果として、指定された香港の5つの銀行口座に向けて、計15回にわたり合計2億香港ドルが送金されました。企業側が被害に気づいたのは、送金から約1週間後のことでした。

なぜ重要か

私たちは、この事件が「ビデオ通話で顔を見れば本人確認ができる」という長年のセキュリティ常識に終止符を打ったと考えています。

これまで多くの企業では、不審な送金指示への対抗策としてビデオ通話による本人確認を推奨してきました。しかし、公の場で発言する機会の多い経営幹部ほど、音声や顔のサンプルがネット上に豊富に存在し、ディープフェイクの格好の標的になります。

単独の偽装ではなく、複数の登場人物を揃えて会議の空間そのものを偽造するという手口は、サイバー犯罪の組織化と高度化が新たな段階に入ったことを示しています。

企業は今すぐ送金承認プロセスを見直す必要があります。画面や音声といった生体情報に頼る確認を廃止し、ネットワークから切り離されたハードウェアトークンや複数の承認経路を義務付けるなど、ゼロトラストを前提とした対策への移行が急務です。