SPF、DKIM、DMARCだけでは不十分な理由：ディープフェイクへの備え

By Mirko Peters · 2026-08-26

企業の受信トレイを守るうえで、組織はこれまで標準的なメール認証プロトコルを主要な防御策として頼ってきました。セキュリティ業務に少しでも携わったことがあれば、メール防御の「三種の神器」であるSender Policy Framework（SPF）、DomainKeys Identified Mail（DKIM）、Domain-based Message Authentication, Reporting, and Conformance（DMARC）をご存じでしょう。

Automatically translated with AI from the original post. Read the English original

企業の受信トレイを守るうえで、組織はこれまで標準的なメール認証プロトコルを主要な防御策として頼ってきました。セキュリティ業務に少しでも携わったことがあれば、メール防御の三種の神器であるSender Policy Framework（SPF）、DomainKeys Identified Mail（DKIM）、Domain-based Message Authentication, Reporting, and Conformance（DMARC）をご存じでしょう。長年にわたり、これらのレコードを正しく設定することで、ドメインのなりすましを効果的に遮断し、フィッシングメールを防ぎ、組織を名乗るメッセージが実際に許可されたインフラストラクチャから送信されていることを確保できました。しかし、サイバーセキュリティの状況は大きく変化しており、長年頼ってきたツールは前例のない死角に直面しています。

人工知能と合成メディアの時代が到来しました。サイバー犯罪者は、もはや誤字だらけの粗雑なテキストベースのフィッシングメールだけに頼っていません。代わりに高度な生成AIを活用し、ディープフェイクによって強化された巧妙なビジネスメール詐欺（BEC）攻撃を実行しています。これらの脅威は、従来のメールプロトコルの技術的チェックを容易にすり抜けます。問題はもはや「誰がメールを送ったか」だけではなく、技術的なプロトコルでは読み取れないコンテンツに潜む悪意にあるからです。本記事では、現在のメールセキュリティの構成がディープフェイクの脅威にどのように不足しているのか、そして組織が真に強靭な防御を構築するために何をすべきかを解説します。

メールセキュリティとディープフェイクの脅威の概要

この課題の深刻さを理解するには、まず脅威アクターがどのように適応してきたかを見ておく必要があります。従来のメールセキュリティプロトコルは、より単純だったインターネット向けに設計されました。悪意ある攻撃者がドメイン名を乗っ取ったり、メッセージに偽のヘッダーを挿入したりすることを防ぐことが目的でした。適切に実装されていれば、DMARC、SPF、DKIMは、メールに正当な権限と完全性があるかを受信サーバーに伝える堅牢な検証の仕組みを作ります。しかし、これらのプロトコルは本質的にインフラストラクチャの検証器であり、コンテンツを判定する仕組みではありません。本文を読んだり、添付された音声を聞いたり、送金を依頼している人物が本当にその人であるかを評価したりはしないのです。

人工知能ツールが広く普及したことで、非常にリアルな合成メディアを作成する参入障壁は急落しました。攻撃者は、企業の経営幹部が公開しているビデオクリップ、カンファレンスの録画、ボイスメモなどを収集し、驚くほど正確に声や容姿を再現できるようになっています。統計を見ると、こうした手口は驚異的な勢いで増えています。2023年には、ビジネスメール詐欺攻撃のうちディープフェイク技術を使ったものは5％未満でした。2026年までにその割合は40％に達しました。さらに、FBIはディープフェイクを利用したBEC攻撃が前年比25％増加したと報告しており、ディープフェイク関連のインシデント全体も年間300％以上急増しています。攻撃者が、正しく認証されたメールとボイスクローンやリアルタイムのビデオディープフェイクを組み合わせると、標準的なメールフィルターはほぼ無力になります。

ディープフェイクBEC攻撃の解説

ディープフェイクBECとは

従来のビジネスメール詐欺（BEC）は、詐欺師がベンダーや経営幹部になりすまして、緊急の支払いや機密データを要求する手口です。ディープフェイクBECは、この悪質な手法を人工知能によって一段と強化したものです。攻撃者はテキストメッセージやメールにとどまらず、合成音声、映像、会話の要素を攻撃の連鎖に組み込みます。CEOや最高財務責任者の話し方、アクセント、声の癖まで再現することも可能です。これらの攻撃は、誤字だらけのメールアドレスでだまそうとするのではなく、音声やビデオを通じて身近な権威者と直接やり取りしていると信じ込ませることで、信頼を悪用します。

