自社を装う「なりすまし」は、もはや検索広告や偽LPだけの問題ではありません。TikTokやInstagramの偽アカウント・偽広告、メッセンジャーのDM、さらには音声クローンによるAI電話まで、チャネルを横断して広がっています。米FTCは2024年の詐欺損失が125億ドルと過去最大に達し、オンライン経由の被害が急増したと報告しました。米FCCはAI生成音声によるロボコールを違法通話と明確化し、英Ofcomは海外発CLIなりすましのブロックを通信事業者に要求するなど、通信の側からの締め付けも進んでいます。つまり、なりすまし対応は情シス単独では完結せず、法務・広報・CSを束ねた全社運用が前提になります。ヤグラは、生成AIによる攻撃コストの低下で試行回数が指数関数的に増えていくこの構造変化に正面から向き合い、「運用×AI」で企業の防御力を底上げする立場です。本レポートでは、クローリングやOSINTで武装する攻撃者の実像を整理したうえで、ドメイン・SNS・電話のチャネル横断で機能する対策を提案します。最後に、経営判断に直結する運用SLAと周知（顧客教育）の要点も示します。
1. 現代のなりすましを取り巻く環境（SNS・AI電話・ドメイン）
攻撃者はまず、公開Webやソーシャルメディアからブランド資産をクローリングすることから始めます。ロゴ、役員名、採用情報、イベント写真、地名や役職名といった断片的な情報を収集し、OSINTによって文脈を補強していく。そうして作り上げた偽プロフィールや偽ランディングページ、偽のコールスクリプトを、TikTokやInstagramで広告やショート動画、ライブ配信として一気に拡散させます。外形的な「公式らしさ」と物量によって、利用者の認知の隙間に入り込んでくるのです。フィッシングはすでに四半期観測で100万件超と常態化しており、QRコードを使った誘導（Quishing）も目立つようになってきました。
とりわけ厄介なのが、SNSや偽LPと連動したAI電話の悪用です。たとえば、SNSの偽広告からアプリ内のDMに誘導し、「本人確認」を装うAI電話をかけ、SMSリンクから偽ドメインでKYC情報を提出させる——こうした多段階のソーシャルエンジニアリングは、もはや珍しい手口ではなくなっています。英国の大手エンジニアリング企業Arupでは、ビデオ会議型のディープフェイクによって約2,500万ドルもの損失が発生しました。音声や映像の「らしさ」だけでは、意思決定の担保にならないことを突きつけた事案だと言えるでしょう。
ドメインの世界でも、タイプミスや接頭・接尾語を利用して正規風のURLを作るタイポ／コンボスクワッティングが後を絶ちません。TLS証明書やCDNによって「見かけの安全性」まで演出されてしまうと、一般の利用者にそれ以上の見分けを求めること自体、もはや無理があります。SNSを起点に偽ドメインへ着地させる媒体連携が、被害の裾野をさらに広げているのが実情です。
ヤグラの見立て
攻撃側は生成AIによる量産と最適化によって、「速く・安く・巧妙に」を同時に達成しつつあります。これに対抗するには、守る側もAI駆動で「広さ・速さ・反復」を実装するほかありません。
2. なりすましが企業にもたらす悪影響（ブランド・財務・規制）
なりすましがもたらす被害は、単発のインシデントでは終わりません。まずブランドへの毀損が挙げられます。偽広告は短時間で大量のインプレッションを稼ぎ出し、「公式っぽい」という既成事実を作り上げてしまう。UK Finance 年次報告（2025）によれば、2024年の詐欺被害総額は10億ポンドを超え、件数も前年比で増加しており、ソーシャルメディアを起点とする詐欺が拡大し続けていることがうかがえます。
被害は評判だけにとどまりません。Arupの事案が示すように、本人らしく見える音声や映像による圧力は、送金や承認の判断を誤らせ、直接的な金銭損失に直結します。二経路検証の仕組みがなければ、高額被害を防ぐことは難しいでしょう。
さらに、規制や監督当局からの視線も厳しくなっています。日本でも金融庁（2025）が、証券会社を装う偽サイトや不正取引の急増を踏まえ、注意喚起や被害開示、強固な認証の徹底を要請しました。増加トレンドを放置すれば、監督当局や投資家からの信認低下は避けられません。
3. なりすまし対策の方法（経営・情報システム・広報の三位一体）
3-1. ドメイン起点の技術対策を「強制力」で回す
メールなりすましを抑止する土台となるのがSPF／DKIM／DMARCです。GoogleとYahooは2024年から大量送信者に対してDMARCの実装・ワンクリック退会・スパム率0.3%未満を要求するようになり、これを満たせなければメールの到達率そのものに直撃します。最終的には「p=reject」までポリシーを引き上げることを目指すべきでしょう。あわせてBIMI（VMC/CMC）を導入し、ロゴの正当性を可視化することも欠かせません。ドメイン戦略としては、主要TLDや典型的なタイプミスのドメインを先回りして押さえておく防衛的ドメイン登録が有効です。CTログ監視や類似ドメイン検出によって新規の偽装URLを早期に捕捉し、SNS広告に紐づく着地URLも常時監視の対象に含めておく必要があります。
