AI詐欺は声より「経路」を疑う——個別化メール・音声・代理操作から作る本人確認票

生成AIを使った詐欺への対策というと、「不自然な日本語を探す」「声が機械的か聞き分ける」といった見破り方が先に挙がります。しかし、2026年10月に相次いで報告された研究は、その前提が弱くなっていることを示しました。公開情報から一人ずつ文面を変えたメールは、全員へ同じ文面を送る場合よりクリック率が上がりました。AI音声を使った詐欺電話では、声の人間らしさより、緊急性や人間関係へ訴える筋書きの方が反応を左右しました。

さらに、AIエージェントが利用者の代わりにWebや金融サービスを操作する時代には、本物の利用者が自ら認証情報を外部の道具へ渡してしまう問題も加わります。攻撃者が偽物を送る場合と、本人が便利さのために代理操作を許す場合は別の出来事です。それでも、相手の正体、許した操作、確定した人を後から区別できなくなる点は共通しています。

必要なのは、AIらしさを当てる能力だけではありません。届いた連絡と、本人へ確かめる連絡を別の経路にし、送金、認証情報、契約変更、個人情報の開示をその場で完了させない設計です。本記事では、個別化メール、音声詐欺、AI代理操作という三つの動きをつなぎ、日本の家庭と職場で使える「本人確認票」へ落とします。

パソコンとスマートフォンで届いた連絡の経路を確認する場面

結論——内容を疑う前に、受信・確認・実行を分けます

AI詐欺対策の中心を、「本物らしいか」から「別経路で確認できるか」へ移すべきです。文章が自然でも、家族と同じ声でも、会社名や担当案件を知っていても、それだけでは送金や情報開示の根拠になりません。反対に、言い間違いや音質の悪さだけで正規の連絡を拒めば、支援が必要な人や通信状態の悪い相手まで排除します。

高影響の依頼は、次の四段階へ分けると扱いやすくなります。

受信では、相手が何を知っているかではなく、どの経路から届いたかを記録します。
確認では、受信したメッセージ内の電話番号やリンクを使わず、登録済みの連絡先へ戻ります。
承認では、金額、宛先、期限、目的、取り消し方法を別の人または別の画面で照合します。
実行では、送金や設定変更の直前に、誰が確定したかを記録します。

この分離は、全ての連絡を疑って仕事を止めるためではありません。読むだけ、相談するだけ、下書きを作るだけの連絡は速く進め、戻しにくい操作だけを別経路へ移すためです。攻撃者が文章、声、公開情報を組み合わせても、確認経路まで同時に支配できなければ被害を止められます。

個別化メールは、公開情報を「本人らしさ」へ変えます

ITmedia NEWSが紹介したベルリン工科大学などの研究では、大学職員7741人を対象に、大規模な個別化フィッシングの影響を調べました。研究チームはメールアドレスを検索し、公開Webページから経歴や所属を抽出しました。公開情報が見つかった4010人のうち3310人へ、それぞれに合わせた差出人と文面のメールを送っています。

全員へ同じ文面を送る一般的なメールのクリック率は3.9％でした。LLMで個別化したメールは10％で、研究では2.74倍と報告されました。専門家が手作業で作った個別メールの24.2％には届きませんでしたが、AI側は約4000通の作成に約50時間、一通当たり約0.03ドルだったとされています。最も高い成功率ではなく、一定の説得力を低コストで広げられることが重要です。

この研究を「公開プロフィールを全て消すべきだ」と読むのは適切ではありません。研究では、公開情報が多い人ほど単純にだまされやすいという結果ではなく、情報が少ない層や中程度の層で反応が高い傾向も報告されました。職務上の連絡先、研究成果、登壇歴、採用情報は、社会や仕事に必要な公開情報です。公開量だけを減らせば安全になるとは限りません。

変えるべきなのは、公開情報を本人確認へ使う方法です。所属部署、上司の名前、取引先、出張先、家族構成を相手が知っていても、それらは「秘密の合言葉」ではありません。検索できる情報、過去の漏えい情報、SNSの投稿、公開コミュニティでの会話を組み合わせれば、相手は会ったことがあるように振る舞えます。