ディープフェイクBECが従来の脅威と異なる点

従来型BECとディープフェイクBECを分ける根本的な違いは、欺瞞に使われる媒体です。従来の脅威は、もっぱらテキストによる操作に頼っていました。上司から電子メールで、ギフトカードの購入や送金を依頼されたとします。文面に少しでも違和感があれば、社員の内心の警報が鳴るかもしれません。ディープフェイクBECは、現実味のある音声や映像を使うことで、こうした従来の検知の仕組みを突破します。上司の声と区別がつかない電話を受けたり、部長の声で話す合成アバターがうなずいているだけのビデオ会議に、ちょっと参加したりするかもしれません。この複数チャネルを使う手口は、人が本来持つ信頼や緊急性への反応につけ込むもので、テキストフィルターでは到底防ぐことができません。

ディープフェイク技術によって、犯罪者は権限を持つ人物になりすますことがより説得力を増す形でできるようになり、BECの脅威は変わりました。そのため、犯罪者はあなたを操作しやすくなり、従来のセキュリティフィルターも回避しやすくなっています。

主な違いを示す表は次のとおりです。

項目	従来型BEC	ディープフェイクBEC
コミュニケーション手段	テキストベースのやり取り	音声通話やビデオを取り入れる
欺瞞の手法	文書による依頼に依存する	現実味のある合成メディアを使用する
検知の回避	テキストフィルターで検出されることがある	音声や映像で確認をすり抜ける

ディープフェイクBECの攻撃は、現実味のある音声や映像があるため、あなたをより効果的に操作できます。緊急性と権限を悪用するため、従来のフィッシングよりも危険です。社内のセキュリティチェックでは、こうした攻撃を止められないことが多く、組織のリスクを高めます。

ディープフェイクBECにおけるAIの役割

人工知能は、こうした複雑な詐欺を動かすエンジンとして機能しています。脅威アクターはAIモデルを使い、企業のWebサイト、ソーシャルメディアのプロフィール、決算説明会の録音を収集して、主要な担当者に関する学習データを集めます。音声や文体を複製することで、最初のフィッシングの接触が本物らしく感じられるようにします。典型的なディープフェイクBECのキャンペーンは、次のように周到に進行します。

攻撃者は、経営幹部や企業の組織構造に関するOSINT（オープンソースインテリジェンス）の詳細情報を収集します。
音声や映像のサンプルをAIモデルに入力し、説得力のある音声クローンやディープフェイク映像を生成します。
対象者に向けて、個人に合わせたフィッシングメールや自己紹介のメッセージが送られます。多くの場合、技術的な認証チェックはすべて通過します。
攻撃者は、電話、ボイスメール、ビデオ会議へと移行して、やり取りを発展させ、プレッシャーを強めます。
被害者が経営幹部の承認があると思い込んで資金を送金したり、認証情報を渡したりしたときに、攻撃者の最終目的が達成されます。

大手金融機関や企業では、標準的なセキュリティの関門を突破した音声クローン詐欺に関する深刻な事例が報告されています。ある有名な事例では、従業員がディープフェイクの音声ストリームとやり取りした後、多額の資金を送金しました。ディープフェイクBECは、単にフィッシングが進化したものではありません。合成メディアによる詐欺という、まったく新しいカテゴリーの攻撃です。

SPF、DKIM、DMARC：仕組みの解説

SPFの概要

これらのプロトコルがディープフェイクに対してなぜ機能しないのかを理解するには、まずそれぞれが実際に何をしているのかを確認する必要があります。SPF（Sender Policy Framework）は、メッセージを送信しているメールサーバーが、特定のドメインの代わりにメールを送信する正式な許可を持っているかを検証します。メールがゲートウェイに届くと、受信側のシステムはそのドメインのDNSレコードでSPFのエントリを確認します。送信サーバーのIPアドレスが承認済みの一覧と一致すれば、そのメッセージはSPFを通過します。この仕組みは、エンベロープ上でドメインを偽装する基本的ななりすましを防ぎますが、エンドユーザーに表示される「From」アドレスはまったく検証しません。そのため、ソーシャルエンジニアリングの余地が十分に残ります。

