ディープフェイク音声とは、実在の人物の声をAIで合成した偽の音声のことです。

電話の声だけで相手を特定していないでしょうか。IPAが決定した情報セキュリティ10大脅威の組織向けランキングでは、AIの利用をめぐるサイバーリスクが初めて選出されて3位に入り、ビジネスメール詐欺が10位に残っています（出典: IPA 情報セキュリティ10大脅威 2026）。この記事では、声や映像を使ったなりすましを前提に、士業事務所が電話・メール・オンライン面談で本人をどう確かめるかのルールを7項目に整理し、規程への落とし方まで扱います。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政機関等の見解は各機関の公表資料で確認しています。

IPAのランキングが示す2026年の脅威の並びと、士業事務所の位置

まず、脅威の並びを一次情報で確認します。IPAは2026年1月29日に情報セキュリティ10大脅威 2026を決定しました。組織向けの順位は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスク、4位がシステムの脆弱性を悪用した攻撃、5位が機密情報を狙った標的型攻撃と続きます。7位に内部不正による情報漏えい等、10位にビジネスメール詐欺が入っています（出典: IPA 情報セキュリティ10大脅威 2026）。

この並びのうち、士業事務所が自分ごととして読むべきものが3つあります。ひとつは2位のサプライチェーンや委託先を狙った攻撃です。IPAの分類では2019年に初選出され、8年連続8回目の取り扱いとされています（出典: 前掲 IPA 資料）。士業事務所は顧問先から見れば委託先であり、狙われる側に立っています。もうひとつは3位のAIの利用をめぐるサイバーリスクで、2026年に初めて選出された項目です。3つ目は10位のビジネスメール詐欺で、2018年に初選出され9年連続9回目とされています（出典: 前掲 IPA 資料）。

なりすましは、これら3つが重なる領域にあります。事務所を委託先として狙い、AIで生成した声や文面を使い、送金や情報開示を促す。手口の構造としては従来のビジネスメール詐欺と同じですが、本人性を確かめる材料として使われてきた「声」や「話し方」が、材料として弱くなったという点が変化です。

士業事務所が置かれた立場を具体的に言えば、次のような場面が想定されます。顧問先の代表者を名乗る人物から、いつもと違う口座への振込を依頼する連絡が入る。決算期の繁忙時に、担当者を名乗る人物から資料の再送を求められる。オンライン面談で、初めて会う相手の本人確認を映像だけで済ませる。いずれも、これまでは声や顔が本人性の裏づけとして機能していた場面です。

なお、AIを使った偽装が実際の不正で使われた例としては、公的な資金の詐取に関する当局の警戒要請なども報じられています。この論点はAI偽装の幽霊学生と公的資金の詐取を扱った記事で整理しています。

士業事務所が構造的に狙われやすい理由は3つあります。第一に、顧問先の財務情報や個人情報を集約して持っていることです。ひとつの事務所を破れば複数の顧問先の情報に届く、という意味で攻撃側の費用対効果が高い位置にあります。第二に、金銭の動きに関与する場面が多いことです。税務、登記、労務のいずれの領域でも、支払いや届出の期限に紐づく連絡が日常的に発生します。第三に、繁忙期がはっきりしていることです。申告期や決算期は外から見ても分かるため、確認が甘くなる時期を狙われやすくなります。

一方で、士業事務所には有利な条件もあります。顧問先の数が限られており、日常的にやり取りする相手の顔ぶれが固定していることです。不特定多数を相手にする業種と違い、登録済みの連絡先へのコールバックという手法がそのまま機能します。相手を知っているからこそ確認できる、という強みを手順に組み込むかどうかが分かれ目になります。

電話・メール・オンライン面談で本人を確かめる7項目

ここからは事務所のルールです。技術で防ぐ話ではなく、手順で防ぐ話として設計します。

第1項目は、コールバックの一方向化です。かかってきた電話番号にかけ直すのではなく、事務所の顧客管理に登録済みの番号にかけ直します。番号は表示を信用せず、登録済みのものだけを使う運用にします。この1点だけで、電話を起点にした手口の多くは止まります。

第2項目は、経路を変えることです。電話で来た依頼はメールで、メールで来た依頼は電話で確認します。同じ経路の中で確認を完結させないという原則を、事務所の共通ルールにします。攻撃側が複数の経路を同時に握っている可能性は、単一経路より低くなります。

第3項目は、金銭に関する依頼の別扱いです。振込先の変更、初めての口座への送金、金額の大きい支払いに関する依頼は、内容にかかわらず一段重い確認を通します。確認の内容と、確認した担当者の名前を記録に残す運用にします。

