詐欺クロ特別編① 38億円を動かした「偽のオンライン会議」

俺の名前はトコヤミ。香港にある多国籍企業で、財務の仕事をしている。華やかな仕事ではない。請求書と数字を確認し、必要な承認を取り、指定された口座へ金を動かす。ひとつ入力を間違えれば、会社に大きな損害を与える。だから俺は誰かに急かされても、必ず手を止める。送金先の名義が一文字違えば確認する。いつもと違う人物から指示が来れば、本人に連絡する。「極秘」「至急」「今すぐ」。そんな言葉が並んでいるほど、簡単には信用しない。

自慢ではないが、俺は慎重な人間だ。

少なくとも、あの日まではそう思っていた。

すべては一通のメールから始まった

差出人は英国本社の最高財務責任者。社内ではCFOと呼ばれている人物だった。世界各地の拠点を統括する幹部で、俺のような一担当者が直接やり取りする機会はほとんどない。

件名にはこう書かれていた。

極秘取引について

本文によると、会社はある重要な取引を進めているらしい。交渉はすでに最終段階に入っており、香港側から複数の口座へ資金を移す必要があるという。そして最後には念を押すように書かれていた。

この案件は厳格な守秘義務の対象である。
社内の人間にも話してはいけない。追って詳しい指示を出す。

俺は画面を見ながら、手を止めた。

署名は合っている。会社名も役職も間違っていない。文章にもそれほど不自然なところはない。それでも、何かが引っかかった。なぜCFOが俺に直接連絡してくるのか。なぜ通常の決裁手続きを通さないのか。そしてなぜ、送金の話より先に「誰にも話すな」と念を押すのか。

これは詐欺ではないのか、そう思った。

今振り返れば、この瞬間の俺は正しかった。判断を間違えたのは、そのあとだ。

オンライン会議

ほどなくして別の連絡が届いた。疑問があるなら、オンライン会議で説明する。メールには会議の時刻と参加用のリンクが記されていた。

俺は少し安心した。メールだけで送金を命じられたなら、処理を止めるつもりだった。だが相手の顔を見て話せるなら確認できる。本人なのか、本当にそんな取引が存在するのか。直接質問すればいい。それこそが最も確実な本人確認だと思っていた。

指定された時刻。俺はイヤホンをつけ、パソコンのカメラを起動した。リンクをクリックする。画面が切り替わる。数秒後、そこにCFOの顔が現れた。

何度も社内映像で見た顔だった。髪形も、眼鏡も、落ち着いた低い声も、俺の記憶と一致している。しかも参加者は彼だけではなかった。別の部署で働く、見覚えのある同僚たち。全員がそれぞれ別の場所から接続しているようだった。

「忙しいところ、ありがとう」

CFOが俺に言った。口元の動きと声に、目立ったずれはない。映像が一瞬だけ乱れたような気もしたが、オンライン会議では珍しくない。俺は軽く頭を下げた。

CFOは今回の取引について説明を始めた。まだ公表できない重要案件であること。交渉が最終段階に入っていること。成立させるためには、香港側から早急に資金を移す必要があること。彼が話している間、ほかの参加者たちは静かに頷いていた。一人が補足し、CFOがそれに答える。別の一人は、手元の資料らしきものを確認している。すべてが自然だった。少なくとも、俺にはそう見えた。

俺は、気になっていたことを質問した。

「通常の手続きと違うようですが、本当にこのまま進めて問題ありませんか」

CFOは少し笑った。

「慎重なのはいいことだ」

その言葉を聞いた瞬間、肩の力が抜けた。疑ったことを責められなかった。むしろ財務担当者として評価されたような気がした。何より俺以外の人間が誰も動揺していない。CFOも、同僚たちも、これが正規の取引であることを前提に話している。これだけの人間が参加している会議で、俺だけが詐欺を疑い続ける。次第にそんな自分のほうが、おかしいように思えてきた。

15回の送金

やがて送金先の情報が送られてきた。画面に表示された金額を確認する。決して小さな額ではない。俺は念のため、もう一度尋ねた。

「このまま進めてよろしいですか」

画面の中でCFOが頷いた。ほかの参加者も、こちらを見ている。

「進めてくれ」

短い言葉だった。俺は送金処理を開始した。一件目。口座番号を入力し、名義と金額を確認する。承認。二件目。三件目。送金先は一つではなかった。指示に従いながら、5つの銀行口座へ資金を振り分けていく。

途中で手を止めるたび、画面の中の誰かが説明を加えた。この口座は現地法人のもの。こちらは取引先が指定した口座。金額を分けているのは、手続き上の理由。俺が抱く疑問には、すべて答えが用意されていた。

