犯罪者がAIを使って一連の証拠を捏造するようになった今、従来の決済管理だけではもはや不十分だ。金融機関は、提出された書類が本物かどうかを確認するだけでなく、攻撃者が制御できない独立したデータに基づいて取引を検証する必要がある。
最近の2つの事例は、信頼の基盤がいかに急速に変化しているかを示している。 1つ詐欺師らはWhatsAppメッセージとAIクローン音声を使ってイタリアのプライベートバンクFideuramの幹部になりすまし、9500万ユーロの不正送金を招いたと報じられている。別のケースでは、商品取引会社が グレンコア 複数の銀行に、不正な貿易金融の申請を裏付けるために、偽造された電子メール、契約書、請求書が送付されたと報告されている。
両事件は異なり、グレンコア関連の訴訟は依然として係争中である。しかし、どちらの事件も構造的な改善が必要な共通の領域を示している。金融上の意思決定は、見慣れた、一貫性があり、権威があるように見える証拠に基づいて行うべきではない。なぜなら、デジタルツールによって、犯罪者は複数のチャネルにわたって同時に一貫性のある証拠を捏造できるようになったからである。
マルチチャネルAI詐欺の台頭
単一の証拠物に基づいて設計された検証では、その証拠物が本物に見えるかどうかを問う。声は自然か？メールアドレスはもっともらしく見えるか？請求書には期待される詳細が記載されているか？契約は既存の関係と一致しているか？それぞれのチェックは単独では妥当かもしれない。問題は、犯罪者が相互に補強し合う複数の証拠物を作成できるようになったことで、ある偽造信号が別の偽造信号を正当化しているように見えるようになったことだ。
Fideuramの事例は、実際の決済業務におけるこの状況を示している。ロイター通信によると、WhatsAppのメッセージに続いて、AIで複製された音声を使った電話がかかってきた。この2つのチャネルは、あたかも独立した確認手段であるかのような印象を与えたが、実際にはどちらも同じ攻撃者によって制御されていたと報じられている。
グレンコアの声明は、紛争の最終的な結果がどうであれ、貿易金融における関連リスクを指摘している。声明で述べられているパターンは、銀行が備えておくべきものだ。すなわち、互いに裏付け合う書類や通信によって裏付けられた融資申請である。これらの資料を相互にのみ比較評価した場合、たとえ基礎となる取引が実際に行われたことを誰も独自に立証していなくても、捏造された取引が内部的に健全に見えてしまう可能性がある。
視覚的な信憑性だけではもはや十分ではない理由
文書、承認階層、コールバックは依然として重要である。しかし、認知度だけでは操作が容易になりつつある。馴染みのある名前、声、形式、取引関係といった要素はすべて複製や改変が可能であるため、それらを決定的な証拠として扱うことはできない。
したがって、金融機関は、取引を裏付けるために提供された資料とは独立して、取引自体を検証する管理体制を必要としている。もはや、証拠が本物に見えるかどうかだけが問題ではない。信頼できるデータや既知のリスクパターンと照らし合わせた際に、受益者、行動、取引相手、そしてその根底にある活動が妥当であるかどうかが問われるのである。
高リスク決済における5つの必須管理策
高リスクの送金を承認する前に、金融機関は取引を以下の5つの独立した側面から評価すべきである。
身元： リクエスト者は、リクエストで指定されたチャネルではなく、真に独立した経路を通じて認証されていますか？
受益者： 口座名、所有者、管轄区域、および履歴は、支払いの目的と一致していますか？
行動： その価値、速度、タイミング、または目的地は、顧客、従業員、または組織にとって通常とは異なるものだろうか？
取引相手とネットワーク： 関連のある事業体、口座、または管轄区域は、既知のリスクと関連付けられていますか？
基礎となる取引： 請求書、契約書、出荷書類、商品、取引相手、および融資依頼書は、提出された書類以外の証拠によって裏付けられた場合、信頼できる経済事象を記述していると言えるでしょうか？
これらの確認作業はどれも容易ではありません。独立した認証は、緊急決済に手間と時間を要します。受取人の確認は、市場によって異なるデータに依存します。取引を書類上の情報だけで裏付けるには、時間と外部情報源へのアクセスが必要です。
目的は、すべての取引にすべてのテストを適用することではありません。取引がもたらすリスクに応じて、検証の深度を調整することです。
単一の答えでは不十分であり、それが重要な点です。各制御は個別に欺くことができ、説得力のあるストーリーを構築することで、一つずつ突破していくことができます。独立した制御は経済構造を変えます。攻撃者は、完全に制御できない証拠を用いて、身元、受益者、行動、ネットワーク、取引のチェックを同時に突破しなければなりません。これらのチェックは、別々のキューに格納されるよりも、情報を共有する場合に最も効果を発揮します。
決済および取引詐欺に関するインテリジェンスを統合する
金融機関が決済詐欺と貿易金融犯罪を切り離して考えると、より広範なパターンを見落としてしまう。捏造された取引には、両チーム間の連携した情報収集が不可欠だ。決済は、偽の身元、捏造された商取引関係、あるいは改ざんされた貿易書類から始まった詐欺の最終段階である可能性がある。捜査担当者はこれらの兆候をまとめて把握する必要があり、決済や資金調達が行われる前に対応できるよう、十分早い段階で行動を起こさなければならない。詐欺師は単独で行動することは稀で、ほとんどが組織的な詐欺グループの一員として活動している。不正取引の後には、盗まれた資金を合法的に見せかけるための資金洗浄が通常行われる。組織間の壁を取り払うことで、金融機関は二重の監視体制を構築できる。一つの兆候を見逃しても、別の兆候を捉え、金融犯罪を阻止できる可能性がある。
この脅威を克服するには、従来の小切手をデジタル化するだけでは不十分です。規制の枠組みと高度なテクノロジーの連携が不可欠です。リアルタイムの取引監視、受取人確認、行動分析、取引相手および関連情報、そして貿易文書分析は、相互補完的なレイヤーとして機能しなければなりません。また、疑わしい支払いが、それを要求したと思われる権限系統に決して戻されないよう、エスカレーション経路を設計する必要があります。
ゼロトラスト検証を制御に組み込む
金融犯罪は必ずしも明白な偽造という形で現れるとは限らない。それは、完璧で洗練された、内部的に矛盾のない物語として現れることもある。実際、次世代の金融犯罪は、信頼を裏切ることではなく、信頼を悪用することに依存するようになるかもしれない。
詐欺師は、組織が証拠の検証を行う訓練を受けていることを理解している。問題は、証拠そのものが攻撃の一部になり得るということだ。本物らしく見えるデータで補強され、お馴染みの権威によって裏付けられた説得力のある物語は、驚くほど抵抗なく既存の管理体制をすり抜けることができる。
防御策は、どの証拠を信頼するかを決めることではなく、攻撃者が制御できない証拠を通して取引を検証することにある。身元、受取人、行動、ネットワーク、そして取引の根拠となる要素を個別に検証すれば、説得力のある話が不正な損失につながる可能性ははるかに低くなる。ディープフェイク、合成身元、そしてAIによる説得が横行する時代において、最大の脆弱性は情報不足ではなく、提供された情報を信頼することにあるのかもしれない。