第4項目は、緊急性への構えです。なりすましは急がせます。今日中に、いますぐに、といった圧力がかかったときこそ手順を飛ばさないという方針を、事前に文書化しておきます。担当者が個人で判断すると、圧力に負けます。手順書に書いてあれば、手順書を理由にして待てます。急がせる連絡が来たこと自体を、不審のサインとして記録する運用にしておくと、後から傾向が見えます。

第5項目は、合言葉の運用です。顧問先ごとに、電話で使う確認事項を平時に決めておく方法があります。前回の面談日、直近で提出した書類の名称、担当者しか知らない業務上の事実など、公開情報から推測しにくいものを選びます。生年月日や会社の代表番号のような、外部から取得できる情報は避けます。

第6項目は、オンライン面談の扱いです。映像と音声だけで本人性を判断せず、面談の前後に別経路の確認を挟みます。初回の面談では、事前に登録した連絡先へ会議URLを送る、面談中に登録済みの情報と照合する、といった運用があります。

第7項目は、記録です。誰が、いつ、どの経路で、何を確認したかを残します。事故が起きたときの初動が速くなり、起きなかった場合も監査可能な運用になります。事故が起きたあとの動き方については、生成AI起因の情報漏えいの初動対応を扱った記事で手順を整理しています。

法令の側から見ると、本人確認の枠組みそのものは既に存在します。e-Gov法令検索 犯罪による収益の移転防止に関する法律第4条は、特定事業者は、顧客等との間で別表の区分に応じて定める業務のうち下欄に定める取引を行うに際しては、主務省令で定める方法により、当該顧客等について本人特定事項（自然人にあっては氏名、住居、生年月日）等の確認を行わなければならない、という構造の規定を置いています。同条は冒頭の括弧書きで、第二条第二項第四十五号に掲げる特定事業者（同法第十二条において弁護士等という）を除く旨を定めています。自事務所がどの区分に位置づけられ、どの取引で確認が求められるかは、条文と別表、および所属会の定めに沿って確認する形になります。

なりすまし対策のルールは、この法令上の枠組みとは別に、事務所の運用として上乗せするものです。法令が求める確認を満たしていても、日常の連絡における本人性の確認は別に設計する必要があります。

手口の傾向を職員向けに整理するプロンプトの例です。事務所固有の判断は入れず、共有資料の骨子作りに限定します。

あなたは事務所内の注意喚起資料の作成を補助するアシスタントです。
以下の【確定した事実】だけを使って、職員向けの注意喚起資料の骨子を作成してください。

【確定した事実】
（公的機関の公表資料から抜き出した箇条書きをここに貼り付け）

出力形式:
- 資料の見出し案（4〜6本）
- 各見出しの下に入れる要点（各2行以内）
- 職員が実際に取る行動の手順（番号付き、5項目以内）

制約:
- 【確定した事実】に書かれていない事実や統計を追加しないでください。
- 特定の企業名やサービス名を推測で書かないでください。
- 手口を再現できる具体的な方法は書かないでください。
- 情報が足りない箇所は「要確認」と明記してください。

不審な連絡が来たときの記録を整えるプロンプトの例です。判断ではなく整理に限定します。

以下の断片メモから、不審な連絡に関する記録票を作成してください。

出力形式:
1. 受信日時 / 経路（電話・メール・チャット・面談） / 相手が名乗った氏名と所属
2. 依頼された内容（原文に近い形で）
3. 不審だと感じた具体的な点
4. 事務所側が実際に取った行動と、その時刻
5. 確認できていない事項の一覧

制約:
- メモに書かれていない事実を補わないでください。推測は禁止です。
- 相手が詐欺かどうかの判断は書かないでください。事実の整理のみ行ってください。
- 顧問先の実名は「顧問先A」に置き換えて出力してください。

【断片メモ】
（気づいた経緯を箇条書きで貼り付け）

確認の過程で守秘義務を破らないための設計

なりすまし対策には、見落とされがちな落とし穴があります。確認しようとする行為そのものが、情報の漏えいになり得ることです。

たとえば、相手が本人かどうかを確かめるために、こちらから業務の内容に触れてしまう場面です。前回ご相談いただいた件ですが、と切り出した時点で、相手が誰であれ、そこに情報が渡ります。合言葉の運用で、こちらから業務内容を言わない設計が要るのはこのためです。確認事項は相手に答えさせる形にし、こちらからは提示しない。この一方向性が要点になります。