職場では、次の情報を本人確認の材料から外します。

氏名、役職、部署、会社の電話番号です
公開された案件名、イベント名、登壇予定です
SNSで分かる出張、休暇、趣味、家族の予定です
メール署名、過去の公開資料、よく使う表現です
相手から先に提示された社員番号や顧客番号です

これらは会話を始める材料にはなりますが、支払先変更やファイル共有の承認には使いません。確認には、社内名簿へ登録済みの番号への折り返し、業務システム内の承認、対面で決めた確認語、二人目の承認など、受信内容から独立した経路を使います。

AI音声は、声を見抜く試験より筋書きを止める設計が必要です

ITmedia NEWSが紹介したハーバード大学やMetaなどの研究は、6種類のAI音声モデルと人間の声を使い、米国の成人4100人の反応を比較しました。カード会社やGmailのサポート、寄付、警察を名乗る保釈金要求、危機に陥った姉妹を装う依頼など、五つのシナリオが使われています。

AI音声による要求へ「応じる」または「分からない」とした割合は、全シナリオ平均で16.5％でした。クローン音声で危機に陥った姉妹を装うシナリオでは36.1％が応じる可能性を示しました。一方、反応を左右したのは声の人間らしさだけではありません。研究では、緊急性や同情を使う筋書きと伝え方の影響が大きいとされています。

参加者がAI音声をAIだと正しく判定できた割合は約7割でした。さらに、人間の声を聞いた人の約67％がAIだと誤判定したと報じられています。AIを頻繁に使う人と使わない人の間でも、見抜く精度に明確な差は見られませんでした。この条件では、「AIに慣れれば耳で判定できる」という教育だけでは足りません。

研究は録音または文字起こしを聞いて反応を評価したもので、実際の詐欺被害率をそのまま示すものではありません。それでも、声質の判定を唯一の防御にしない理由にはなります。電話の相手が本物か偽物かを、その電話の中だけで決めない運用が必要です。

家庭では、家族から緊急の送金依頼が来た場合の順序を先に決められます。

いったん電話を切ります。
連絡帳へ以前から登録してある本人の番号へかけ直します。
本人につながらなければ、別の家族や所属先へ確認します。
相手が指定した口座、暗号資産、ギフトカードにはその場で送金しません。
警察、銀行、通信会社を名乗る場合も、公式サイトやカード裏面の番号から連絡します。

合言葉を決める方法もありますが、それだけに依存しません。合言葉が過去のメッセージに残っていたり、家族全員へ共有され過ぎたりすれば、秘密ではなくなります。登録済み番号への折り返し、別の家族、送金保留という複数の手順を組み合わせます。

オンライン決済や口座操作の前にスマートフォン上の情報を確認する場面

公開範囲の変更は、将来の個別化材料を増やします

個別化フィッシングは、検索できる情報を材料にします。そのため、SNSだけでなく、参加しているコミュニティの公開範囲も安全設計に含める必要があります。

ITmedia NEWSの報道によると、Discordは一部の公開コミュニティについて、会話の自動要約を11月16日から、投稿本文を12月中旬からWeb検索の対象にする計画を発表しました。対象は、メンバー1000人以上で招待なしに参加できる「Discoverable Server」で、6万3000以上あるとされています。招待制サーバーやDM、グループDMは対象外です。

公開チャンネルの知識を検索しやすくすることには価値があります。ゲーム攻略や技術的な解決策が、閉じた検索画面の外から見つかるようになるためです。一方、日本を含む一部地域では投稿本文のWeb公開が初期設定でオンになると報じられました。ユーザー名やアバターを表示しなくても、発言内容、所属、出来事の時刻、独特の言い回しを組み合わせれば、個人や関係性を推測できる場合があります。

ここで重要なのは、「公開サーバーに書いたのだから自己責任」で終わらせないことです。コミュニティ内で閲覧できる状態と、検索エンジンから断片が見つかる状態では、到達範囲、保存期間、文脈の失われ方が違います。投稿者が想定した観客と、後から検索する人の範囲が変わります。