DKIMの概要

DKIM（DomainKeys Identified Mail）は、暗号による検証の仕組みを加えます。送信メールにデジタル署名を付与し、受信側のメールシステムが、そのドメインのDNSで公開されている公開鍵を使って署名を検証します。署名が一致すれば、送信途中でメッセージ内容が改ざんされていないことを暗号学的に証明できます。DKIMはメッセージの完全性を保証しますが、送信者の意図については何も分かりません。攻撃者は、DKIM署名を通過してしまう正規の電子メールアカウントを乗っ取り、説得力のあるフィッシングキャンペーンを仕掛けたり、ディープフェイクによる攻撃の下準備をしたりすることがよくあります。

DMARCの概要

DMARCは、SPFとDKIMを統一されたポリシーの枠組みにまとめます。ドメイン所有者は、SPFまたはDKIMのチェックに失敗したメッセージを受信メールサーバーがどのように処理すべきかを指示でき、同時に有用なフォレンジックレポートも得られます。DMARCは、目に見える"From"ヘッダーを保護し、完全一致のドメインなりすましを効果的に防ぎます。DMARCはあらゆる組織にとって重要な基本的対策ですが、メッセージの意味内容や送信者の心理的な意図までは分析しません。攻撃者は類似ドメインを簡単に登録し、その不正なドメインに有効なSPF、DKIM、DMARCレコードを設定したうえで、AIを使ってディープフェイクを用いた詐欺文面を作成し、DMARCで保護されたゲートウェイを簡単にすり抜けることができます。

ヒント：SPF、DKIM、DMARCは組み合わせて使うと最も効果的です。多くのフィッシングメールを止められますが、音声や映像を使って人を欺くディープフェイクの脅威は検出できません。

以下は、これらのプロトコルの主な機能をまとめた表です。

プロトコル	主な機能	仕組み	強み	制限事項
SPF	送信メールサーバーの認可を検証する	送信サーバーのIPアドレスを、DNS内のSPFレコードと照合する	ドメインのなりすましを防止でき、設定が容易	目に見える「From」アドレスは検証されず、フィッシング対策としては単独では不十分
DKIM	メール内容の完全性と送信者の身元を保証する	暗号署名を付加し、DNS内の公開鍵で検証する	メッセージの完全性を保証し、信頼性を高める	転送によって壊れる場合があり、鍵管理が必要
DMARC	SPFとDKIMを組み合わせ、認証されていないメールを管理する	SPF/DKIMを評価し、ポリシーを適用してレポートを送信する	ドメイン所有者に制御権を与え、フィッシングを減らす	機能させるにはSPF/DKIMが必要で、設定が複雑

これらのプロトコルは防御の一部として使うべきですが、技術的な対策をすり抜けるディープフェイクやフィッシング攻撃には、常に警戒を怠らないでください。

これらのプロトコルが保護する範囲

メール認証の境界を正しく理解しておくことが重要です。SPF、DKIM、DMARCは、トランスポート層でのなりすましからメッセージング基盤を守るためだけに設計されています。自ドメインから送信されたと称するメッセージが実際に自社のメールサーバーから送られたものであること、また送信途中で本文が改ざんされていないことを保証します。

各プロトコルがカバーする内容を整理します。

SPFは、メールが認可されたサーバーから送られたかを確認し、認可されていない送信者が自社ドメインを使うことを防ぎます。
DKIMは電子署名を付加し、送信後に本文とヘッダーが変更されていないことを保証します。
DMARCはSPFとDKIMを運用に結び付け、検証に失敗したメッセージに対する隔離または拒否のポリシーを定め、可視化レポートを提供します。

これらのプロトコルが何を保護するかを確認できる表です。

プロトコル	保護する対象	保護しない対象
SPF	偽の送信元サーバー、一部のフィッシング	ディープフェイク、内容ベースのフィッシング、音声・映像による詐欺
DKIM	メッセージの改ざん、一部のフィッシング	ディープフェイク、ソーシャルエンジニアリング、音声・映像による詐欺
DMARC	ドメインのなりすまし、一部のフィッシング	ディープフェイク、意図ベースの攻撃、音声・映像による詐欺

