ディープフェイクに対する信頼性の検証

現実ではなかった電話

2024年初頭、エンジニアリング会社Arupの財務担当者が、ごく普通のビデオ通話に参加しました。CFOも同席していました。同僚もいました。指示が出され、その従業員はそれに従って、香港オフィスから2億香港ドル（約2500万米ドル）を送金しました。この通話に参加していた人物は、誰一人として実在しませんでした。すべての顔と声は合成されたものでした。会議自体が詐欺であると誰かが気づく前に、お金は消えていました。

この単一の事件は、何年にもわたる抽象的なサイバーセキュリティに関する説明よりも、経営幹部の注意を集中させることになりました。それは、ディープフェイク詐欺がもはや騙されやすいターゲットや粗雑な台本を必要としないことを示しました。必要なのは、説得力のあるビデオ通話と、もっともらしい指示だけです。財務、法務、およびCXのリーダーにとって、Arupは略語となりました。それは、なりすましが目新しさから業務上の脅威へと移行したことを証明する事例です。

なぜ検証がデザインの問題になったのか

以前、本人確認はバックグラウンドのインフラでした。パスワード、セキュリティの質問、時折のコールバックなどです。それは体験の裏側にあり、何か問題が起こらない限り目に見えませんでした。ディープフェイク詐欺はこのモデルを破壊します。なぜなら、偽造されるものがもはや資格情報ではないからです。それは人物そのものです。声です。その人物がもっともらしく言うであろうことを画面上で言う顔です。

これにより、検証は技術的な管理から、顧客および従業員体験のデザインされたレイヤーへと移行します。課題は、単に詐欺を検出することではありません。それは、誰かに自分が名乗る人物であることを証明するよう求めるタイミングと方法を決定することであり、相手に疑われていると感じさせないことです。尋問のように感じる検証ステップは、保護するために存在する信頼を損ないます。CFOが、自分のスタッフに対しても繰り返しCFOであることを証明しなければならない場合、その確認は保護ではなく、摩擦や疑念として経験されます。

ディープフェイクが引き起こす問題は、人々が騙されることではありません。それは、本物を含む誰もが、自分が偽物ではないことを証明しなければならなくなったことです。

ツールはすでに消費者の手に

Arupの事例が例外ではなく、むしろ兆候である理由の一つは、そのアクセシビリティにあります。市販の音声クローンソフトウェアは、短い音声サンプル（数秒、数時間ではない）から人物の話し方を再現できるようになりました。これにより、コールセンター、家族、役員秘書などを標的としたなりすまし詐欺の障壁が低くなります。かつてはスキルと計画が必要だった詐欺が、今では録音と市販のソフトウェアだけで可能になりました。

このアクセシビリティはCXデザインにとって重要です。なぜなら、脅威が役員レベルの詐欺に限定されないことを意味するからです。ビデオ通話でCFOを偽造したのと同じ技術が、サポートラインで顧客の声を、あるいは緊急通報で家族の声を偽造することができます。声や顔を本人確認の証拠として信頼するあらゆるチャネルが、今や危険にさらされています。

規制はゆっくりと追いついている

複数の市場の金融規制当局および標準化団体は、2024年と2025年に合成メディア詐欺に関する協議を開始しました。これは方向性を示唆しています。現在、個々の企業の裁量に任されている検証義務は、正式な要件となる可能性が高いです。今日、多層的な検証を任意の強化策と見なしている組織は、明日には、自分たちのスケジュールではなく、他者のスケジュールでそれが義務付けられることになるでしょう。

企業にとって、規制を待つまでもなく、計算はすでに厳しいものです。一度のディープフェイク詐欺の成功は、数千万ドルの損失をもたらし、パートナーや顧客が業務および財務プロセスを信頼する方法に永続的な損害を与える可能性があります。Arupの損失は単なる費用項目ではありませんでした。それは、見ているすべての人々に対し、同社の検証プロセスに、偽造されたCFOが通り抜けられるほどの大きな隙間があったことを示すものでした。

摩擦のない保護を設計する

現実的な答えは、真にリスクの高い瞬間（多額の支払い、口座変更、役員の承認、コールセンターでのエスカレーションなど）に集中した、多層的で摩擦の少ない検証です。行動生体認証、独立して検証されたチャネルを介したコールバックプロトコル、およびマルチチャネル確認は、それぞれ、すべてのインタラクションをチェックポイントに変えることなく、保証の層を追加することができます。

これを正しく実行できる可能性が最も高い組織は、一度にすべての場所に検証を展開することはありません。彼らは、詐欺が最も重大な結果をもたらすタッチポイントで多層的なチェックを試験的に導入し、顧客や従業員がそれらのチェックをどのように経験するかを学び、摩擦が後付けではなく設計によって排除されてから初めて拡大するでしょう。適切に行われた検証は、デフォルトであなたを疑う会社ではなく、あなたの保護を真剣に考えている会社のように感じられるはずです。