組織やコミュニティの管理者は、公開設定を一度選んで終わりにせず、次の三層を分けます。

層	主な内容	推奨する扱い
検索公開	製品資料、公式回答、一般的な手順	検索される前提で整理し、更新日と責任者を示します
参加者公開	雑談、途中の質問、利用者同士の相談	Web検索とは分け、転載や要約の条件を示します
限定共有	個別事情、障害、健康、安全、顧客情報	招待、権限、保存期間、削除手順を設定します

公開済みの情報を完全に回収できるとは限りません。検索キャッシュ、引用、スクリーンショットが残るためです。そのため「消せたか」だけでなく、今後どの情報を本人確認へ使わないかを決める必要があります。公開情報が増えたことを前提に、認証側を強くする考え方です。

AIエージェントへパスワードを渡すと、正規利用と不正利用の境界が崩れます

攻撃者が偽の連絡を送るだけでなく、利用者自身がAIへ強い権限を渡す場面も増えています。TechCrunchの報道によると、Bank of Americaは顧客へ、利用者名とパスワードを他人や外部サービスへ共有せず、代理操作を申し出るAI対応ツールやエージェントにも渡さないよう注意を促しました。

認証情報をAIへ直接渡すと、三つの境界が曖昧になります。第一に、銀行から見て本人の操作と外部エージェントの操作を区別しにくくなります。第二に、エージェントが意図を超えた操作をしたとき、誰が承認したかを説明しにくくなります。第三に、エージェント側の脆弱性や情報漏えいが、金融口座への入口になります。

これは、AIによる代理購入や家計支援を全て禁止する話ではありません。必要なのは、パスワードを渡して人間と同じ権限でログインさせる方式から、用途を限定した正式な代理経路へ移すことです。

望ましい代理経路には、少なくとも次の条件があります。

金融機関やサービスが正式に提供する認可画面を使います。
残高の読み取り、候補作成、購入確定、送金を別権限にします。
金額、宛先、回数、期間へ上限を設けます。
実行直前に本人が確認する操作を残します。
いつでも権限を失効でき、操作履歴を取得できます。
エージェントが停止しても、人が通常の画面から続けられます。

以前のAIエージェント向け「代理アクセス証」の記事では、依頼者、目的、操作、回数、期限を一件ごとに示す方法を整理しました。今回の本人確認票は、その手前にある「誰から届いた依頼を、どの経路で本人の意思として受け入れるか」を扱います。二つをつなぐと、連絡の正しさと操作権限の正しさを分けて記録できます。

日本の職場向け「本人確認票」は十欄で始めます

全ての電話やメールへ複雑な票を作る必要はありません。送金、口座変更、認証情報、個人情報、契約、公開、設備停止など、戻しにくい依頼だけを対象にします。

欄	記録する内容
依頼内容	何を、いつまでに、どの状態へ変えるか
受信経路	メール、電話、チャット、対面、業務システム
提示された根拠	氏名、案件、口座、緊急事情、添付資料
公開情報との重なり	WebやSNSで第三者も知り得る項目
影響	金額、対象人数、公開範囲、停止時間
確認経路	登録済み番号、公式窓口、社内承認画面
確認した事実	本人、目的、宛先、金額、期限
承認者	実行者と分けた最終承認者
停止条件	不一致、急かし、経路変更、再試行上限
復旧	取消先、凍結、報告、顧客連絡、記録保存

「提示された根拠」と「確認した事実」を分けることが重要です。メールに正しい案件名が書かれていても、それは相手が知っていた情報にすぎません。登録済み番号へ折り返し、本人が依頼内容を認め、業務システム上の承認と一致して初めて確認済みにします。

また、本人確認票を個人の注意力評価へ使わないことも大切です。忙しい人、外国語話者、高齢者、音声や視覚の支援を使う人が不利にならないよう、複数の確認方法を用意します。電話が難しい人には公式チャットや対面、画面操作が難しい人には家族や職員を含む二者確認を提供します。

AI安全対策の「誤通過」と「誤遮断」を同時に測る記事で示したように、危険な依頼を通した件数だけでなく、正当な利用者を止めた件数と復旧時間も測ります。厳しい確認を増やし過ぎて、顧客や職員が非公式な連絡へ逃げれば逆効果です。

