あなたの同僚は、本当に「人間」ですか？

あなたが今日、Zoomで面接した候補者の顔は、本物でしょうか。

2026年3月、サンフランシスコで開催されたアスペン研究所の安全保障サミット「Crosscurrent」で、FBIサイバー部門の副次長補、トッド・ヘメン氏がある事実を明かしました。北朝鮮の工作員たちが、AIが生成した「合成顔」をZoom画面に重ねることでリモート採用面接をパスし、欧米のテック企業に正規社員として潜り込んでいる——しかも、一人で複数社に「同時勤務」しながら、給与と機密情報を平壌に送り続けているというのです。履歴書はAIが作り、面接対策もAIが担い、顔までAIが替える。わずか2年前には存在しなかったツールが、これを可能にしています。

サイバー犯罪は、もはや「想定内」の規模を超えた

サイバー犯罪は昔から存在しましたが、今起きていることの規模は、もはや従来の延長線上にありません。FBIの報告によれば、2024年に米国が被ったサイバー犯罪の既知の被害額は166億ドル（約2.4兆円）——前年比33%増、3年間で2倍以上に膨らみました。60歳以上の高齢者だけで約50億ドルが失われています。そして、これはあくまで「報告された」数字に過ぎません。調査機関Data & Societyの研究ディレクター、アリス・マーウィック氏によれば、詐欺被害を実際に報告する被害者は5人に1人以下。実態はさらに深刻です。

ここに生成AIが加わりました。かつてのフィッシングメールは、不自然な文法や誤字で見分けることができました。今やLLM（大規模言語モデル）が流暢で地域性のある自然な文章を生成し、AIが「存在しない人物」の顔写真を何十枚も作り出します——バカンスの写真も、ブランドバッグを持った日常のショットも込みで。

声のクローニング技術は、5年前なら映画の中だけの話だったような犯罪を現実にしています。2024年初頭、英国の大手エンジニアリング企業Arupの香港オフィスで、経理担当者がビデオ会議で「CFOと複数の同僚」から指示を受け、2,500万ドル（約36億円）を送金しました。画面に映っていた全員が、ディープフェイクでした。CrowdStrikeの「2026年グローバル脅威レポート」によれば、AIを活用したサイバー攻撃は前年比89%増。ネットワーク内への侵入から拡散までの平均時間は、わずか29分。最速の観測記録は——27秒です。

「守り」は「攻め」に追いつけるか

広告

広告掲載について

[email protected]

広告

なぜこれほど深刻な問題が、十分に議論されないのでしょうか。一つの答えは「慣れ」です。毎年更新される被害記録を、私たちはオンライン社会のコストとして受け入れてきました。しかし曲線は急勾配になっています。デロイトは、生成AIが関与する詐欺被害が2027年までに米国だけで400億ドルに達すると予測しています。

防衛側も手をこまねいているわけではありません。金融機関はAIによる不正検知を導入し、FBIは昨年、詐欺で奪われた数億ドルの凍結に成功しています。マーウィック氏は、かつてスパムがほぼメールを壊滅させかけながらも、技術・法律・社会適応の組み合わせで「ある程度」制御された歴史に希望を見出します。

しかし、会議での全体的な空気は暗いものでした。元NSA（国家安全保障局）サイバーセキュリティ局長のロブ・ジョイス氏はこう述べました。「私たちは今、攻撃側の能力が防御側を大きく上回る時間的な窓に入りつつある」。マーウィック氏はさらに率直でした。「正直に言えば、かなり悲観的です」。

日本にとって、この問題は決して「海の向こうの話」ではありません。日本は高齢化社会であり、60代以上の人口が特に詐欺被害を受けやすい層と重なります。また、慢性的な労働力不足を背景にリモートワークの導入が進む日本企業にとって、「合成顔を使った偽装就職」のリスクは現実的な脅威です。ソニー、トヨタ、任天堂といったグローバル企業が海外からリモート採用を行う際、採用プロセスの信頼性をどう担保するかは、今後の重要な経営課題になり得ます。

ロマンス詐欺が示す、技術だけでは解けない問題

最も見えにくい被害の一つが、ロマンス詐欺です。孤独や人生の転換期にある人を標的に、「愛している」と信じさせながら時間をかけて貯金を奪う——マーウィック氏の研究によれば、被害者は直接的な証拠を見せられても、詐欺だと認めようとしないことが多いといいます。AIは感情的な操作をより精巧にします。どんなスパムフィルターも、自ら進んでお金を送る人を守ることはできません。

この記事を書いている最中、記者自身にも一つの出来事がありました。知人から届いたメールに、Paperless Post（招待状サービス）らしきリンクが含まれていました。文章が少し不自然でしたが、リンク先のページはロゴまで本物そっくりでした。「本物？」と知人に確認すると「本物だよ」と返信が来ました。しかし数分後、知人から「ハッキングされていた」という連絡が届きました。「本人確認」すら、もはや確認にならない時代です。