第１ 結論
ディープフェイクによって実在する経営者，依頼者，取引先又は同僚の顔や声が再現される以上，ビデオ会議で顔が見えたこと又は電話で聞き慣れた声を聞いたことだけを，本人確認の完了と扱うべきではない。
法律事務所では，送金，振込先口座の変更，預り金の払戻し，秘密情報の送信その他の重要な指示について，①既に登録した連絡先への折り返し，②元の連絡経路とは別の経路による確認，③起案者と承認者の分離，④例外を認める者と記録方法の事前指定を組み合わせる必要がある。
異常に急ぐ指示，「極秘」を理由に通常の承認を外す指示及び初めての口座への送金は，内容がもっともらしくても停止条件とする。
職員教育の中心は，映像の不自然さを見抜く技術ではなく，疑わしいと感じた者が送金又は開示を止め，既知の連絡先で確認し，所内へ報告できる手順に置くべきである。
日弁連規程・規則に基づく依頼者本人確認と，受任後に届く個別の送金又は払戻し指示が本人の意思に基づくかを確かめる手続は，目的と実施時点が異なる。
令和９年４月１日からのICチップ読取り等は受任時等の本人特定事項の確認を強化するが，後日の電子メール又はビデオ会議による送金指示まで当然に真正とするものではない。
既知の連絡先への折り返し，別経路確認及び複数名承認は重要な業務統制であるが，規程上必要な依頼者本人確認の代替にもならない。
制度上の本人確認については，弁護士が依頼者の本人確認を行う場合を参照されたい。
本記事は，令和８年１０月１３日時点で確認できた公表資料に基づき，法律事務所の予防，初動及び証拠保全を整理するものである。
特定の送金被害について，金融機関，保険会社又は関係者の法的責任を判断するものではない。
第２ ディープフェイク送金詐欺の手口
１ メールだけで終わらない複合型の詐欺
攻撃者は，経営者又は取引先を装うメール若しくはメッセージを入口として，被害者を電話又はビデオ会議へ誘導し，顔，声，表示名及び会議参加者をそろえて指示の真正らしさを高めることがある。
もっとも，表示された顔や声が本人に似ていることと，指示が本人の意思に基づくことは別の問題である。
公開されたウェブ動画，講演，SNSの画像及び録音は，偽の音声又は映像を作る素材になり得る。
したがって，著名な代表者だけでなく，ウェブサイトに顔写真や動画を掲載する弁護士，採用担当者，経理担当者及び依頼者の担当者も，本人詐称の対象になり得ることを前提にする必要がある。
２ 令和６年に香港で公表された約２億香港ドルの被害
香港政府が令和６年６月２６日に公表した立法会答弁によれば，香港警察は，同年１月末，英国本社の最高財務責任者を装うメッセージを受けた従業員がグループビデオ会議に参加し，５つの香港口座へ合計約２億香港ドルを送金した事件を把握している。
警察の当時の見立てでは，会議映像は公開された映像や音声を基に作られた事前録画であり，被害者と画面上の人物との実際の対話はなく，会議後の送金指示はインスタントメッセージで続けられた。
Biz Clipの記事は，この被害企業を英国のエンジニアリング会社Arupとし，１５回の送金及び当時の為替で約４０億円という細部を紹介している。
しかし，今回確認した香港政府の公表資料は，企業名，送金回数及び日本円換算額を記載していないため，本記事ではこれらを二次情報として区別する。
３ この事例から読み取れること
この事件から直接確認できるのは，複数人が参加するように見えるビデオ会議及び上司らしい音声又は映像が，送金指示の真正を保証しないということである。
また，攻撃者がリアルタイムの自然な対話を完全に再現できなくても，事前録画，表示名及び会議後のメッセージを組み合わせて被害を生じさせ得る。
したがって，「ディープフェイクを目で見抜く」ことだけを対策にしてはならない。
本人しか知らない情報をその場で答えさせる方法も，過去のメール，SNS又は漏えい情報から答えを推測される可能性があるため，登録済み連絡先への折り返し及び複数名承認に代わるものではない。
第３ 法律事務所で重要となる場面
１ 送金及び振込先口座の変更
法律事務所では，預り金の払戻し，和解金，損害賠償金，供託又は報酬・実費の支払など，事件処理と送金が近接する。
依頼者又は相手方の担当者を名乗る者から口座変更の連絡を受けた場合，変更後の連絡先ではなく，受任時又は契約時に登録した連絡先へ折り返し，変更の事実と口座名義を確認する必要がある。
送金の依頼メールと同じメールに記載された電話番号又は会議URLを確認経路として用いると，攻撃者が用意した経路の中だけで確認が完結する。
確認先の登録，変更及び利用を別々の者が記録できるようにし，初回送金，高額送金及び口座変更後の最初の送金には，通常より強い承認を設定することが考えられる。
２ 秘密情報及び認証情報の開示