連絡経路、確認経路、承認者をチームで整理する会議

家庭では「緊急連絡の出口」を一枚にします

家庭向けには、十欄の票をもっと短くできます。冷蔵庫の横や家族の共有ノートへ、次の四つだけを置きます。

緊急の送金依頼を受けたら、一度切ることです。
本人へかけ直す登録済み番号です。
本人につながらない場合に確認する二人目です。
銀行、警察、通信会社へ自分から連絡する公式窓口の探し方です。

番号を印刷するときは、受信したメッセージからコピーしません。カードの裏面、契約書、公式アプリ、自治体や警察の公式案内から登録します。家族の電話番号を変更した場合は、旧番号を消すだけでなく、本人同士で新番号を確認します。

高齢の家族へ「AIの声に気をつけて」とだけ伝えると、正規の電話まで怖くなる可能性があります。「声を当てなくてよい」「切って、いつもの番号へ戻ればよい」と説明する方が実行しやすくなります。緊急を装う相手が通話を切らせない場合、それ自体を停止条件にできます。

家庭でAIを禁止せず相談の出口を作る記事で扱ったように、家族支援を秘密の監視へ変えてはいけません。本人が相談先を選べること、家族が不在でも銀行や公的窓口へ戻れること、誤って応じた場合も責めずに凍結と報告へ進めることが重要です。

30日で「見破る教育」を「戻れる経路」へ変えます

第一週は、過去三カ月の高影響依頼を集めます。支払先変更、パスワード再設定、個人情報の送付、契約更新、公開承認、緊急停止を選び、どの経路から届き、どこで確認したかを整理します。被害がなかった事例だけでなく、迷った事例と正当な依頼を止めた事例も含めます。

第二週は、確認経路を登録します。取引先の代表番号、担当者の社内名簿、金融機関の公式窓口、家族の登録済み番号を整備します。メール本文やチャット内のリンクを押さずに到達できるよう、ブックマーク、社内ポータル、カード裏面など入口を分けます。

第三週は、三つの訓練をします。自然な個別メール、家族の声に似た緊急電話、AI代理操作を申し出る便利なサービスです。見破れたかではなく、いったん止め、別経路へ戻り、正規の依頼なら完了できたかを測ります。

第四週は、本人確認票を高影響業務へ適用します。確認にかかった時間、停止件数、正当な依頼の復旧時間、二者承認の抜け、非公式経路への迂回を見ます。手順が長過ぎる場合は、影響の小さい操作を簡略化し、送金や権限変更のように戻しにくい操作へ確認を集中します。

見るべき指標は次の通りです。

高影響依頼のうち、受信経路と確認経路を分けた割合です
受信したリンクや番号を使わずに確認できた割合です
本人確認前に実行された件数です
正当な依頼を誤って止めた件数と復旧時間です
同じ人が依頼、承認、実行を兼ねた件数です
AIエージェントへ共通パスワードを渡した件数です
事故後に口座凍結、権限失効、顧客連絡を完了するまでの時間です

クリック率だけを下げるのではなく、クリック後や通話中でも戻れる経路を作ります。最初の一回を完全に防げなくても、送金、権限変更、情報開示の前に止められれば被害を縮小できます。

出典

まとめ——本物らしさではなく、戻れる道を信頼します

AIで個別化されたメールは、相手が自分をよく知っているように見せられます。AI音声は家族や担当者らしさを演出でき、緊急性や同情を使って考える時間を奪います。公開コミュニティの検索範囲が広がれば、文面へ使える断片も増えます。さらに、正規の利用者がAIエージェントへ認証情報を渡せば、本物の意思と代理操作の境界まで曖昧になります。

だからこそ、文章、声、知識量を一つずつ見破る競争だけに参加する必要はありません。届いた経路を閉じ、以前から登録した経路へ戻り、確認と実行を分けます。正当な依頼なら少し遠回りして完了でき、偽の依頼なら確認経路で止まる設計にします。

次に家族、上司、銀行を名乗る緊急連絡が届いたとき、あなたはその連絡の中にあるリンクや番号を使わず、どこへ戻れるでしょうか。その戻り先を平時に一つ登録することが、AIの声や文章を当てる訓練より長く使える防御になります。