守秘義務の根拠は職種ごとに置かれています。e-Gov法令検索 弁護士法第23条は、弁護士または弁護士であった者はその職務上知り得た秘密を保持する権利を有し義務を負う、ただし法律に別段の定めがある場合はこの限りでない、と定めています。e-Gov法令検索 税理士法第38条は、税理士は正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならない、と定めています。e-Gov法令検索 司法書士法第24条は、司法書士または司法書士であった者は正当な事由がある場合でなければ業務上取り扱った事件について知ることのできた秘密を他に漏らしてはならない、と定めています。e-Gov法令検索 行政書士法第12条は、行政書士は正当な理由がなく業務上取り扱った事項について知り得た秘密を漏らしてはならない、行政書士でなくなった後も同様とする、と定めています。

これらの条文は、相手が本人でなかった場合に初めて問題になります。だからこそ、本人性が確認できていない段階では業務情報に触れないという順序が、条文の要請と噛み合います。事務所規程に落とすなら、運用例として次の4点を骨格にできます。第一に、本人性の確認が済むまで業務内容に触れないこと。第二に、確認は登録済みの経路で行うこと。第三に、金銭に関する依頼は経路を変えて二重に確認すること。第四に、確認の記録を残すこと。

顧問先への説明も平時の仕事です。事務所からの連絡方法を先に伝えておくと、逆方向のなりすまし、つまり事務所を装う連絡に顧問先が引っかかる確率が下がります。事務所からは登録済みの番号とメールアドレスからのみ連絡する、振込先の変更を電話だけで伝えることはしない、といった方針を、契約時と年1回の見直し時に共有している例があります。

AIツールを使った業務のなかで、なりすましの材料が集まってしまう経路にも注意が要ります。事務所の公開情報が多いほど、合言葉に使える固有情報は減ります。担当者名や業務内容を細かく公開している場合、それらは確認材料として使えなくなる、という前提で合言葉を設計します。専門家の名義が悪用される事例については、専門家名義の悪用を扱った記事でも触れています。

実際に起きやすい3つの失敗と回避策

1例目は、表示された番号にかけ直す類型です。着信履歴の番号やメール本文に書かれた番号にかけ直しても、確認になりません。回避策は、コールバック先を顧客管理に登録済みの番号に限定し、その運用を手順書に書くことです。担当者が判断する余地を残さないのが要点です。

2例目は、繁忙期に手順が飛ぶ類型です。決算期や申告期は、確認を省く圧力が最も強くかかります。回避策は、繁忙期こそ手順を短く保つことです。項目が多い確認手順は、忙しいときに丸ごと省略されます。金銭に関する依頼だけは省かずに通す短い確認、という形に絞ったほうが実際には機能します。

3例目は、確認の過程で情報を渡す類型です。本人かどうかを確かめようとして、こちらから業務内容を口にしてしまうケースです。回避策は、確認事項を相手に答えさせる形式に統一し、こちらから提示しない設計にすることです。合言葉のリストは、質問文の形で用意しておくと運用しやすくなります。

なお、攻撃側がAIを使うことで手口の実行が容易になっている傾向については、AIサイバー攻撃の倍増を扱った記事でも整理しています。技術的な対策と手順的な対策は、どちらか一方では足りません。

費用と工数、誰がこの運用を持つのか

費用は、実質的に人件費だけです。新しい機材やツールを導入しなくても、手順とルールの整備で始められる領域です。顧客管理システムに登録済み連絡先を整える作業が発生する場合はありますが、多くの事務所ではすでにある情報の整理で足ります。

工数の中心は、3つです。顧問先ごとの登録済み連絡先の棚卸し、合言葉の設定と共有、そして手順書の作成です。棚卸しは顧問先数に比例します。合言葉の設定は、契約更新や年次の面談のタイミングに合わせると、別途連絡する手間が省けます。手順書は1本作れば済みますが、繁忙期に読める長さに抑えることが実効性を左右します。

運用の持ち主は、事務局責任者が適しています。日常の電話とメールを最初に受けるのが事務局であることが多く、ルールが実際に使われる場所と一致するためです。有資格者は、金銭に関する依頼の最終判断と、顧問先への方針説明を担います。年に一度、実際の連絡を想定した読み合わせを行うと、手順書の書きぶりの粗さが見つかります。

導入の順序としては、金銭に関する依頼の確認ルールから始めるのが効率的です。被害額が大きくなりやすい領域であり、対象となる連絡の件数も限られるため、短期間で運用に乗せられます。そこが回り始めてから、資料の再送依頼や連絡先の変更依頼へ範囲を広げていく形が現実的です。最初からすべての連絡に確認を求める設計にすると、繁忙期に運用が崩れます。