一度目の送金が終わる。何も起きない。二度目も終わる。画面の中の人々は、変わらず落ち着いている。三度、四度と繰り返すうち、俺の中から最初の警戒心は消えていた。

気づけば、送金回数は15回に達していた。総額、2億香港ドル。日本円にして、およそ38億円。

最後の処理を終えると、CFOは満足そうに頷いた。

「助かった。ありがとう」

会議が終了する。画面が暗くなり、そこに自分の顔だけが残った。俺はイヤホンを外し、椅子の背もたれに体を預けた。

重要な仕事をやり遂げた、そう思っていた。疑わしい依頼に、何も考えず従ったわけではない。本人の顔を見た。声も聞いた。疑問点も質問した。複数の同僚が参加する会議で、内容を確認した。俺は必要な確認をしたうえで、正しく仕事を終えた。そのつもりだった。

そんな会議は開かれていません

数日後。取引の進捗を確認するため、俺は英国本社へ連絡した。ところが電話に出た担当者の反応は鈍かった。

「何の取引ですか」

最初は情報が共有されていないだけだと思った。極秘案件なのだから、知らない社員がいても不思議ではない。俺はCFOの名前を出した。オンライン会議で直接指示を受けたこと。複数の社員も同席していたこと。5つの口座へ、計15回の送金を行ったこと。

電話の向こうが静かになった。しばらくして、相手が言った。

「そのような会議は開かれていません」

意味が分からなかった。俺は会議に出席していた社員の名前を、一人ずつ挙げた。しかし誰も参加していなかった。最後にCFO本人への確認が行われた。返ってきた答えは同じだった。彼は俺にメールを送っていない。送金も指示していない。オンライン会議にも参加していない。

そんなはずはない。俺は彼の顔を見た。声を聞いた。質問をして返事も受けた。同僚たちは頷き、互いに言葉を交わしていた。あの場には確かに人がいた。

そう訴える俺に、調査担当者は静かに告げた。公開されている映像や音声をもとに、顔と声が作られた可能性がある......と。

最高財務責任者も、同僚たちも、俺に話しかけた声も、画面の中で交わされた会話も、すべて本物ではなかった。

あの日の会議を思い返す。一瞬だけ乱れた映像。不自然に短かった返事。質問に答えたあと、同じ表情に戻った同僚。そのときは気にも留めなかった小さな違和感が、今になって次々と浮かんでくる。

だがもう遅い。送金した2億香港ドルは、複数の口座へ移されたあとだった。

俺はもう一度、あの会議の参加者を思い出した。CFOがいた。同僚たちもいた。全員が俺を見ていた。それでも......あの会議に参加していた本物の人間は、俺ひとりだった。

ここまでの物語は、完全な創作ではない

2024年1月、香港にある多国籍企業で、実際に大規模なディープフェイク詐欺が発生した。

香港警察の発表によると、同社の財務担当者のもとへ、英国本社のCFOを名乗る人物から連絡が届いた。担当者は当初、その依頼を不審に思っていた。ところがその後に開かれたオンライン会議には、CFOだけでなく見覚えのある複数の同僚も参加していた。彼らの姿を見た担当者は、送金依頼が本物だと信用する。そして指示された5つの口座に合計15回、総額2億香港ドルを送金した。

会議に映っていた顔や声は、過去の映像・音声などから作られたディープフェイクだったとみられている。事件が発覚したのは、担当者が送金後に本社へ確認したときだった。英国の大手エンジニアリング企業Arupは、後に自社がこの詐欺の被害に遭ったことを認めている。ただし警察発表や報道では会議中の詳しい会話まで公表されていない。前半の物語は確認されている事件の経緯をもとに、トコヤミを被害者役として再構成したものだ。

そしてこの事件で最も恐ろしい点は、担当者がまったく警戒していなかったことではない。彼は最初、きちんと詐欺を疑っていた。それでも騙された。それはなぜだったのだろうか。

なぜ騙されたのか

1. 「顔を見た」という最終確認を突破された

怪しいメールが届いたとき本人へ確認する。これは今でも大切な対策だ。しかし今回トコヤミは犯人が用意したオンライン会議の中で、本人確認を終えたつもりになってしまった。顔が一致している。声も知っている。こちらの問いかけに反応する。この三つが揃えば、目の前にいる人物を偽物だとは考えにくい。

メールだけなら疑えた。音声だけでも警戒できたかもしれない。ところが映像が加わったことで、それまで抱いていた疑いが「考えすぎだった」という安心に変わってしまった。犯人は、本人の顔を偽造しただけではない。トコヤミが自分を守るために行った確認そのものを乗っ取ったのだ。

2. 一人ではなく、複数の同僚がそこにいた

もし画面にCFOしかいなければ、トコヤミは疑い続けたかもしれない。しかし会議には複数の同僚も参加していた。誰も驚いていない。誰も反対していない。全員がこの取引を当然のものとして受け入れている。

自分以外の全員が同じ現実を見ているように思えたとき、人は自分の違和感を引っ込めやすい。これだけの人が認めているのだから、自分の考えすぎだろうそう判断してしまう。

犯人たちが作ったのは、偽の顔や声だけではない。誰も疑っていないという、偽の会議の空気だった。

3. 「極秘」が相談相手を消した

詐欺ではしばしば「誰にも話すな」という指示が使われる。警察の捜査だから話してはいけない。会社の重要案件だから漏らしてはいけない。あなたの家族を守るためだから、本人にも確認してはいけない。理由は違っても、目的は同じだ。被害者を、周囲から切り離すこと。