攻撃者の目的は送金に限られず，事件記録，依頼者名，身分証明書，パスワード，多要素認証コード又はクラウドへのアクセス権を取得することもあり得る。
所長弁護士又はシステム管理者らしい顔や声であっても，認証コードの読み上げ，秘密情報の送信，遠隔操作ソフトの導入又はアクセス権の追加を求められた場合は，いったん停止して別経路で確認する。
弁護士情報セキュリティ規程とはで整理したとおり，法律事務所は，取扱情報の機密性だけでなく，完全性及び可用性も確保する必要がある。
本人詐称によって誤った送金又は誤った情報開示をさせる攻撃は，メール対策だけでなく，承認手続，連絡先台帳及び事故対応を一体として点検する課題である。
第４ 顔・声に依存しない本人確認
１ 既知の連絡先へ折り返す
警察庁のビジネスメール詐欺対策は，送金先口座を変更するメールを受けた場合，メール以外の方法又は取引先にあらかじめ登録した連絡先へ連絡して確認するよう求めている。
電話又はビデオ会議を伴う場合も同じであり，会議中に示された番号へかけるのではなく，登録済みの電話番号，公式の代表番号又は別途合意した安全な連絡経路を用いる。
折り返しの際は，単に「先ほどの件でよいですか」と尋ねず，送金目的，金額，相手方，期限及び振込先変更の有無を確認する。
確認を受ける本人の側も，急いでいることを理由に確認手続を非難せず，確認を止めなかった職員を評価する運用にする。
２ 起案者と承認者を分ける
送金データを作る者，振込先口座を登録又は変更する者及び最終承認者を可能な限り分ける。
少人数の事務所で完全な分離が難しい場合でも，初回口座，高額送金，口座変更及び通常と異なる時間帯の指示について，別の弁護士又は責任者が確認した記録を残すことが考えられる。
銀行の振込限度額，承認機能，受取人口座の事前登録及び通知機能を利用し，一人の端末又は一つのアカウントが侵害されても即時に全額送金できないようにする。
緊急時の例外を設ける場合は，例外を認める者，適用場面，事後確認の期限及び記録項目を平時に定める。
３ 会議をいったん切って組み直す
予定外のビデオ会議で重要な指示を受けた場合，その会議内で本人確認を完結させず，いったん終了して，既知の予定表又は公式アカウントから新しい会議を設定する。
参加者の表示名，背景，声又は画質は補助的な手掛かりにすぎず，それらが自然であることを承認条件にしない。
通信障害を理由にカメラを切る，質問への回答を避ける，音声が一方向である，会議後のメッセージだけで詳細な指示を続けるなどの事情は，手続を停止する契機になる。
もっとも，不自然さが見当たらないことは安全の証明にならないため，平常時と同じ折り返し及び複数名承認を省略しない。
第５ 教育及び訓練
１ 見破る訓練より止める訓練を行う
訓練では，瞬き，口の動き，照明又は声の揺れだけを探させるのではなく，①指示を保留する，②登録済み連絡先へ折り返す，③別の承認者へ回す，④所内窓口へ報告する，⑤銀行又は警察への連絡判断を開始するという行動を確認する。
攻撃技術が改善すれば見た目の兆候は変化するが，取引を別経路で確認する手続は攻撃者の映像生成能力に依存しない。
メールからビデオ会議又は電話へ誘導する複合型のシナリオを，法律事務所の標的型メール訓練の題材に含めることが考えられる。
評価指標は，偽物を言い当てた人数だけでなく，送金停止率，登録済み連絡先への折り返し率，最初の報告までの時間，銀行への連絡開始までの時間及び手順逸脱の理由とする。
２ 秘密を理由に承認を外さない
攻撃者は，「極秘案件」「経営者だけの指示」「今すぐ実行しないと取引が壊れる」などの説明によって，通常の確認を省略させようとする。
秘密保持が必要な案件でも，承認者の人数，記録場所及び連絡経路を限定して手続を維持し，秘密であること自体を単独承認の理由にしない。
訓練で失敗した個人を責めると，現実の事故で報告が遅れるおそれがある。
報告を受けた者は，まず報告に謝意を示し，何を見聞きし，何を送信又は入力し，いつ送金又は開示を行ったかを確認する。
第６ 顔・声のデータと委託先管理
個人情報保護委員会の通則編ガイドラインによれば，映像又は音声によって特定の個人を識別できる場合，その映像又は音声は個人情報に当たり得る。
また，顔，歩行の態様，手指の静脈，指紋又は声紋の特徴から本人認証に使えるよう変換した符号は，個人識別符号に当たり得る。
法律事務所が研修動画，ウェブ会議録画又は広報用動画を公開する場合，公開目的，範囲及び保存期間を確認し，不要になった録画を漫然と公開し続けないことが考えられる。
もっとも，公開画像を減らすだけで本人詐称を防げるわけではないため，送金及び開示の手続的統制を中心に据える。
外部業者へ音声，顔画像，会議録画又は職員の反応記録を渡して訓練若しくは検証を行う場合，利用目的，学習利用の有無，保存場所，アクセス権，保存期間，削除，再委託及び事故時の連絡を確認する。