重要なのは、これらのいずれのプロトコルも、メールの内容の意味や、攻撃者が使う可能性のある別の連絡手段を評価しないことです。侵害されたベンダーのアカウントから届いたメールがすべての技術的チェックを通過し、その後にディープフェイクの電話がかかってきた場合、メール認証プロトコルは問題なしと表示する一方で、組織は重大なセキュリティ侵害を被ることになります。

注：SPF、DKIM、DMARCは多くのフィッシングメールを防ぐのに役立ちますが、ディープフェイク攻撃や高度な詐欺から守ることはできません。こうした現代の脅威に備えるには、追加のセキュリティ層が必要です。

フィッシングの進化に対して、常に警戒を怠ってはなりません。認証プロトコルは必要不可欠な基盤ですが、現代の詐欺に直面したときには、それだけでは全く不十分です。

ディープフェイクBECの制限事項

送信者認証とコンテンツ検証の違い

DMARCのようなプロトコルだけに頼る場合の核心的な弱点は、送信者認証とコンテンツ検証の間にある大きな溝です。SPF、DKIM、DMARCは技術的な整合性を検証しますが、悪意ある意味内容にはまったく気づきません。攻撃者は類似ドメインや新規登録ドメインを通じてメールの認証に成功し、DMARCのすべての要件を満たすことができます。その一方で、本文には人工知能によって巧妙に作られたソーシャルエンジニアリングの罠が含まれている場合があります。

これらのプロトコルはトランスポート層とDNS層だけで動作するため、役員の ID が文章の中で悪用されていることは検出できません。この隙を突いて、サイバー犯罪者は従来のメールフィルターを完全にすり抜ける、非常に説得力のあるフィッシングメールを作成できてしまいます。プロトコルはインフラを検証しますが、キーボードの向こうにいるとされる人物については何も分かりません。

主な制限事項を示す表は次のとおりです。

プロトコル	制限事項
SPF	メールの内容は検証されず、失敗時の対処方法も定められていません。
DKIM	メッセージの完全性は検証できますが、失敗時の動作は定められておらず、転送のシナリオでは失敗する場合があります。
DMARC	ポリシーを効果的に適用するには、SPF と DKIM の少なくとも一方が正しく設定されている必要があります。

こうした制約を理解すると、セキュリティチームが油断できない理由が見えてきます。技術的な認証はメール配信の健全性を保つものの、認証済みの送信元から発生するディープフェイク詐欺やビジネスメール詐欺 (BEC) を防ぐことはできません。

ディープフェイク BEC 攻撃が成功する理由

ディープフェイク BEC 攻撃は、技術的な防御を巧みにすり抜けながら、人間の心理的な弱点を突くために成功します。従業員がすべてのセキュリティチェックを通過したメールを受け取り、それに上司と声や見た目がそっくりな音声メッセージや動画クリップが添えられていると、判断力が鈍ります。さらに、SMTP スマグリングの脆弱性など、多数の公共および民間のメールサービスに影響するグローバルなメール経路の構造的な弱点により、高度な攻撃者が認証ゲートウェイを丸ごと回避してきた経緯もあります。

経営層やセキュリティリーダーの自信に関する指標を見てみましょう。

サイバーセキュリティリーダーの 60% が、ディープフェイク攻撃への対策に自信を持てていません。
38% が、ディープフェイク音声に対する従来の意識向上トレーニングの効果を「ある程度」以下と評価しています。
39% が、ディープフェイク動画に対するトレーニングの効果を「ある程度」以下と評価しています。
28% が、AI によるフィッシングはまだ初期段階にあると考えています。
25% が、ディープフェイク音声攻撃を、大幅にエスカレートする余地のある初期段階の脅威と分類しています。

こうした自信の欠如には根拠があります。攻撃者は、複数のチャネルを組み合わせた合成メディアと、正しく認証されたメールを組み合わせており、従来のセキュリティ体制を打ち負かす欺瞞の条件がそろっています。

よくあるセキュリティの誤解

IT 管理者の間で根強い誤解の一つに、DMARC ポリシーを p=none にすれば実質的なセキュリティ保護になるというものがあります。実際には、p=none はレポートデータの収集を目的とした監視モードにすぎず、認証されていないメールやなりすましメールをブロックすることはありません。保護の境界を実効性のあるものにするには、p=quarantine または p=reject へ段階的に移行する必要があります。

