「ディープフェイク対策として、検知ツールの導入を検討している」というご相談をよくいただきます。

ただ、話を伺っていくと、ツールを入れても止まらない被害のほうが多いことに気づきます。実際に企業で起きているのは「偽の動画がSNSで拡散した」よりも、**「偽の指示に従って送金してしまった」「偽の本人確認を通してしまった」**という業務プロセス上の事故だからです。

本記事では、企業がディープフェイクに備えるうえで、何を、どの順に整備すべきかを整理します。

企業が直面する脅威は4種類に整理できる

まず、自社にとってどれが問題なのかを特定します。必要な対策は種類ごとに異なります。

種類 何が起きるか 主に影響する部門
1. なりすまし指示 経営層の声や姿を模した電話・ビデオ会議で、送金や機密情報の開示を指示される 経理・財務・総務
2. 本人確認の突破 口座開設やオンライン面接で、合成された顔・音声により本人確認を通される 金融・人事
3. 提出メディアの改ざん 保険金請求の写真、訴訟の証拠映像などが、生成・加工されたうえで提出される 保険・法務・調査部門
4. 信用毀損 役員の偽動画や偽の発言が拡散し、企業の信用が損なわれる 広報・IR

1と2は「入ってくるもの」への対策、3は「持ち込まれるもの」への対策、4は「出ていったもの」への対応であり、打ち手の性質が違います。自社がどれに晒されているかを先に決めてください。

それぞれの詳細は、以下で扱っています。

対策は運用・人・技術の3層で考える

この順序が重要です。 技術から入ると、ほぼ確実に費用対効果が悪くなります。

層 内容 コスト 効果が出るまで
第1層: 運用 承認フロー・確認手順の設計 低 即日
第2層: 人 前提の共有と訓練 中 数週間
第3層: 技術 検知の導入と判定の解釈 高 数か月

第1層: 運用 — 最初に手をつけるべき場所

技術を一切使わずに止められる被害が、相当な割合を占めます。

  • 登録済み番号へのコールバック確認。かかってきた番号ではなく、事前に登録された公式番号に折り返して本人確認する
  • 一定額以上の送金は複数チャネルでの承認。メールと電話だけで完結させない
  • 事前共有した確認コードの運用。「合言葉」を決めておく
  • 「緊急」「秘密」「至急」が揃った依頼では必ず止まるというルールの明文化

最後の1つは単純ですが、実効性があります。急がせることは、この手口の必須条件だからです。

第2層: 人 — 共有すべき前提が変わった

従来の啓発は「不自然な点に注意しましょう」という形が中心でした。この前提は、すでに成立しません。

音声の複製は数秒から15秒程度のサンプルで実用的な水準に達しており、決算説明会の録画やウェビナーの録音から取得可能です。人間の耳や目による識別を、防衛線として設計に組み込むべきではありません。

共有すべきなのは「見抜き方」ではなく、**「見抜けない前提で、手順で止める」**という考え方です。

第3層: 技術 — どこに置くかを先に決める

検知技術を導入する場合、置き場所は大きく2つです。

置き方 用途 向いている場面
入口での自動検査 受け付けたメディアを一律に検査する eKYC、大量の保険金請求
疑わしいものの精査 担当者が疑問を持ったものを詳しく調べる 訴訟の証拠、不正調査

前者は処理量が、後者は説明の精度が求められます。同じ製品でも運用設計が変わります。

なお、検知の出力は確率的な判定であり、自動的に真偽を確定するものではありません。 判定根拠を有資格の担当者が確認したうえで判断する、という運用が前提になります。ツールの具体的な選び方はディープフェイク検知・検出ツールの選び方で扱っています。

来歴（C2PA）と検知は、代替関係ではない

コンテンツ来歴の国際規格である C2PA がしばしば対策として挙げられます。ただし、検知の代わりにはなりません。

来歴（C2PA等） 検知
何を示すか 正しく署名された本物であること 生成・改ざんの痕跡があること
署名のないメディア 何も言えない 判定できる
主な適用先 自社が発信するコンテンツ 外部から持ち込まれるメディア

企業が困るのは、たいてい署名のないメディアです。 顧客が提出する写真、通報された動画、取引先から届いた音声——これらに署名は付いていません。

自社の発信を守るには来歴、外部から来るものを検証するには検知、という切り分けになります。

導入前に決めておくべきこと — 検証基準

ここが最も見落とされます。

ツールの比較検討には時間をかけるのに、「導入したあと、何をもって判断するのか」を決めないまま進めてしまうケースが少なくありません。結果として、判定が出ても業務が止まります。

導入前に、少なくとも次の4点を決めておいてください。

決めること 具体的に
閾値を誰が決めるか どの確率以上を「疑わしい」として扱うか。現場か、リスク管理部門か
偽陽性が出たときの業務フロー 本物を疑わしいと判定した場合、誰がどう扱うか。顧客への説明も含む
判定結果をどう説明するか 社内の承認者、監査、場合によっては取引先や規制当局に対して
どこまで記録を残すか 判定結果だけか、根拠まで残すか。監査対応の要否で変わる

導入の是非より先に、検証の基準をどう置くかを決める。 これが実務上、最も効きます。

SANS Institute の2026年AI調査でも、AI導入のスピードが、ガバナンス・検証・運用の準備を上回っていることが指摘されています（SANS 2026 AI Survey・2026年7月13日発表／実務者536名・CISO等57名が回答）。守る側も同じ問題を抱えている、という指摘です。

業種別の着手ポイント

業種 最初に見るべき場所 参考
保険 保険金請求で提出される写真・動画・書類の真正性確認。SIU（特別調査部門）のワークフロー 損害保険会社のディープフェイク対策完全ガイド／生命・医療保険の請求書類
法務・法律事務所 依頼者・相手方から提出された視聴覚証拠の検証。証拠能力の整理 ディープフェイクは裁判で証拠として使えるのか
金融 eKYCの突破対策と、送金指示の承認フロー eKYCのディープフェイク対策／BEC詐欺 内部統制チェックリスト
人事 オンライン面接での本人確認 採用面接のAIなりすまし対策

まとめ

  • 脅威を4種類に分け、自社がどれに晒されているかを先に決める
  • 運用 → 人 → 技術の順で着手する。 技術から入ると費用対効果が悪くなる
  • 来歴と検知は役割が違う。 外部から持ち込まれるメディアは検知の領域
  • 導入前に検証基準を決める。 閾値、偽陽性時の扱い、説明方法、記録範囲の4点

ディープフェイクの検知については、ディープフェイクとは？仕組み・見分け方・被害事例、説明可能AI（XAI）とは？ もあわせてご覧ください。

判定根拠を示せる検知プラットフォームについては、spellbreaker by ProbeTruth の製品ページで解説しています。