「文章が自然だから本物」はもう危ない？ Europol最新分析で学ぶ“文章の上手さを本人確認に使わない”詐欺対策
Europolは2026年のオンライン詐欺に関する解説とIOCTAで、生成AIがソーシャルエンジニアリングを個人ごとに調整し、より説得力のある内容を作りやすくしていると説明しています。FBIの2025年IC3年次報告も、チャット生成ツールがCEOや担当者をまねた公式らしいメールを短時間で作成できると説明し、2025年にAIとの関連が報告された被害全体は8億9,300万ドルを超えたとしています。文章が丁寧でも、会社の用語を使っていても、それは本物である証拠にはなりません。
- メールやチャットで仕事の依頼を受ける人
- SNSやメッセージアプリを日常的に使う人
- 請求書や振込先変更の連絡を受ける人
- 海外企業や取引先と文章でやり取りする人
- 生成AIを使った詐欺が気になる一般ユーザー
メールやチャットが自然で丁寧でも、それだけで送信者の本人性は確認できません。特に送金、振込先変更、認証情報、個人情報に関わる依頼では、既に知っている連絡先や社内手続きなど別の経路から確認してください。
身近な事例を知る
取引先から「振込先口座が変更になりました」という、とても自然で丁寧なメールが届いた
メールには担当者名、会社名、過去の取引に関係しそうな内容が書かれ、文章にも不自然なところがありません。「詐欺ならもっと怪しい文章になるはず」と考え、そのまま新しい口座へ振り込みそうになりました。しかし生成AIを使えば、文章の修正、翻訳、敬語化、相手の業界に合わせた表現調整を短時間で行えます。FBIが注意しているBusiness Email Compromiseでは、実際の取引先や経営者を装い、振込先変更や送金を要求する手口が使われています。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- 既に知っている電話番号や公式な別経路から担当者へ確認する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
FBIはBEC対策として、口座情報の変更など重要な依頼について二次的な連絡手段で確認することを勧めています。メールアカウント自体が乗っ取られていた場合、同じメールへ返信しても攻撃者が回答できる可能性があります。文章が自然かどうかではなく、自分が以前から知っている電話番号や社内の承認手順など、攻撃者が支配していない別経路から確認することが重要です。
確認ポイント
「文章が自然」を安全判定に使っていないか
生成AIは文章の修正、翻訳、敬語化、業界向け表現の調整を容易にします。文章品質は本人確認にはなりません。
普段と違う行動を求められていないか
振込先変更、急な送金、ギフトカード購入、認証情報入力など、文章より依頼内容の変化を見る方が重要です。
メールアドレスを完全に確認したか
表示名がいつもの担当者でも、実際の送信アドレスが似た別ドメインの場合があります。ただし正規アカウントが乗っ取られるケースもあるため、アドレス確認だけで終了しない方が安全です。
同じ通信経路だけで確認していないか
メールアカウントが侵害されていれば、そのメールへの返信も攻撃者が確認できます。電話など別の既知経路を利用します。
過去の情報を知っていることを本人確認として扱っていないか
FBIはBECで、攻撃者が侵入したメールや業務情報を利用して実際の請求・取引の流れへ入り込む手口を説明しています。正しい過去情報を知っていても本人とは限りません。
急がせる理由が付いていないか
「今日中」「担当者不在」「決算処理のため」など、通常の確認手続きを省略させる理由が加わっている場合は慎重に確認します。
AIが作った文章か見抜くことに集中していないか
重要なのは、その文章をAIが作ったかではなく、依頼している相手が本当に本人かです。人間が書いた詐欺もAIが整えた詐欺も確認方法は同じです。
社内の支払い手順が人によって変わっていないか
担当者の経験だけに頼るより、振込先変更には必ず二重確認を入れるなど仕組みとして決めておく方が安全です。
現時点での見立て
Europolは2026年のオンライン詐欺について、生成AIがソーシャルエンジニアリングをより個別化し、説得力を高めるために利用されていると説明しています。FBIも、AIを利用したBECでは公式らしいメールや経営者をまねた文章を生成できると報告しています。ただし、だからといってすべての自然なメールを疑う必要はありません。変えるべきなのは「文章の怪しさを本人確認に使う」という習慣です。通常の連絡はこれまで通り便利に使いながら、お金、アカウント、機密情報など重要な変更だけ別経路で確認する。これなら生成AIがさらに自然な文章を作れるようになっても対応できます。