顧問先ごとの温度差にも配慮が要ります。合言葉の設定に協力的な顧問先もあれば、面倒だと感じる顧問先もあります。後者に対しては、確認の目的が顧問先の資金と情報を守ることにある点を、契約更新の面談で説明しておくと受け入れられやすくなります。事務所側の都合ではなく、顧問先側の利益として説明できるかどうかが定着を左右します。

この先の論点

第一に、確認手段の陳腐化です。声が材料として弱くなったのと同じ経路で、映像も弱くなります。本人性の確認を、生体的な情報ではなく、事前に共有した知識や登録済みの経路に寄せていく流れが強まると考えられます。

第二に、顧問先側の体制です。事務所がどれだけ手順を整えても、顧問先の社内で決裁が緩ければ被害は起きます。顧問先への助言の中に、送金手続の二重確認を組み込む提案が入ってくる場面が増えます。

第三に、記録の標準化です。不審な連絡の記録票を事務所ごとにばらばらに作っている状態では、所属会や業界での知見の共有が進みません。様式が揃うほど、手口の傾向が早く共有されるようになります。

第四に、業務システム側の設計です。振込先の変更や連絡先の更新を、誰がどの画面で行えるかは、事務所が使っている会計ソフトや顧客管理システムの設定に依存します。手順書でどれだけルールを決めても、システム上は担当者ひとりで変更できてしまう状態であれば、抜け道が残ります。ルールとシステム設定を照らし合わせて、ずれている箇所を洗い出す作業が、次の実務課題になります。

第五に、教育の頻度です。手順書を作った直後は全員が覚えていますが、半年経つと薄れます。年次の読み合わせに加えて、実際に来た不審な連絡を事務所内で共有する運用を持つと、記憶が更新され続けます。共有する際に顧問先が特定されない形へ加工する手順も、あわせて決めておく必要があります。

よくある質問

AIの利用をめぐるサイバーリスクは何位ですか

IPAが決定した情報セキュリティ10大脅威 2026の組織向けランキングでは3位で、2026年に初めて選出された項目です。1位はランサム攻撃による被害、2位はサプライチェーンや委託先を狙った攻撃とされています（出典: IPA 情報セキュリティ10大脅威 2026）。

ビジネスメール詐欺はランキングに残っていますか

残っています。組織向けの10位に入っており、2018年に初選出され9年連続9回目の取り扱いとされています（出典: 前掲 IPA 資料）。順位が下がっていることは、手口が消えたことを意味しません。

電話の声で本人確認をしてはいけないのですか

してはいけないという規範を示すものではありませんが、声だけを唯一の材料にしない設計が実務上は現実的です。登録済みの番号へのコールバック、経路を変えた確認、事前に決めた確認事項の照合を組み合わせる運用例があります。

合言葉には何を使えばよいですか

外部から取得しにくい業務上の事実を使う例があります。前回の面談日、直近で提出した書類の名称、担当者間でのみ共有している事項などです。生年月日、会社の代表番号、公開されている役員名など、調べれば分かる情報は材料として弱くなります。

本人確認は法律で求められていますか

取引の種類と事業者の区分によります。犯罪による収益の移転防止に関する法律第4条は、特定事業者が特定取引を行うに際して顧客等の本人特定事項等の確認を行わなければならないという構造の規定を置いており、同条の括弧書きで第二条第二項第四十五号に掲げる特定事業者を除く旨が定められています（出典: e-Gov法令検索 犯罪による収益の移転防止に関する法律）。自事務所の位置づけは、条文と別表、所属会の定めに沿って確認する形になります。

確認の過程で守秘義務が問題になることはありますか

相手が本人でなかった場合には論点になり得ます。たとえば税理士法第38条は、税理士は正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならないと定めています（出典: e-Gov法令検索 税理士法）。本人性が確認できるまで業務内容に触れないという順序を運用に組み込む理由が、ここにあります。

顧問先にはどう伝えればよいですか

事務所からの連絡方法を先に伝えておく例があります。登録済みの番号とメールアドレスからのみ連絡すること、振込先の変更を電話だけで伝えることはしないこと、といった方針を、契約時と年次の見直し時に共有する形です。事務所を装う連絡への耐性が上がります。

参考文献

• IPA 情報セキュリティ10大脅威 2026
• IPA プレス発表 情報セキュリティ10大脅威 2026 を決定
• e-Gov法令検索 犯罪による収益の移転防止に関する法律
• e-Gov法令検索 弁護士法
• e-Gov法令検索 税理士法
• e-Gov法令検索 司法書士法
• e-Gov法令検索 行政書士法

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/