Arupで約2500万ドル詐欺、専門家が示す対策の限界

2024年1月、Arupで役員になりすましたAIクローンを使う詐欺が発生しました。
偽のビデオ会議を通じて、第三者の口座へ約2500万ドルが送金されました。
専門家は、顔や声による本人確認やディープフェイク検知への依存に限界があると指摘しています。
高額取引や採用などでは、昔ながらの確認手順を組み合わせる重要性が増しています。

記事の概要

Arupの従業員は2024年1月、CFOらが参加していると信じたビデオ会議に出席しました。
会議後、第三者の口座へ総額約2500万ドル、約40億円に上る送金が15回行われました。
画面上の参加者は、Arup役員の公開発言や決算説明会の音声・映像から生成されたAIクローンでした。
GrackerAIのDeepak Gupta氏は、姿や声だけでは本人の証明にならないと説明しています。
ユニバーシティ・カレッジ・ロンドンの2023年調査では、参加者の識別正解率は約73％でした。
デュースブルク・エッセン大学とインディアナ大学が2024年に56件の研究を分析した結果、人間の識別精度は偶然と同等でした。
専門家は、検知技術や従業員の直感だけでなく、複数の確認手順を組み合わせる必要があるとしています。
KnowBe4では2024年、偽装した北朝鮮の工作員を採用し、社用PCからマルウェアをアップロードされる事案も発生しました。

記事のポイント

1. 顔と声を信頼しない： 高額送金や機密情報の共有では、映像や音声だけで本人確認を完了させない運用が必要です。
2. 自動検知にも限界： NSA、FBI、CISAは、改ざんの痕跡を示す自動検知プロトコルへの依存に警鐘を鳴らしています。
3. 採用も攻撃対象： ディープフェイクは金銭詐欺だけでなく、偽装人材を通じた長期的な企業システム侵入にも使われています。

このニュースがもたらす影響

• 高額取引企業： 財務担当者は、映像や音声での確認を承認の完了条件にせず、複数人による別経路の確認を組み込む必要が高まりそうです。
• 採用担当部門： 採用担当者は、面接や身元調査だけで信頼を確定せず、入社後の端末・システム権限を段階的に付与する設計を検討することになりそうです。
• セキュリティ事業者： セキュリティ事業者は、ディープフェイク検知の精度だけを訴求するのではなく、検知失敗を前提に業務手順まで含めた対策を示す必要がありそうです。

このニュースの背景

高額取引や機密情報の共有では、相手の顔や声を確かめることが本人確認の手段として使われてきました。
一方、ディープフェイクの生成技術が進み、従来見分けやすかった人工的な音声処理などの特徴が通用しにくくなっています。
調査では人間の識別精度に限界が示され、NSA、FBI、CISAも自動検知への依存に警鐘を鳴らしています。

関連するニュース

• FDXが最大100業務のAI化可能性と削減額を1日で診断し、2営業日で報告するサービスを開始しました。
• NexusAdvisorsがAIエージェント専用求人媒体AVACAREERに向け5000万円を調達しました
• Miyabeeが中小企業向けに、AI構築と3年間の定着支援を組み合わせた「まるごとAX」を提供開始します

詳しい記事の内容はこちらから（引用元）

ZDNET Japan

AIのディープフェイクには昔ながらの対策が効果的--専門家の見解

AIを悪用するなりすましは、もはや予測可能な兆候が見られないほど高度化している。セキュリティの専門家らは、一見古風に見え…