3-2. SNS運用：TikTok／Instagramで「攻めの守り」
まず地固めとして公式アカウント認証（青バッジ）を取得しておきます。TikTokは認証バッジとなりすまし報告の導線を公開していますし、MetaもBrand Rights Protectionを強化しています。そのうえで、広報・法務・情シスが合同でSLAを組み、発見→証跡確保→申立て→削除→再発防止という一連の流れを日次運用として回していくことが重要です。周知、つまり顧客教育もSNS上でやり切るべきです。固定投稿やプロフィールに正規ドメインを明記し、「当社はDMで入金情報を求めない」といった重要なポリシーを常設し、通報フォームへの導線を常に用意しておく。これは広告最適化のためではなく、被害を最小化するためのUX設計だと捉えるべきでしょう。
3-3. 電話チャネル：AI電話を前提に「仕組み」で止める
音声や映像の「らしさ」は、もはや証拠にはなりません。米FCCはAI音声によるロボコールを違法通話として扱うようになり、英Ofcomも海外発CLIなりすましの遮断を通信事業者に求めています。企業側が規程として定めるべきは、既知の回線へのコールバック、コードワードの運用、そして高額・緊急の依頼に対する二経路承認の三点です。コンタクトセンターにおいても、音声だけで本人性を確定させない運用を義務化しておく必要があります。
3-4. 防御のAI化（ヤグラが支援する運用要件）
これらの対策を人手だけで回し続けるのは現実的ではありません。自動クローリングによって偽広告・偽アカウント・類似ドメインを横断的に検知し、生成AIベースの判定でロゴ流用やテキスト類似、誘導パターンといった「公式らしさ」の特徴をスコアリングする。検知から証跡化、申立て、削除までのリードタイムを、偽広告検知件数や削除までの時間、偽ドメイン検出数、通報件数といった指標でダッシュボード化し、SLAとして可視化しておく。固定投稿や専用ページといった顧客教育テンプレートも、一度作って終わりにせず、半恒久的なコンテンツとして常に最新版へ保ち続ける運用が求められます。
ヤグラのコミットメント
当社は「守りのAI化」を標準化し、広く・速く・繰り返す運用を定着させます。プロセスの自動化と横断SLAによって、ブランド保全を経営KPIとして回せる状態を作ります。
結論：運用で勝つ。「広さ・速さ・反復」をAIで担保する
ここまで見てきたように、なりすましはSNSとAI電話にまで拡大しており、もはやドメイン単独の対策では防ぎきれません。DMARC／BIMIといった基盤整備に加えて、TikTok／Instagramの公式ツールを日次運用に組み込むこと。そして周知、つまり顧客教育を常設のプロダクトとして捉え、固定投稿や専用ページ、通報導線を通じて習慣的に伝え続けること。さらにAI電話を前提にコールバックや二経路承認を制度化し、音声や映像の「らしさ」に頼らない意思決定を徹底すること。この三つが、今企業に求められている対応の要点です。
生成AIによる攻撃は今後も確実に高度化し、コストの低下によって試行回数は指数的に増えていきます。防御側もまた生成AIを取り込まなければ、いずれ守り切れなくなるでしょう。偽アカウントや偽広告は毎日のように生まれ、偽ドメインは毎週のように増えていく。完璧に撲滅することはできませんが、検知から削除までのリードタイムを縮め、正規ドメインと公式アカウントの周知を常に最新に保つことで、被害は確実に減らせます。FCCやOfcomといった規制の網が狭まりつつある今こそ、「広く・速く・繰り返す」という基本をAIで支える運用を、愚直に続けられるかどうかが分かれ目になります。ヤグラは、その実装に伴走します。
参考・出典
本稿は、以下の報告・発表を参照しています。FTCによる2024年の詐欺損失125億ドル（オンライン起点の損失拡大）の報告、FCCによるAI生成音声のロボコールを違法通話として明確化したDeclaratory Ruling、Ofcomによる海外発CLIなりすまし遮断の事業者への要求（強化ガイダンス）、APWGによる2025年Q1のフィッシング100万件超およびQR悪用拡大の観測、UK Finance 年次報告（2025）による10億ポンド超の被害と件数増（KPMG分析）、金融庁（2025）による偽サイト・不正取引急増を踏まえた注意喚起と強固な認証の要請、そしてArup事案におけるビデオ会議型ディープフェイクによる約2,500万ドルの流出です。