もう一つのよくある誤解は、トランザクション用や社内専用のドメインには厳格な認証は不要だというものです。これらのドメインを保護しないと、攻撃者に悪用される側面的な脆弱性が残ります。最後に、多くの管理者は DMARC の導入は非常に複雑だと考えていますが、現在の導入ツールや自動化されたガイダンスにより、コンプライアンス対応は大幅に簡素化されています。

よくある誤解を解消する表は次のとおりです。

誤解	事実
自分を守るには DMARC ポリシーを p=none にするだけで十分です。	p=none はレポート作成のためのポリシーであり、フィッシングに対する実質的な保護にはなりません。本当のセキュリティを確保するには、p=quarantine や p=reject のようなより強力なポリシーが必要です。
当社はトランザクションメールしか送信していないので、これらの変更は当社には関係ありません。	トランザクションメールも、配信の確実性とブランドの保護のために送信元認証が必要です。適切な認証はスパムフィルターを避けるのに役立ち、信頼の構築にもつながります。
これらの変更の実装には、高度な技術的専門知識が必要になるでしょう。	コンプライアンス対応を簡素化する多くのツールやリソースが用意されているため、技術に詳しくないユーザーでも取り組めます。

注意: ディープフェイク BEC 攻撃は従来のプロトコルを回避できることを理解しておく必要があります。技術的な統制に加え、人による注意喚起と高度な検出ツールを組み合わせる必要があります。攻撃者はディープフェイク技術を使って説得力のあるフィッシングメッセージを作成します。現代の詐欺から身を守るために、常に警戒を怠らず、セキュリティの取り組みを更新し続けてください。

ディープフェイク BEC 攻撃の手法

Deepfake BEC Attack Methods

実際のシナリオ

ディープフェイクによる攻撃は、もはや理論上のSFシナリオではありません。2024年1月には、多国籍エンジニアリング企業のArupが、ディープフェイクを使った大規模な詐欺事件の被害に遭いました。攻撃者はバーチャル会議中にリアルタイムの映像と音声のディープフェイクを使い、同社の最高財務責任者（CFO）やほかの上級幹部になりすましました。合成されたアバターと音声があまりにも説得力があったため、財務部門の従業員は複数回の取引を通じて2,500万ドルを自ら送金してしまいました。この象徴的な事件は、高度な脅威アクターが複数チャネルの合成メディアを組み合わせ、標準的な企業の検証プロセスやセキュリティのベストプラクティスを完全に回避しようと積極的に動いていることを示しました。

BECにおけるディープフェイクの手口

詐欺師は、組織の階層構造が自然と従順さを生むことから、C-suite（経営幹部）へのなりすましに大きく依存しています。脅威アクターがCEOや事業部長、財務責任者の声や映像を複製することに成功すると、機密性の高い金融取引を扱う下位の従業員に対して、その権限を武器として使います。これらの手口は合理的な疑念を迂回させるため、一貫して多額の金銭的損失をもたらしています。

ディープフェイクを使ったBEC攻撃では、通常、次のような複数の手口が重ねて使われます。

電話や留守番電話への音声メッセージで使われる合成音声の複製。
バーチャル会議中に、経営幹部の存在を偽装するためのリアルタイムの映像操作。
標的となる幹部のコミュニケーションスタイルや言い回しを忠実に再現する、AIを使ったメール作成。
正規のメールが届いた直後に、ディープフェイクによる電話が裏付けとして掛かってくる、複数チャネルを組み合わせた連携型の攻撃。

ディープフェイクBECにおける人的要因

結局のところ、ディープフェイクBECが狙うのは技術的なコードではなく人間の心理です。攻撃者は、被害者にすぐさま従わせるために、確立されたソーシャルエンジニアリングの原則を多用します。