安全な対処方法
安心につながる行動
- 振込先変更はメールだけで完結させず別経路で確認するメールが偽装・侵害されていても、既知の電話番号など別の経路から本人へ確認できます。
- 重要な変更には社内で固定の確認手順を作る担当者が「怪しいと感じたか」に依存せず、毎回同じ安全確認を行えます。
- 表示名ではなく実際の送信アドレスも確認する似たドメインや一文字違いのメールアドレスによるなりすましを発見できる場合があります。
- メールの自然さではなく依頼内容の変化を見るAIで文章が自然になっても、「いつもと違う送金」「急な口座変更」など業務上の違和感は確認できます。
- AIにはメールの危険サイン整理を手伝わせる「送金要求・緊急性・口座変更・秘密保持・リンク」の有無を整理させる補助には利用できます。
- 取引先の重要な連絡先をあらかじめ登録しておく怪しい連絡を受けてから相手が提示した電話番号を使うのではなく、既に確認済みの経路から連絡できます。
- 被害が疑われる場合は金融機関へ早く連絡するBECによる誤送金では、資金がさらに移動する前の迅速な対応が重要です。
避けたい行動
- 誤字がないので安全だと判断する生成AIを使えば、自然で丁寧な文章を短時間で作成できます。
- 日本語が上手なので国内の本物の担当者だと判断するAI翻訳や文章生成によって、言語能力から相手の所在地や本人性を推測することが難しくなっています。
- 過去の取引内容を知っているので本人だと思うメールアカウントや業務システムへの侵入によって、実際の取引情報を攻撃者が知っている可能性があります。
- 届いたメールへ返信して確認できたので安全だと判断する攻撃者がそのメールアカウントや通信経路を支配している場合、返信にも回答できます。
- AIへメールを見せて「本物」と判定されたので送金する生成AIは現在メールを送っている人物の本人性を確認できません。
- AI詐欺が増えているのでメールによる取引をすべてやめるメールは引き続き便利な業務手段です。影響の大きい変更だけ追加確認を入れることで安全性を高められます。
AIの前向きな活用
AIを「詐欺判定機」ではなく「重要変更のチェック係」にする
生成AIによって詐欺メールが自然になるなら、こちらもAIを確認作業へ利用できます。例えば受信メールから「振込先変更」「支払期限」「新しい電話番号」「認証情報要求」など重要な変更点だけ抽出させ、人間へ確認を促す使い方です。AI自身に「本物かどうか」を決めさせるのではなく、「いつもの業務と違う部分」を見つけてもらい、最後は既知の連絡先から人間が確認します。文章生成能力を詐欺側だけの武器にせず、防御側の確認作業にも活用できます。
- 受信メールから金銭・口座・権限に関係する変更点だけ抽出する
- 過去の注文内容と今回の請求内容の差分を整理する
- 「人間が確認すべき項目」を3件に絞ってもらう
- 取引先確認用の短い電話チェックリストをAIと作る
- 経理メールを『通常処理』『追加確認』『緊急確認』に分類する補助として使う
- 詐欺が疑われるメールを匿名化して時系列に整理し、金融機関や担当部署へ共有する
今回、覚えておきたいこと
文章の上手さは本人確認にならない。重要な依頼ほど「別の道」から確かめる。
情報源
- How online fraud schemes are becoming a growing threat（外部リンク） Europol 国際機関
- IOCTA 2026 – The evolving threat landscape（外部リンク） Europol 国際機関
- 2025 IC3 Annual Report（外部リンク） Federal Bureau of Investigation Internet Crime Complaint Center 官公庁
- Business Email Compromise（外部リンク） Federal Bureau of Investigation 官公庁
- The scam-aware mindset: simple habits to stay protected（外部リンク） Europol 国際機関
誠主任からひとこと