要点
- 米国の検察は、AI で社長の声や顔をまねて企業の経理担当者に送金させた疑いで、3人を起訴したと発表した。
- 起訴状をもとにした報道では、世界の数千の企業がねらわれ、被害は約1億2,900万ドル（1ドル150円で約190億円）とされる。
- 手口はメールから始まり、電話やビデオ通話で偽の社長と偽の弁護士が送金を急がせる流れで、日本の企業にも同じことが起こりうる。
何が起きたか
報道によると、米ニューヨーク南部地区連邦検事局（SDNY）は、3人の男性（ここでは A 氏・B 氏・C 氏とする）をニューヨークの連邦裁判所で起訴した。Ynet は、3人のうち2人がイスラエル人だと報じている。罪名は、通信を使った詐欺（wire fraud）、悪質な身元の盗用、資金洗浄（お金の出どころを隠すこと）などである。
起訴状をもとにした報道（SecurityWeek に載った AP の記事、イスラエルの Ynet）から、手口の要点をまとめる。
- だまされた側が自分で送金した。 Ynet は、どの会社も社員が自分で送金しており、銀行口座への侵入はなかったと伝えている。ねらわれたのは主に経理の担当者だったとされる。
- 信じさせたのは「声」と「顔」だった。 入口は社長を名乗るメールで、秘密の取引への協力を求めるものだった。DocuSign など電子署名のサービスを通じて届いた例もあったと Ynet は報じている。そのあと通話の場が用意され、起訴状によると、AI で作った社長の声や、ときには映像が使われた。
- 偽の弁護士が送金先を指示した。 担当者は大手法律事務所の弁護士を名乗る人物につながれる。これも偽物で、海外のいくつもの口座へ高額の振り込みを求めたとされる。
- お金は暗号資産で散らされた。 振り込まれたお金は暗号資産に替えられ、たどりにくくしたうえで、3人やほかの関係者に配られたとされる。
検察は、この組織が AI で作った声や顔を使い、経営者と弁護士の両方になりすましたとしている（Ynet）。ただ、報道で AI の使い方が具体的に書かれているのは、社長役の場面だ。
報道によると、A 氏は主に英国の弁護士を装った。検察は、A 氏が「Lawyer Call」と題した手書きの台本を使い、本物の弁護士らしく見せていたとしている。検察によると、B 氏は主に資金洗浄を受け持った。
報道によると、A 氏は2026年6月にスペインで、B 氏は8月にスペインで、C 氏は9月に英国で捕まった。米国は3人の引き渡しを求めている。起訴された段階で、有罪は決まっていない。
被害にあったとされる組織は業種がばらばらだ。医療ではミズーリ州とカリフォルニア州の病院グループ、金融ではロードアイランド州の銀行、マサチューセッツ州の投資信託の会社、英国のフィンテック（金融の IT サービス）企業が挙がっている。フロリダ州のペットフードの会社も含まれる。
日本の利用者への影響
日本の企業が被害を受けたかどうかは分からない。ねらわれたのは世界の数千の企業とされるが、どの国の会社かは明らかでない。
手口は、日本で「ビジネスメール詐欺（BEC）」や「偽社長詐欺」と呼ばれるものと同じだ。警察庁は、取引先や自社の経営者になりすまし、振込先の変更などを指示して送金させる詐欺として注意をよびかけている。送金先は海外の口座が多く、一度送ると取り戻すのはとても難しいという。
今回の新しい点は、メールのあとに「声」や「顔」で本人らしさを裏づけてくることだ。電話で社長の声を聞いた、ビデオで顔を見た、というだけでは本人の確認にならない時代になっている。
今すぐやること
- 送金の依頼は、メール以外の道で確かめる。 警察庁の勧めでは、メールに返信するのではなく、電話や FAX で確かめる。かける先は、前から手元にある名刺やアドレス帳の番号にする。メールに書かれた番号は偽物かもしれないからだ。
- 「声」や「ビデオの顔」を本人確認として扱わない。 社長からの急ぎの依頼でも、いったん切って、社内で知られた番号にかけ直す。
- 「内密に」「急いで」「弁護士に連絡を」はとくに怪しむ。 秘密にさせて相談の道をふさぐのが、この手口の型である。
- 送金は1人で決めない決まりにする。 新しい口座や海外への大きな送金には、別の人の承認を入れる。IPA も、職員が手口を知り、社内のチェック体制を整えることが大事だとしている。
- 送ってしまったら、すぐ銀行と警察に連絡する。 早いほど止められる見込みがある。報道では、ニューヨークの投資会社で約285万ドルの送金が最後の段階で止められた例が紹介されている。
背景
ビジネスメール詐欺は、IPA が2017年から何度も注意喚起を出してきた古い手口だ。2018年には日本語の偽メールも確かめられている。
これまではメールの文面だけでだますのが中心だった。そこに、AI で人の声や顔をまねる技術（ディープフェイク）が加わった。2024年には、英国の設計会社 Arup の香港の拠点が、偽の幹部が並ぶビデオ会議にだまされ、大きな額を送金したことを認めている。
今回の件は、こうした手口が一部の例ではなく、数千の企業をねらう規模で行われていたと米国の検察が主張している点で重い。FBI は、ほかにも被害にあった企業がいないか探しており、心当たりがあれば連絡するよう求めていると報じられている。
技術者向けの詳細
- 一次情報: SDNY の発表（2026年11月5日）。オンラインの裁判記録は発表の時点ではまだ封印されていたと報じられている。
- 罪名（報道による）: wire fraud の共謀、wire fraud、aggravated identity theft、money laundering。wire fraud と資金洗浄は1件につき最大20年、aggravated identity theft は最大2年。
- 期間: 1年半あまり（報道では2024〜2026年）。
- 送金先（Ynet による）: 米国、スペイン、ポルトガル、ギリシャ、UAE、シンガポール、オーストリア、スロバキア、中国の口座。その後、暗号資産に替えた。
- 最初の接触の経路: CEO を名乗るメール。DocuSign などの電子署名サービスの通知を使った例もあると報じられている。電子署名サービスからの通知でも、依頼主を別の経路で確かめる。
- 守りの例:
- 送信元ドメインの SPF・DKIM・DMARC（メールの送り主を確かめる仕組み）を設定し、似たドメインからのメールに警告を出す。
- 支払い先の口座を新しく登録したり変えたりするときは、登録済みの連絡先へかけ直して確かめる手順（コールバック）を決めておく。
- 社内で合言葉を決める、または別の連絡手段で確かめるなど、声や映像に頼らない本人確認を用意する。
- 日本の窓口: 警察庁のビジネスメール詐欺のページ、IPA のビジネスメール詐欺の注意喚起。