原則	説明
権威	攻撃者は権威のある人物になりすますため、人は疑問を持たずに従ってしまいます。
緊急性	メッセージによって時間的なプレッシャーを与え、迅速で熟考しない行動を促します。
社会的証明	同僚がすでに更新を完了している、といった同調の主張を利用して、社会的影響力を活用します。
希少性	期間限定の提案によって取り残される恐れを生み、従う可能性を高めます。
返報性	価値のあるものを提供することで返礼の義務感を生み、従う可能性を高めます。
好意	人は、好意を持っている相手や親近感を覚える相手からの依頼に従いやすくなります。

慎重さを保ってください。ディープフェイクBECは単なる技術的な問題ではありません。あなたの信頼、日頃の習慣、そして人を助けたいという気持ちを狙ってきます。

ディープフェイクBECへの対策

従業員トレーニング

ディープフェイクBECは人間の知覚を標的にするため、従業員教育は依然として不可欠な防御線です。ただし、文法の誤りや不審なメールヘッダーを見分けることだけに焦点を当てた従来型の意識向上トレーニングでは、もはや十分ではありません。組織は、統制された環境で合成メディアのシナリオに従業員を触れさせる、没入型のディープフェイク・シミュレーション・トレーニング・プラットフォームに投資する必要があります。トレーニング中に、合成された幹部によるディープフェイクのビデオ通話や音声クローンを体験することで、従業員は、行動に移す前に立ち止まり、振り返り、不自然な要求を確認する習慣を身につけられます。

高度な脅威検出

技術は人による意識向上を補完する必要があります。現代のセキュリティアーキテクチャには、人工知能と機械学習によって動作する高度な脅威検出システムが組み込まれています。これらのツールは、コミュニケーションチャネル全体の行動ベースラインを分析し、標準的なメールフィルターが見逃す異常を検出します。

テクノロジーの種類	説明
AIを活用した不正検出	人工知能を使って、ディープフェイクによる試みを含む不正行為を特定します。
異常検出システム	ディープフェイクBECの試みを示す可能性のある不審なパターンを監視します。
ディープフェイク検出ツール	AIが生成したコンテンツを特定するための専用ツールで、ディープフェイクに対するセキュリティを強化します。

帯域外（アウトオブバンド）検証

ディープフェイクBECに対する最もシンプルかつ効果的な対策の一つが、帯域外検証プロトコルを厳格に守ることです。送金、認証情報の共有、ポリシーの例外措置などに関わる緊急または重要度の高い要求を従業員が受け取った場合、そのメール、音声、ビデオ通話がどれほど本物らしく見えても、事前に確立された独立したチャネルを通じて要求内容を必ず確認しなければなりません。

帯域外検証では、不審な要求を、別の独立した通信手段で確認する必要があります。例えば、既知の社内内線番号に折り返し電話をかけるといった方法です。
ユーザーは、機密性の高い指示を、事前に承認された2つの独立した経路で確認する必要があります。これにより、主要な連絡経路が侵害されても、検証の仕組み全体が無効になることを防げます。

ポリシーの改善

技術的な統制と教育は、妥協のない組織のポリシーに裏付けられている必要があります。ガバナンスの枠組みを見直し、リスクの高い財務および管理上の処理には複数人による承認ワークフローと、厳格なロールベースのアクセス許可が求められるようにしてください。また、従業員が報復を恐れることなく不審な連絡を報告できるよう、報告手順を明確に定めてください。

ポリシーの種類	メリット
多要素の確認	2つの方法で確認を行うことで、詐欺を防止します
ロールベースの承認	リスクの高い処理を承認できる人を限定します
インシデントの報告	不審な活動に迅速に対応できるようになります
定期的なポリシーの見直し	防御策を最新の状態に保ちます

ヒント: 明確なポリシーは、フィッシングやディープフェイクによる攻撃の防止に役立ちます。全員がルールを理解していれば、ミスが減り、組織の安全を守れます。

Microsoft Entra Verified ID ソリューション

Entra Verified ID の仕組み

ディープフェイクを利用した BEC の危機を本当に解決するには、組織は「見覚えによる信頼」から、暗号技術に基づき証拠で確認する方式へと移行する必要があります。Microsoft Entra Verified ID は、堅牢な分散型ID ソリューションを提供し、組織がアクセスを許可したりリスクの高い処理を承認したりする前に、個人の本人性と権限を暗号技術によって検証できるようにします。

