ディープフェイクビデオ通話：リアルタイムのなりすまし詐欺

Zoom通話に参加すると、画面にCFOの顔が映っています。声も一致します。仕草にも見覚えがあります。先週話し合った取引について言及し、買収を完了するために緊急の送金を処理するよう依頼してきます。すべてが整合しているので、あなたは支払いを開始します。ただし、画面に映っていた人物はCFOではありませんでした。それはリアルタイムのディープフェイクマスクを着けた犯罪者で、お金は消えてしまいました。

これはSFではありません。すでに個々の組織に数千万ドルもの損害を与えている実証済みの攻撃ベクトルです。リアルタイムのディープフェイク技術は進歩し、通常のビデオ通話として通るほどの低遅延でライブビデオフィードに顔交換を適用できるまでになりました。声クローニングと組み合わせることで、組織がリモートコラボレーションに依存しているツールそのものを悪用する、強力な新しい形態のビジネス詐欺が生まれています。

The Rise of Live Deepfake Impersonation

ビジネスメール詐欺（BEC）は10年以上にわたってサイバー犯罪の中で最も被害額の大きい形態の一つとなっています。従来の手口は、幹部のメールアカウントをなりすましたり乗っ取ったりして、不正な支払い指示を送信するというものでした。組織がメール検証プロトコルを実装すると、犯罪者もそれに適応しました。ディープフェイクビデオ通話はBECの自然な進化形であり、テキストベースのなりすましを、はるかに説得力のある音声と映像のなりすましに置き換えたものです。

ライブディープフェイク通話に必要な技術スタックは、驚くほど容易に入手できるようになりました。オープンソースの顔交換モデルは一般消費者向けGPUで動作し、仮想カメラソフトウェアがZoomやTeamsに到達する前にビデオフィードを傍受し、公開されている音声サンプルで学習した声クローニングツールが音声側を処理します。中程度の技術スキルと数時間の準備があれば、攻撃者は顔と声が公開されているほぼ誰にでも通用するリアルタイムのなりすましを作成できます。

Anatomy of a Deepfake Video Call Attack

洗練されたディープフェイク通話攻撃は、通常通話の数週間前から始まります。攻撃者は偵察を行い、標的組織の構造を研究し、支払いを開始する権限を持つ従業員を特定し、なりすます幹部の動画と音声のサンプルを収集します。LinkedIn、YouTubeの会議プレゼンテーション、ポッドキャストへの出演、企業のマーケティング動画などがすべて素材を提供します。

次に攻撃者は、幹部のカレンダーとメールを侵害またはなりすまし、見かけ上正当なチャネルを通じて通話をスケジュールします。会議の招待状は本物に見え、正しいメールアドレスやカレンダーシステムから送信されており、多くの場合、出張や休暇中など、本物の幹部が不在のタイミングに合わせて設定されます。通話中、攻撃者は実際のプロジェクト、実際の同僚、実際の取引に言及する用意された話題を使って信頼性を築いた後、不正な要求へと話を移します。

こうした攻撃が壊滅的な影響をもたらすのは、ビデオ通信への暗黙の信頼を悪用するからです。何十年もの間、ビデオ通話で誰かの顔を見ることは信頼できる本人確認とみなされてきました。その前提は今や危険なほど時代遅れです。ディープフェイクの仕組みや、注目すべき視覚的な手がかりについてより詳しく知るには、 ディープフェイク動画を見抜くためのガイド をご覧ください。

The Hong Kong Case: $25 Million in One Call

最も広く報道されたディープフェイクビデオ通話詐欺は香港で発生し、多国籍企業の財務担当者が、同社のCFOと複数の他の上級幹部が参加しているように見えたビデオ会議の後、約2500万ドルを送金するよう騙されました。その従業員は当初、送金を要求するメールに疑いを持っていましたが、複数の見知った顔がビデオ通話で指示を確認したように見えたため、納得してしまいました。

この事件が特に衝撃的だったのは、ディープフェイクの参加者が複数だった点です。攻撃者は単一の幹部になりすますのではなく、複数人のリアルタイムディープフェイクを同時に生成し、すべての参加者が合成されたグループ会議の錯覚を作り出しました。これにより、標的となった従業員は「複数の」信頼できる同僚が全員同じ指示を確認しているのを見たため、要求の正当性に対する認識が大幅に高まりました。

この事件は重要な脆弱性を浮き彫りにしました。メールセキュリティに多額の投資をしていた組織が、ビデオ通信に対して同等の保護を持っていなかったのです。その従業員は既存のすべてのプロトコルに従い、上級幹部とのビデオ通話で要求を確認しましたが、検証方法そのものが侵害されていたのです。

