AIでCEOの声を複製、病院や銀行から1億2900万ドル詐取か

電話の声は社長そっくりで、その次にかかってきた電話の相手は、世界有数の大手法律事務所のパートナーを思わせる話しぶりだった。マンハッタンの連邦検察当局によれば、どちらも本物ではない。検察によると、3人の男が人工知能を使ってCEOや弁護士になりすまし、病院や銀行などの企業で会計を担当する従業員に、実在しない機密取引のためだと信じ込ませて送金させた。金は暗号資産に換えられ、共謀者の間で分配された。

この事件の影響は、金銭的被害を受けた企業だけにとどまらない。コンピューターへの侵入はなかった。計画のよりどころとなったのは、ほとんどのオフィスワーカーが疑いもせずにしている、ごくありふれた行動だ。聞き慣れた声で助けを求められると、相手を信じてしまう。CEOのスピーチや決算説明会、業界会議での発言は公開されており、そうした音声を使って音声クローンを作るソフトもある。詐欺師が上司そっくりの声を出せるなら、電話がかかってきても、相手が誰なのかを証明することにはならない。

ニューヨーク南部地区連邦地方裁判所に提出された起訴状は、スペインのマルベーリャと英国に居住するジェイコブ・ソール（Jacob Soall、41）、イスラエル在住のシャロン・ハザン（Sharon Hazan、54）、イスラエルとアラブ首長国連邦在住のガイ・シートリット（Guy Sheetrit、42）を訴追している。3人はいずれも、電信詐欺の共謀、加重個人情報窃盗、マネーロンダリングを含む7つの罪に問われている。検察は、このグループが米国内外の企業から約1億2900万ドルをだまし取ったとしている。

おすすめの記事新韓銀行など韓国の金融7社で6万8000人分の情報流出、AIハッキングツールの痕跡

起訴状によると、詐欺の手口はほとんど変わらなかった。多くの場合、まずDocuSignのような電子署名サービスを通じ、標的企業のCEO本人から送られたように見せかけたメールを送信。秘密の取引への協力を求め、秘密保持契約書を添付した。続いて電話をかけ、共謀者らはAIを使ってCEOの声を、時には顔までまねたとされる。偽のCEOは従業員を偽の弁護士に引き継ぎ、その弁護士には大手法律事務所上位50社の欧州オフィスに実在する弁護士の名前が使われることが多かった。検察によると、ソールは「Lawyer Call」と題した手書きの台本を用意し、機密保持やインサイダー取引の規則を持ち出して、従業員が同僚に相談しないよう仕向けていた。

被害企業の名前は公表されていないが、起訴状に記された損失額は、経済の幅広い分野に及んでいる。ミズーリ州の病院グループは482万9580ドルを送金した。ロードアイランド州の銀行は268万4580ドル、カリフォルニア州の病院グループは296万8497ドルを失った。英国の金融テクノロジー企業は1157万8474ドル、マサチューセッツ州の投資信託会社は463万9918ドル、フロリダ州のペットフード会社は524万2747ドルの被害を受けた。資金は米国、スペイン、ポルトガル、ギリシャ、UAE、シンガポール、オーストリア、スロバキア、中国の口座に送られ、その後、暗号資産に換えられた。

詐欺を免れた標的もあった。ニューヨークの大手投資銀行では、従業員が約285万ドルの支払いを承認したものの、送金が実行される前に同行のバックオフィスが差し止めたという。効果を発揮した防御策はディープフェイク検知ツールではなく、もう一人の人間が確認することだった。

AIの利用は新しいが、犯罪の手口そのものは新しくない。司法省の発表は使われたツールを「super intelligence」と表現する一方、起訴状は人工知能と記している。公開された訴訟書類には、市販されている音声・顔のクローン技術を超えるものが使われたことを示す記述はない。それ以外は昔ながらの手口だ。偽のCEOメールを送り、複数の国の口座を経由して資金を移し、その後に資金洗浄する。検察によれば、2008年に同じ裁判所で銀行詐欺共謀罪の有罪判決を受けたハザンは、3年間で4億ドル以上を洗浄し、「世界中でナンバーワンだ」と自慢していたという。これらはあくまで申し立てであり、3人のいずれも有罪判決を受けていない。また、検察は回収できた金額や、どのクローン技術が使われたのかを明らかにしていない。

企業はこうした事態を予測していた。エンジニアリング会社のArupは2024年、香港の従業員が参加したビデオ会議で、ほかの参加者がディープフェイクだったことから、約2500万ドルを失った。基本的な対策は変わっていない。すでに把握している番号にかけ直して経営幹部本人に確認すること、高額送金には別の承認者を必須にすること、そして秘密にするよう求められたら危険信号とみなすことだ。「SIを利用した犯罪という新たな脅威から、個人や企業がどうすれば最も効果的に身を守れるのか、ぜひ検討していただきたい」と、米連邦検事のジェイミー・マクドナルド（Jamie McDonald）は述べた。

共謀は少なくとも2024年7月から2026年2月まで続いたとされる。ソールは6月17日にスペインで、ハザンは8月5日にスペインで逮捕され、シートリットは9月7日に英国で逮捕された。起訴状は11月第1週に公開され、3人全員について身柄引き渡しの要請が係属中だ。電信詐欺とマネーロンダリングはいずれも最高20年の禁錮刑が科される可能性があり、FBIは情報提供窓口を通じて、ほかにも被害に遭った可能性のある人に名乗り出るよう呼びかけている。

資金を守った銀行が、より優れたAIを持っていたわけではない。送金が実行される前に、バックオフィスの誰かが内容を確認したのだ。

タグ: Folarin Balogun, Baker Mayfield, Meghan Markle, サイバーセキュリティ, ディープフェイク, 音声クローン

関連コンテンツ

GoogleがSpirit AirlinesのメールをAI学習用に購入 — 送信者の同意なし

Character.AIが米連邦破産法11条を申請　ディズニーがグーグルの「残り」に2000万ドルで入札

サティア・ナデラ　「共感」でマイクロソフトを再生させたCEOが、AIにすべてを賭ける

テキサス州の業者、IRSから15億ドル相当の所得を隠す偽装信託を販売　米司法省

OpenAIモデルの脱走が9日間で議会のAI緊急停止法案となった

テキサス州がOpenAIとアルトマンCEOを提訴 未成年のChatGPT利用禁止を要求