Entra Verified ID には、オンボーディング時の政府発行の写真付き身分証明書の確認やライブネス検出など、視覚的な検証の仕組みが組み込まれています。これにより、資格情報を提示している人物が実際に本人であり、検証済みであることを保証します。デバイスの構成証明、行動生体認証、検証可能な資格情報を組み合わせることで、見慣れた声や顔だけを信頼することに伴う脆弱性を取り除けます。

注: Entra Verified ID は既存の統制を置き換えるものではありません。見た目による認識ではなく証明に基づく、強固な防御の層を追加するものです。

権限の確認と本人確認の違い

本人確認はその人物が誰であるかを確かめますが、権限の確認はその人物がリスクの高い取引を実行する具体的な権限を持っているかを判断します。Entra Verified ID は発行者・保有者・検証者のアーキテクチャを採用しており、組織は資格情報の発行と取り消しを正確に管理できます。

観点	IDV が発行する資格情報	組織が発行する資格情報
発行者	サードパーティの本人確認プロバイダー	組織自身の Verified ID 機関を通じた自組織
信頼の基点	IDV の発行者 DID と評判	自組織の DID とオンボーディングの手順
ポータビリティ	雇用主をまたいで移行しやすい	既知の従業員または取引先の範囲内で最も強力に機能する
取り消し	IDV が管理する	組織が直接管理する
コスト	パートナーの料金に基づく手数料が発生する	Entra に基本的な発行機能が含まれる
データに関する責任	生の本人確認情報の多くが IDV 側に残る	証明と証拠の取り扱いに関する判断の多くが組織側に残る
最適な利用シナリオ	入社前の本人確認、アカウントの回復	従業員のアクセス、既知の範囲内での B2B 信頼

Entra Verified ID と既存のセキュリティの統合

Entra Verified ID を導入するために、既存の Microsoft 365 のセキュリティへの投資を捨てる必要はありません。ゼロトラスト戦略にスムーズに組み込まれ、条件付きアクセスポリシー、エンドポイント保護、高度な脅威分析と並行して機能します。大口の送金や管理者による例外処理などの機密性の高いワークフローで検証可能な資格情報を必須とすることで、攻撃者は暗号技術に基づく権限を偽造できないため、ディープフェイクを利用した BEC の試みを無効化できます。

ヒント: Entra Verified ID を使って、本人性と権限の両方を確認しましょう。この手順により、ディープフェイクを利用した BEC 攻撃を防ぎ、組織の安全を守れます。

ディープフェイクを利用した BEC 攻撃を防ぐために、SPF、DKIM、DMARC だけに頼ることはできません。これらのツールは、類似ドメインや AI を利用したなりすましをブロックできません。

SPF、DKIM、DMARC では、類似ドメイン攻撃、近縁ドメイン攻撃、無料の Web メールアカウントによるなりすましを防ぐことはできません。これらのプロトコルは人の判断に依存しており、AI が生成したコンテンツによって容易に操作される可能性があります。
多層的な防御が必要です。従業員教育、リスク管理、ベストプラクティスから始めてください。さらに、権限の確認のために Microsoft Entra Verified ID などの高度なソリューションを追加してください。

2024 年には、BEC 攻撃により、米国だけで 29 億ドルの損失が発生しました。
平均的なBEC詐欺は、1件あたり企業に137,132ドルの損害を与えています。
フィッシングシミュレーション、継続的な監視、定期的なトレーニングを活用して、防御の状況を測定し、組織を安全に保ちましょう。

🎧 このエピソードを聴く

Verified IDでディープフェイクによるBEC（ビジネスメール詐欺）を止めるについて、実践的な解説をお探しですか？このエピソードでは、このテーマを分かりやすく解説し、Microsoft 365、Azure、Power Platform、セキュリティ、AI、そして現代の働き方においてなぜ重要なのかを紹介します。

このエピソードが次のような方に役立つ場合は、ぜひお聴きください:

Stop Deepfake Business Email Compromise with Verified IDの背景にある主要な概念を理解したい方
より広い Microsoft テクノロジーのエコシステムの中でどのような位置づけにあるかを知りたい方
組織においてどのように実用的な価値を生み出せるかを学びたい方

あわせてお聴きいただきたい関連する M365 FM のエピソード:

M365 FM で、Microsoft に関する実践的な話題をさらにご覧ください。