INSIGHT
社長の声でも、手続きへ戻る——AIなりすましに備える本人確認
失礼になりそうな場面でも、本人と依頼の権限をどう確認するか。
夜間、社長から音声メッセージが届く。「今すぐ新しい口座へ送金してほしい。取引先には内密だ」。声も話し方も本人らしい。担当者がためらうのは、偽物を見分けられないからだけではない。役職者へ確認を求めることが、信頼していない態度に見えるからだ。
この迷いを、社員の勇気や耳の良さへ預けてはいけない。本人らしい声が作られる可能性があるなら、声の真偽を決める前に、会社が管理する本人確認と承認の経路へ戻る。「社長でも同じ手続き」と先に決めておけば、確認は反対や疑念ではなく、通常の仕事になる。
役職者の顔や声を確認できたように見えても、重要な依頼は確定しない。登録済みの連絡先、申請、権限、二人目の承認へ戻る。
本人らしさと、依頼を実行する権限を分ける
重要な依頼では、三つの確認がある。第一は、連絡している相手が本人か。第二は、その本人が本当にこの内容を依頼したか。第三は、その人に、この金額や情報、操作を単独で承認する権限があるかである。
声や映像で本人に見えたとしても、第二と第三は終わらない。本人が口座番号を言い間違える、転送された資料に別顧客の情報が混ざる、決裁上限を超える、といった問題は、なりすましでなくても起き得る。本人確認だけを強くし、内容と権限の確認を外さない。
対象にする依頼を、役職ではなく影響で決める。送金、新しい口座への変更、顧客・取引先の秘密資料の送付、認証コードの共有、権限付与、契約や公開の確定などである。これらは、相手が社長、取締役、取引先責任者、いつもの上司の誰であっても、同じ入口から確認する。
別経路確認とは、依頼が来た電話、メール、会議、メッセージとは別に、会社が事前登録した連絡先や申請経路で本人と内容を確認することだ。メッセージ内で指定された番号やリンクは、別経路には数えない。
注意喚起を、日本企業の発生率へ読み替えない
FBIのInternet Crime Complaint Centerが2025年12月19日に更新した高官なりすましに関する注意喚起 は、米国の政府高官などを装い、テキストやAI生成音声で接触する活動を説明している。海外送金、個人情報や旅券の写し、認証コード、知人の連絡先を求める例が挙げられている。
同資料は、相手の番号や組織を調べ、本人の電話番号を独立して特定して確認すること、新しい連絡先なら以前から確認済みの経路や信頼できる情報源で確かめることを勧める。画像や音声の不自然さを見る方法も紹介するが、生成物は識別が難しい場合があるとも述べている。
これは米国の特定の観測と一般向け注意喚起である。日本企業で同じ依頼が発生する割合、特定の役職が狙われる確率、音声判定の成功率を示す資料ではない。FBIが挙げるすべての手順を、そのまま会社の義務として扱うこともできない。
自社へ持ち帰れるのは、依頼に含まれた連絡先へそのまま応答せず、以前から管理する経路へ戻るという考え方である。具体的な承認方法は、自社の規程、金融機関、契約、扱う情報に合わせて決める。
「声の特徴を見破る」ことを本人確認の中心にしない。見破れなくても止まる手続きを中心にする。
急ぎの依頼でも、既定の確認へ戻る言葉を用意する
急ぎの依頼を受けたとき、自分が使う確認の言葉を用意しておく。ただし、存在しない承認規則をその場で作るのではない。会社の既定手順と登録連絡先を確かめ、その条件を相手へ短く伝える。
「重要な変更なので、登録済みの連絡先と申請記録で確認します」「社内手順に従って、必要な承認を確認します」「確認完了時刻をお知らせします」。この言い方なら、声が偽物だと主張せず、依頼内容への反対もせず、会社の処理条件を説明できる。
役職者側にも、急ぎの連絡をしたときに折り返しや二人目の確認が入ることを共有する。本人が「私の指示なら省いてよい」と例外を求めれば、担当者は次回から止められない。経営者自身が、確認を受ける役割を引き受ける必要がある。
確認の結果、本物の依頼だったとしても、担当者を責めない。手続きが動いた記録として扱う。確認に時間がかかる業務なら、代行承認者、金額別の経路、営業時間外の連絡先を整え、速度の問題を手続きの改善として扱う。
緊急時の代行と保留を、先に決める
「登録番号へ折り返す」という手順だけでは、夜間や出張中に本人へ届かないと止まる。管理側は高影響の依頼について、本人不在時の代行者、二人目の承認者、保留できる時間、翌営業日の引継ぎ先を決める。連絡がつかないことを、確認を省く理由にしない。
たとえば口座変更なら、変更依頼を受け付けても、登録と送金を同時に確定しない。取引先の登録窓口へ既知の番号で確認し、社内の変更承認を得る。機密資料の送付なら、本人確認後も、宛先、資料、共有期限、受領者の権限を確認する。認証コードは、本人らしい依頼でも渡さない運用にできる。
保留記録には、依頼内容、最初の経路、確認に使った登録先、回答、確認者、承認状態、次の時刻を残す。機密性を理由に、記録そのものを残さない扱いにしない。閲覧者を絞りながら、後で手続きの有無を確認できるようにする。
連絡先を変更してほしいという依頼にも、この確認を適用する。不審なメッセージに従って社内名簿を書き換え、その新しい番号へ折り返しても、独立した確認にはならない。変更前の確認済み経路や管理担当を通じて、登録情報そのものの更新を確かめる。
緊急時の例外は「確認しなくてよい」ではなく、「誰が代行し、いつまで保留し、どこへ引き継ぐか」で作る。
訓練は、偽の声を当てる試験にしない
管理側が本人確認の訓練を行うとき、社員に本物と偽物の音声を聞き分けさせても、実務の手続きは確かめられない。実際の資金や情報を動かさず、役員名義の新しい番号から緊急依頼が届いた場面を作り、登録連絡先、申請、代行、保留を使えるかを見る。
評価するのは、声を見抜いたかではない。依頼を確定する前に手続きへ戻れたか、登録連絡先が最新か、二人目の承認者へ届いたか、保留中の案件を引き継げたか、確認記録を残せたかである。役員や管理職も確認を受ける側として参加する。
上司、財務、情報管理、システム管理と合意するのは、対象となる依頼、使う登録情報、二人目の承認、時間外の代行、保留の上限、記録の閲覧範囲である。通信手段や組織図、権限表が変わったときは、連絡先だけでなく訓練も更新する。
社長からの依頼でも、登録済みの連絡先と承認手順へ戻る
声や顔が本人に見えることは、連絡相手を判断する一つの手掛かりにすぎない。会社が重要な依頼を実行するには、本人、内容、権限をそれぞれ確認する必要がある。
次の依頼に備え、自分の担当業務で使う登録連絡先、承認記録、連絡できないときの引継ぎ先を確認したい。自然な声かどうかを一人で判定せず、既定の手順へ戻る。手順が見つからなければ、管理担当へ相談し、確認できない操作を保留する。