ディープフェイク詐欺・AIなりすましとは｜経営者と経理が狙われる送金詐欺(BEC)の手口と対策【2026年版】

結論：まず決めるのは「振込前の確認ルール」

　結論から書きます。ディープフェイクやAIを使ったなりすまし詐欺への最初の対策は、高価なツールの導入ではありません。「送金や振込先の変更は、指示が来た経路とは別の経路で本人に確認してから実行する」という社内ルールを決めることです。メールで来た指示は、登録済みの電話番号にかけ直して確認する。これだけで、なりすましによる送金の多くは止められます。

　なぜこれが効くのか、いま何が起きているのかを、順に説明します。専門用語は初めて出たときに噛み砕きます。

いま何が起きているか（AIリスクが初登場3位）

　独立行政法人 情報処理推進機構（IPA）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威で「AIの利用をめぐるサイバーリスク」が初めて選出され、3位にランクインしました。1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」です。そして、取引先や経営者を装って偽の送金指示を送る「ビジネスメール詐欺（BEC）」も10位に入っています（出典：IPA、2026年）。

　AIリスクの中には、生成AIを悪用した攻撃メールの巧妙化に加えて、本物と見分けにくい音声・映像の合成（ディープフェイク）が含まれます。これがBECのような「なりすまし」と組み合わさることで、従来より見破りにくい詐欺が生まれています。

ディープフェイク詐欺・BECとは（やさしく整理）

　ビジネスメール詐欺（BEC＝Business Email Compromise）とは、取引先や自社の経営者になりすました偽のメールで、担当者をだまして送金させたり、振込先口座を攻撃者の口座に変更させたりする詐欺です。「至急、この口座に振り込んでほしい」「振込先が変わった」といった内容が典型です。

　ディープフェイクとは、AIを使って、実在する人物の顔や声を本物そっくりに合成する技術です。数十秒程度の音声や動画のサンプルがあれば、その人が話していないことを話しているように作れる水準に近づいています。これが詐欺に使われると、「電話の声が社長本人に聞こえる」「ビデオ会議に役員が映っている」ように見えるため、メールだけの詐欺より信じ込みやすくなります。海外では、合成した役員の声や映像を用いたビデオ会議で送金を指示し、多額の被害が出た事例が報じられています。

中小企業が狙われる典型的な手口

• 経営者なりすまし型：社長を装い「取引の関係で急ぎ送金してほしい。あとで説明する」と経理担当に指示。合成音声の電話やビデオ会議で“念押し”してくる場合があります。
• 取引先なりすまし型：普段やり取りしている取引先を装い「振込先の口座が変わった」と連絡。次回の支払いを攻撃者の口座へ誘導します。
• メール乗っ取り型：実際の担当者のメールアカウントを乗っ取り、本物のやり取りの流れに割り込んで偽の請求書を送ります。差出人が本物なので気づきにくいのが特徴です。

　いずれも共通するのは、「急かす」「経路を1つに限定する」「金額や口座を動かす」という点です。ここに気づけるかどうかが分かれ目になります。

今日からできる対策（費用をかけずに始める順）

　優先度の高い順に並べます。上の3つは費用がほとんどかからず、効果が大きい対策です。

1. 振込前の「別経路での本人確認」をルール化する：送金・振込先変更の指示は、指示が来た経路（メール・チャット・電話）とは別の、あらかじめ登録した連絡先で本人に確認してから実行します。ビデオや音声は合成され得るため、それ自体を確認の根拠にしないことが重要です。
2. 一定額以上は複数人の承認を必須にする：担当者ひとりで完結させず、金額のしきい値を決めて上長の承認を挟みます。「急ぎ」を理由に手順を飛ばさない運用を明文化します。
3. 合言葉（確認ワード）を決めておく：役員や経理の間で、送金確認時にだけ使う合言葉を事前に共有しておくと、なりすましを見分けやすくなります。
4. なりすましメール対策（送信ドメイン認証）を整える：自社ドメインが「なりすまされにくい」状態か、SPF・DKIM・DMARCという仕組みの設定を確認します。詳しくは関連記事で解説しています。
5. 多要素認証（MFA）でメール乗っ取りを防ぐ：ID・パスワードだけでなく、スマホの確認などを加えることで、アカウント乗っ取り型のBECを起きにくくします。

　注意したいのは、これらは被害の確率を下げる対策であって、「これで100%防げる」ものではないという点です。だからこそ、複数の対策を重ねること、そして「困ったときの確認手順」を全員が知っていることが大切です。

よくある質問

ディープフェイクの音声や映像は、見て聞いて見分けられますか？

　合成技術の精度は年々上がっており、見た目や声だけで確実に見分けることは難しくなっています。だからこそ、「本人に別経路で確認する」という手順で守るのが現実的です。映像や音声そのものを信用の根拠にしないことが重要です。

うちは小さい会社だから狙われないのでは？

　BECは企業規模を問わず発生しています。むしろ、承認手順が固まっていない小規模な組織のほうが、「社長の一声で急いで振り込む」といった隙が生まれやすい面があります。ルールを決めておくことが有効です。

まず何から始めればよいですか？

　「送金・振込先変更は、別経路で本人確認してから実行する」というルールを1枚の紙にして全員で共有することからです。次に、一定額以上の複数承認、なりすましメール対策（SPF・DKIM・DMARC）の確認へと進めます。

まとめ

　AIによるなりすましは、メール・音声・映像のどれも“本物らしく”作れる時代に入りました。技術で見破ることが難しくなった以上、守りの主役は「手順」です。振込前の別経路確認、複数承認、なりすましメール対策、多要素認証——この重ね合わせが、中小企業でも今日から始められる現実的な守りになります。

　自社の送金・承認フローをどう決めればよいか迷う場合は、オンラインで30分の無料相談を承っています。現状に合わせて、無理なく続けられる手順に落とし込みます。

関連記事

• なりすましメール対策とは｜SPF・DKIM・DMARCをWebで確認【中小企業向け】
• 中小企業のパスワード管理と多要素認証（MFA）｜使い回しをやめる現実的な進め方
• 中小企業のセキュリティ診断とは？無料でできるチェック項目と進め方

参考・出典

• IPA 独立行政法人情報処理推進機構「情報セキュリティ10大脅威 2026」（2026年1月29日公開）：https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「ビジネスメール詐欺（BEC）対策」：https://www.ipa.go.jp/security/bec/index.html
• Google「メール送信者のガイドライン」（送信ドメイン認証の要件）：https://support.google.com/a/answer/81126