偽の経営者になりすまし詐欺が進化―WhatsAppとAIで企業資金を狙う

ブラジルのサイバーセキュリティ企業Redbelt Securityが、WhatsAppを使用した偽の経営者になりすまし詐欺の増加を報告しました。この手口は従来のメール詐欺から進化し、AI生成音声・映像や不正アクセスされたアカウントを組み合わせて、企業従業員に緊急の送金を促すもので、国際的にも同様の被害が報告されています。

詐欺の概要

この詐欺は「ボス詐欺」または「CEO詐欺」と呼ばれるもので、犯人が企業の経営者や管理職になりすまして、従業員に不正な送金を指示する手口です。従来はメール偽造や企業メールアカウント盗用で実行されてきましたが、最近はWhatsAppなどのメッセージングアプリを悪用し、AI技術を組み合わせるようになりました。

詐欺の実行方法

WhatsAppを使った典型的な流れ

接触: 未知の番号からメッセージが来ます。この番号は被害者と同じ地域の市外局番を使用していることが多く、本物の経営者の名前と写真を使用します。
信頼構築: 「おはよう、今忙しい?」などの普通の会話で始まり、すぐに金銭要求はしません。
送金要求: 会話を立てた後、通常と異なる緊急の支払いを要求します。受取人の銀行口座情報は後で提供されます。
圧力強化: 「会議中だから電話は取れない」「機密情報が関わっている」などと理由をつけ、他の方法で確認されることを防ごうとします。
資金転送: 送金されたお金は複数の銀行口座に素早く分散され、追跡と回収を困難にします。

AI技術の悪用

最新の事例では、ディープフェイク（AI生成映像・音声）が使われています。2024年、英国の大手エンジニアリング企業Arupは、AIで再現された経営者の映像と音声を使用したビデオ会議詐欺で、約2,500万米ドルの被害を受けました。従業員は15回の送金を実行してしまいました。

この技術は従来の確認方法の有効性を低下させます。顔や声による確認だけでは、詐欺を見分けることが難しくなります。

見分け方

警戒すべき兆候

通常と異なるチャネル（WhatsApp等）からの支払い指示
通常と違う緊急性が強調された指示
確認を取るなと指示される場合
銀行情報の変更をいつもより急いで求められる
会議中、外出中などの理由で別の連絡方法を使えないという説明

防止策

組織が実施すべき対策

確認プロセスの厳格化: 通常と異なる支払い指示は、事前に登録された電話番号で経営者に直接確認するか、対面で確認します。メッセージを送ってきた番号には掛け直しません。
承認フローの維持: 経営者からであっても、通常の承認ステップを省略しません。
受取人情報の変更に警戒: 銀行口座情報の変更要求、特に緊急性や秘密保持が強調される場合は慎重に対応します。
メッセージングアプリの保護: WhatsAppで2段階認証を有効化し、接続デバイスと使用中のセッションを定期的に確認します。
従業員教育: 財務、購買、営業支援部門の従業員に対し、この詐欺について定期的に訓練を実施します。
アカウント監視: 正規のアカウントが盗用されていないか注視します。

既に送金してしまった場合

直ちに報告: 金融機関に即座に連絡し、詐欺の可能性を報告します。
Pixの場合の返金請求: ブラジルではPixの取引について、中央銀行の特別返金メカニズム（MED）を使用できます。取引から80日以内に請求を行うことで、返金の可能性が高まります。
証拠保全: メッセージ、使用された番号、送金証拠、受取人情報などをすべて保存します。
当局への報告: 被害届を提出し、企業の情報セキュリティチームに通知します。

重要なポイント

この詐欺の根本的な脅威は、企業システムへの侵入なしに、従業員間の信頼と緊急性の感覚を悪用することで成立します。AI技術がこれまで確実とされていた確認方法（音声通話やビデオ会議）まで信頼できなくさせているため、組織としての形式的で多層的な確認プロセスが最大の防御となります。