今回のように重要な企業取引を理由にされれば、担当者は秘密を守ろうとする。しかし秘密を守っているつもりが、実際には犯人と一対一になる環境を作らされていた。「誰にも言うな」は、秘密を守るための言葉とは限らない。あなたを孤立させるための言葉かもしれない。

4. 一度送金すると、途中で止まりにくくなる

送金は一度ではなかった。5つの口座に対して、合計15回行われた。普通に考えれば、確認する機会が15回あったように思える。しかし心理的には、必ずしもそうではない。

一度目の送金を終えると、人は自分の判断が正しかったと思いたくなる。二度目、三度目と続くほど、「ここまで進めたのだから、この取引は本物だ」という感覚が強くなる。途中で疑い始めれば、それまでの自分の判断が間違っていたことを認めなければならない。行動を重ねるほど、引き返すことは難しくなる。15回の送金は、15回の確認機会ではない。一回ごとに疑い直す力を奪う仕掛けでもあった。

5. 映像は証拠になるという古い常識

俺たちは長い間、情報の信頼性をこう判断してきた。文章より、音声。音声より、映像。顔を見ながら話せたのなら、本人に違いない。

だが生成AIの登場によって、その順番は崩れ始めている。映像があるから本物とは限らない。声が自然だから本人とも限らない。複数の人間が同じ画面にいるから、会議そのものが実在するとも限らない。この事件で利用されたのは、AIだけではなかった。「顔を見れば確認できる」という、俺たちの常識だった。

現実の俺たちはどこで立ち止まればいいのか

1. 相手が指定していない方法で確認する

メールに記載されたリンクから会議へ参加し、その会議の中で本人を確認しても、確認にはならない可能性がある。連絡から送金まで、すべて犯人が用意した空間の中で完結してしまうからだ。重要な依頼を受けたら、一度その場所から外へ出る。社内に登録されている電話番号へかける。普段使っている社内チャットから連絡する。直属の上司や経理責任者へ確認する。犯人から渡された連絡先ではなく、以前から知っている経路を使うことが重要になる。

2. 顔や声ではなく、手続きで守る

ディープフェイクをその場で見破ることだけに頼るのは危険だ。映像の乱れ、口元と声のずれ、不自然な瞬き。そうした特徴は手がかりにはなるが、これから生成AIの技術が進めば見分けることはさらに難しくなる。だから必要なのは、「偽物を見抜ける人」になることではない。偽物を見抜けなくても、送金が成立しない仕組みを作ることだ。

たとえば一定額以上の送金は複数人で承認する。新しい口座への送金は別の経路で再確認する。口頭やオンライン会議だけの指示では処理しない。高額送金には一定の保留時間を設ける。通常と異なる取引では責任者へ直接確認する。社内だけで通じる確認用の合言葉を決めておく。個人の注意力には限界がある。最後に被害を止めるのは、勘の鋭さではなく手続きだ。

3. 「極秘」と「至急」が重なったら、あえて止まる

秘密にしなければならない。今すぐ行動しなければならない。この二つが同時に求められたときは、特に警戒したい。相談を封じたうえで、考える時間まで奪う。これは多くの詐欺に共通する構造だ。

本物の依頼であれば、確認のために数分止まっただけで、すべてが崩壊するとは考えにくい。もし「確認したら取引が台無しになる」と脅されたなら、その言葉自体を危険のサインとして扱ったほうがいい。

4. 最初に感じた違和感を、簡単に取り消さない

この事件の担当者は、最初のメールを不審に思っていた。その感覚は間違っていなかった。しかし、オンライン会議が始まったことで、最初の違和感を自分の中で取り消してしまった。

安心できる材料が後から現れても、最初の疑問が解決されたとは限らない。なぜ、自分に直接連絡が来たのか。なぜ通常の手続きを使わないのか。なぜ周囲に話してはいけないのか。相手の顔が本物に見えても、これらの疑問は残っている。違和感を覚えたら、その理由が一つずつ説明されるまで行動しない。本人らしき人が現れたことは、疑問への答えではない。

俺は騙された

俺の名前はトコヤミ。詐欺にはそれなりに詳しい。怪しいメールを見分ける方法も知っている。本人に確認することが大切なのも知っている。

それでも今回は、本人の顔を見たことで騙された。おそらく次の詐欺師も、最初から俺を信用させようとはしない。一度は疑わせる。そしてその疑いを、自分の手で解決したと思わせる。詐欺師が用意した答えにたどり着いたとき、俺はそれを確認できたと勘違いする。

本当に警戒すべきなのは、怪しいと感じた瞬間だけではない。「やっぱり大丈夫だった」と安心した、その瞬間なのかもしれない。

画面に映っている人物は、本当にそこにいるのか。その声は、本当に本人のものなのか。そしてその確認方法は......自分で選んだものなのか。それとも相手に選ばされたものなのか。

今回、俺は騙された。次はどんな顔をした詐欺師が現れるのだろう。次は......騙されない‼︎