「AIの精度向上」などの広い目的だけで二次利用させず，必要なデータ項目と利用期間を限定する。
第７ 被害が疑われる場合の初動と証拠保全
１ 送金を止め，銀行へ連絡する
送金前であれば承認処理を停止し，送金済みであれば直ちに取引銀行へ連絡して，組戻し，取消し又は送金先金融機関への連絡が可能かを確認する。
警察庁も，ビジネスメール詐欺の被害に遭った場合，送金元金融機関へ取消し等を依頼し，警察へ相談するよう案内している。
銀行の連絡先，口座情報，インターネットバンキングの利用者番号及び警察相談の担当者は，事故時にメールを検索しなくても確認できる連絡票にしておく。
ただし，暗証番号，パスワード又はワンタイムコードを同じ連絡票へ記載しない。
２ 削除せず時系列を残す
入口となったメールの原本及び完全なヘッダー，会議招待，チャット又はメッセージ，表示名，参加者一覧，会議URL，電話番号，送金指示，振込結果，銀行との連絡及び端末・クラウドのログを保存する。
録音又は録画が既に適法に保存されている場合は上書き又は削除を止め，取得元，取得時刻，ファイル名及びハッシュ値を記録する。
「誰が本物に見えたか」という記憶だけでなく，受信，参加，確認，承認，送金，発覚，銀行連絡及び警察相談の時刻を分けて記録する。
証拠保全の一般的な方法は，デジタル証拠の原本保全とハッシュ値を参照されたい。
３ 情報漏えい等の有無を別に判定する
送金被害と同時に，事件記録，依頼者情報，認証情報又は会議録画が外部へ送信された場合，金銭被害だけでなく，秘密情報及び個人データの漏えい等として影響範囲を確認する。
個人情報保護委員会への報告，本人への通知，依頼者への説明及び弁護士会規程上の対応は，取得された情報の内容，人数，不正目的のおそれ及び委託関係を踏まえて個別に判断する。
技術的封じ込め，期限保全及び外部連絡を含む全体の流れは，法律事務所のサイバー事故初動チェックリストを参照されたい。
送金の回収可能性は時間とともに低下し得るため，証拠の整理が終わるまで銀行への連絡を待たない。
第８ 平時の確認チェックリスト
①重要な指示について，顔又は声だけで本人確認を完了させない
②依頼者，取引先及び所内責任者の確認用連絡先をあらかじめ登録した
③依頼メール又は会議内で新たに示された連絡先を確認経路に使わない
④初回口座，口座変更，高額送金及び異例の時間帯を停止条件にした
⑤送金データの作成，口座登録及び最終承認を分けた
⑥「極秘」又は「緊急」であっても承認を省略しない
⑦メールから電話又はビデオ会議へ誘導される複合型の訓練を行う
⑧銀行，警察及び所内事故担当者の連絡票を用意した
⑨メール，会議招待，チャット，送金記録及びログの保存手順を決めた
⑩顔，声又は会議録画を外部業者へ渡す場合の利用目的，保存及び削除を確認した
第９ 出典の位置付け及び調査範囲
１ 一次資料及び公的資料
①香港特別行政区政府「LCQ9: Combating frauds involving deepfake」（令和６年６月２６日）
②情報処理推進機構「情報セキュリティ10大脅威 2026」及び組織編解説書
③警察庁「ビジネスメール詐欺」
④個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
⑤日本弁護士連合会「弁護士情報セキュリティ規程」
香港政府資料は，公的機関による事件公表であるが，判決又は捜査終結後の認定ではなく，公表時点の警察の把握と見立てである。
IPA，警察庁及び個人情報保護委員会の資料は，対策又は法令解釈の公的資料であり，特定事件の過失，相当因果関係又は損害賠償責任を認定する資料ではない。
２ 二次資料
①Biz Clip「『偽物の上司』は40億円を奪った！？」（令和８年９月１７日）
②Biz Clip「AI悪用リスクにどう備えるか――情報セキュリティ10大脅威2026から学ぶ企業対策」（令和８年６月４日）
③Biz Clip「偽情報に注意！ディープフェイク」（令和７年７月１８日）
これらは，事件の概要及び対策を理解するための二次資料である。
商品・サービスの案内及び自己診断ページは，個別対策の有効性，法律上の義務又は事件の認定を裏付ける資料として用いていない。
３ 裁判例及び判例秘書
今回の公開ウェブ調査では，ディープフェイクを用いた送金詐欺について本記事の一般的対策を直接裏付ける日本の公刊裁判例を確認できなかった。
裁判所ウェブサイトで見当たらないことは裁判例の不存在を意味しない。
判例秘書INTERNETについては，本作業で検索語を投入しておらず，ヒット件数は不明であり，全文確認済み判例は０件である。
したがって，本記事は，送金指示の真正，金融機関の注意義務，使用者責任，保険填補又は損害分担について裁判例上の結論を示すものではなく，これらを個別事件に用いる場合は別途判例秘書その他の判例データベースで確認する必要がある。