不審な動画記録がありますか？Truvizyで無料でスキャンしましょう

Technical Limitations Scammers Exploit

リアルタイムディープフェイクは完璧ではありません。処理遅延があり、急激な頭の動きに対応しづらく、手が顔を横切るときにアーティファクトが発生し、環境光との一致に苦労することがよくあります。しかし詐欺師は、こうした手がかりを隠すためにビデオ会議自体の限界を意図的に悪用します。低解像度のビデオストリーム、帯域幅の変動、ビデオ通話で通常発生する圧縮アーティファクトは、ディープフェイクの不完全さを都合よく隠してくれます。

攻撃者はしばしば、インターネット接続が悪いことを理由に、カメラ品質を低く保ったり、画面共有を無効にしたり、通話の一部でビデオをオフにしたりします。検出される可能性を最小限に抑えるため、通話を短く、不正な要求に絞ったものに保つこともあります。一部はディープフェイクが劣化し始めると、偽の「技術的な問題」を装って切断し、セッションをリセットするために再度かけ直すこともあります。これらは、 有名人ディープフェイク詐欺キャンペーン で使われるのと同じ種類のトリックを企業向けに応用したものです。

How to Detect Deepfakes During Live Calls

ライブ通話中に、録画済みコンテンツほど簡単に動画を検出ツールにかけることはできませんが、リアルタイムで適用できる実用的なテストがいくつかあります。相手に予期しない動作を実行するよう求めましょう。頭を急に横に向ける、顔の近くに特定の本数の指を立てる、部屋の別の位置に移動するなどです。リアルタイムディープフェイクは急な変化に苦労するため、こうした要求は目に見えるアーティファクトや遅延を引き起こす可能性があります。

話者の口の動きと音声の間のわずかな遅延に注意してください。リアルタイムディープフェイク処理は遅延を追加し、それがしばしば微妙ですが検出可能な音声と映像のずれとして現れます。髪や首と接する顔の輪郭にも注意を払いましょう。こうした境界でのちらつき、ぼやけ、色のずれは、顔交換の強い兆候です。

少しでも疑いがあれば、通話中に要求されたアクションを進めないでください。代わりに、会議を終了し、完全に別のチャネルで検証してください。既知の電話番号で直接その人物に電話をかける、相手が同じ建物にいる場合は彼らのオフィスまで歩いて行く、または別のコミュニケーションプラットフォームで連絡を取りましょう。不審な通話の録画がある場合は、包括的なAI駆動の真正性チェックのためにTruvizyの動画分析ツールにかけてみてください。

Building Organizational Defenses

ディープフェイクビデオ通話詐欺に対する最も効果的な防御は、ポリシー、研修、テクノロジーの組み合わせです。まず、定められた閾値を超えるすべての金融取引に対して、必須のマルチチャネル検証ポリシーを実装することから始めましょう。メール、電話、ビデオ通話のいずれであっても、単一のコミュニケーションチャネルだけで支払いを承認するには不十分であるべきです。すべての要求は、少なくとも1つの独立したチャネルを通じて確認されなければなりません。

金融取引や機密情報を扱うすべての従業員に対して、定期的なディープフェイク意識研修を実施してください。この研修には、リアルタイムディープフェイク技術の実例、合成動画を識別する実践演習、なりすましの疑いがある事例を報告するための明確な手順を含めるべきです。従業員が上級幹部からの指示を問いただして検証することを、文化的に許容される、あるいは推奨されることにしましょう。従業員が権威に疑問を呈することができないと感じている組織が最も脆弱です。

組織保護への包括的なアプローチについては、 ディープフェイク対策完全ガイド をご確認ください。スケーラブルな検出機能が必要なチームには、 Truvizyのプロフェッショナルプラン が、セキュリティチームが必要とする高度な法科学的分析と大量処理のサポートを提供します。

今日からあなたの組織のディープフェイク対策を構築しましょう

The Future of Video Call Authentication

ビデオ会議業界はディープフェイクの脅威に対応し始めていますが、解決策はまだ初期段階です。提案されているアプローチには、通話プラットフォームに組み込まれた暗号学的本人確認、顔交換の兆候をチェックするリアルタイムのライブネス検出、ビデオフィードをソースで認証できるコンテンツ来歴標準の統合などがあります。

こうしたプラットフォームレベルの解決策が広く普及するまでは、自分たちを守る責任は組織と個人にあります。良いニュースは、ディープフェイクビデオ通話詐欺から防御するポリシー、つまりマルチチャネル検証、財務承認における職務分離、そして健全な懐疑心の文化は、他の多くのビジネス詐欺から保護するのと同じポリシーだということです。これらを導入することはディープフェイク対策にとどまらず、ソーシャルエンジニアリング攻撃全般に対するセキュリティ体制を強化します。

ディープフェイク動画の見分け方 — AIが生成した動画コンテンツを見抜くための7つの重要な視覚および音声のサイン

動画の真正性を検証する方法 — 動画コンテンツが本物かどうかを確認するためのステップごとの手順

AI詐欺の進化 — ディープフェイク技術がビジネス詐欺とソーシャルエンジニアリングをどのように変えているか