INSIGHT
画面のCFOを信じ、約2億香港ドルを送金——香港の偽会議事件を一次資料で読む
画面の本人らしさ以外に、依頼を実行してよい根拠をどう確認するか。
映像会議に、英国本社のCFOに見える人物が現れる。話題は機密の取引で、会議後もメッセージで送金指示が続く。画面の顔と声が知っている人物に見えれば、「本人と会議した」という感覚が残る。
2024年、香港の偽会議事件は大きく報じられた。強い見出しだけを読むと、リアルタイムに会話する精巧な偽映像に担当者がだまされ、特定企業が巨額を失った話として記憶されやすい。ところが香港政府の回答を読むと、確認できる条件はもっと具体的で、報道から受ける印象と違う部分もある。
事件記事では、捜査当局が確認・推定したこと、報道で補われたこと、現在も分からないことを分ける。そのうえで、映像の真偽と送金承認を別の問題として自社へ持ち帰る。
香港政府の回答が記した、事件の流れ
香港政府が2024年6月26日に公表した立法会への書面回答 は、警察との協議に基づき、同年1月末に届け出られた事件を説明している。
回答によれば、通報者は英国にある本社のCFOを装ったフィッシングメールを受け取り、「機密取引」のためのグループ映像会議へ招かれた。その後、通報者は5つの香港内の銀行口座への資金移動を承認し、約2億香港ドルの損失を被ったとされる。警察は調査の結果、会議は、なりすまされた人物の公開映像と音声を使って生成された事前録画だったとみていた。
重要な条件がもう一つある。回答は、事前録画だったため、通報者と詐欺者の間に実際のやり取りはなかったと明記する。詐欺者は会議を終えた後、即時メッセージのソフトウェアで送金指示を続けたという。自然な会話を長時間交わし、その場で質問に答える偽の役員たちがいた、と政府回答から読むことはできない。
この公表は、事件発生直後の捜査記録そのものではなく、立法会の質問に対する政府回答である。その中で「警察が受けた届け出」「警察が調査の結果そう考えたこと」「被害として記載されたこと」を読み分ける。
報道で知られた名前を、一次資料の事実に混ぜない
この事件は報道で特定企業の事例として広く紹介された。しかし、香港政府の書面回答は被害企業名を公表していない。本稿では、報道上の企業名を、捜査当局がこの資料で確認した事実として扱わない。
同じ理由で、現在の資金回収額、容疑者の特定、起訴、判決、企業内の詳しい承認経路も、この一次資料からは確認できない。政府回答では、2024年6月26日時点で事件は警察の捜査中とされている。その後の状況を確認せず、「資金は戻らなかった」「犯人は処罰された」と補ってはいけない。
金額にも範囲がある。約2億香港ドルという数字は、この一事件で政府が説明した損失であり、同種事件の平均被害額や、日本企業で想定すべき損失額ではない。政府回答は別のディープフェイク関連事案や統計にも触れるが、それらを足して、一般的な増加率や成功率へ置き換えることもできない。
報道が事件を理解する助けになっても、報道で付いた企業名や後日談を、政府回答の確認事項として書かない。
映像の不自然さより、送金の根拠を見る
政府回答は、映像の異常を観察する、会話内容で真偽を試す、送金依頼を受けたら電話で確認するといった警察の注意点も紹介している。画面の違和感に気づくことは役に立ち得る。ただし、見た目が自然だったという理由で、会社の送金手続きまで完了したことにはならない。
この事件を自社へ当てはめる際は、「ディープフェイクを見破れるか」から始めない。送金依頼の受付、取引目的の確認、支払先口座の登録・変更、承認、実行という工程を分ける。どの段階で、会議やメッセージとは別に管理された情報へ戻るかを見る。
たとえば、会議招集に書かれた番号ではなく、社内名簿に登録済みの番号へ折り返す。会議内のCFOだけでなく、承認システム上の申請と二人目の承認者を確認する。初めての口座や、通常と異なる取引なら、取引先の登録窓口へ別に確認する。映像が本物でも、送金額、口座、目的を取り違える可能性は残るためである。
これは政府回答が企業へ命じた手順ではない。同資料で示された事件条件から、自社の送金承認へ戻す編集上の提案である。法令や金融機関の条件、自社の権限規程は別途確認する。
「機密」「急ぎ」が付く依頼を、例外にしない
事件では、機密取引という説明でグループ会議へ招かれ、その後の指示が即時メッセージへ移った。業務では、機密性や緊急性が高いほど、相談相手を増やしにくくなる。「他の人には言わないでほしい」「会議が終わったらすぐ実行してほしい」という条件が、通常の承認から外れる圧力になる。
そこで管理側は、機密案件にも使える少人数の確認経路をあらかじめ決める。利用者は、その経路がどこかを確認しておく。承認者が不在なら誰が代行するか、登録連絡先で本人へ届かない場合にどこまで保留するか、初回口座を誰が確認するかを明文化する。役職が高い依頼者ほど確認を省くのではなく、資金移動の影響で確認条件を決める。
担当者が保留したとき、処理が失敗した扱いにしない。依頼番号、金額、口座、最初の連絡経路、別経路の確認状況、次の担当を記録し、業務として引き継ぐ。「本当にCFOでしたか」という問いだけではなく、「会社の承認がどこまで終わっていますか」と聞ける状態を作る。
緊急依頼に強い運用は、偽物を瞬時に見抜く運用ではない。確認が終わるまで送金を保留し、正規の担当へ渡せる運用である。
同じ依頼が来たら、どの連絡経路と承認手順へ戻るか
同じような急ぎの依頼を受けたら、自分はどの登録連絡先へ戻り、どの承認記録を確認するだろうか。一次資料の事実と限界を分けたうえで、自分の担当する受付・口座確認・承認・実行の工程へ照らす。見えない記録や分からない手順は、送金を進める前に正規の担当へ確かめる。
管理担当へ確認したいのは、重要な送金・口座変更の対象範囲、登録連絡先の管理者、二人目の承認者、機密案件の相談先、連絡不能時の保留、確認記録の場所である。事件と同じ手口が自社に来るという予測は要らない。既存手続きが、顔や声の印象に置き換わらないかを確かめればよい。
訓練では、精巧な映像を作る必要もない。CFO名義の急ぎの依頼を受け、担当者が登録連絡先を探し、承認状態を照合し、連絡がつかない場合に保留を引き継げるかを試す。事件の再現ではなく、自社の手続きの動作確認である。
訓練用の依頼は、実際の銀行操作や外部への連絡につながらない場所で扱う。確認できず保留した案件にも引継ぎ先を置き、「怪しいと気づいた」で訓練を終えない。
画面の本人らしさではなく、別の連絡経路と承認手順で送金を確かめる
香港政府の回答が描くのは、リアルタイムの自由な対話ではなく、事前録画の会議と、その後のメッセージによる送金指示だった。約2億香港ドルという被害は確認できる一方、企業名、回収、判決は同資料では分からない。
まず、自分が依頼を受けたときに戻る連絡先と、確認すべき承認記録を探しておきたい。所在が分からなければ、経理や管理の窓口へ確認する。依頼者の顔や声が自然でも、確認できない実行は保留し、決められた担当へ渡す。その行動を支える材料として、事件を読める。