御社の顧客や従業員は、オンライン上の詐欺やディープフェイク、意図的な誤情報やデマを見抜くことができると思いますか？ 最近の研究によると、人々は真実と虚構を見分ける自分の能力を過大評価していることが示されています。そして、AIがさらに高度になるにつれて、この傾向はさらに悪化する可能性があります。
これは、企業の経営陣にとって懸念すべき事態であり、最高情報セキュリティ責任者（CISO）に相談すべきでしょう。 実は、そうしたCISOたちには、AIを駆使したこうした新たな脅威に対抗できる、昔からの手立てがあることがわかりました。
まず、調査結果についてです。11月に発表されたシティの「 」調査（ ）では、オンラインで回答した2,432 名に対し、金融詐欺を見抜く能力について尋ねたところ、90％が「得意だ」と回答しました。しかし、実際には4分の1以上（27％）が、こうした詐欺の被害に遭っていたという事実があります。
6月に発表された の別の研究（）によると、人々は人間が作成した虚偽の情報よりも、AIによって作成された偽情報の方を信じやすいことが明らかになりました。 その差はわずかですが――調査対象となった 697 人は、人間が書いた虚偽のツイートに比べ、AIが生成した偽のツイートを見抜く確率が3％低かった――しかし、これほど説得力のあるコンテンツが大量に氾濫すると予測されていることを考えれば、この差は重要な意味を持ちます。
「AIによって生成された偽情報は、コストが安く、作成も速いだけでなく、より効果的であるという事実が、私を悪夢に見させるほどです」と、この研究を主導したチューリッヒ大学のジョヴァンニ・スピターレ博士は、6月に 『MIT Technology Review』（ ）の取材に対し語りました。
それから半年が経ちましたが、彼は依然として不安を感じています。
「私が懸念しているのは、技術そのものではなく、それが悪用される可能性です」と、彼は のフォーカル・ポイント担当 氏に電子メールで語っています。 自らをテクノロジー愛好家であり「大のオタク」と称するスピターレ氏（彼は6歳の時、 1993 年にのオリベッティ 386 でプログラミングを始めた）は、ChatGPTを支える大規模言語モデル（LLM）のような破壊的技術の進展に、政府や法律の対応が追いついていないことを懸念しています。
この夏に可決されたEUの「 」AI法（）について、彼は「すでに時代遅れだ」と指摘しています。 その結果、個人や企業は危険にさらされることになります。
誤情報、偽情報――呼び方はともかく、それは確かに存在しています
専門家たちは長年にわたり、AIが誤情報（誤った主張）、偽情報（完全な嘘）、および悪意のある情報（悪意のある目的で意図的に歪曲されたり、文脈から切り離されたりした真実）の発生頻度や質を高める可能性について警告してきましたが、現在、その事態が実際に進行しつつあります。
「私が懸念しているのは、技術そのものではなく、それが悪用される可能性です。」チューリッヒ大学の偽情報研究者、ジョヴァンニ・スピターレ博士
は6月、連邦取引委員会（FTC）のリーナ・カーン委員長に対し、詐欺師たちがAIを活用して詐欺行為を「加速」させているとの警告を発しました。 米国の多くの大手銀行における数十億件の通話データを監視しているPindrop社は、 によると、 今年に入り、AIを用いて顧客の声を模倣し、資金の送金を試みるディープフェイク詐欺が増加していると指摘しました。
中小企業（SMB）も、大手多国籍企業と同様にリスクにさらされています。 ネット上の誹謗中傷広告――不満を抱く顧客や従業員がブランドの評判を傷つけるためにでっち上げたものや、サイバー犯罪グループが金銭をゆすり取るために仕組んだもの――は、すでに中小企業にとっての問題となっています。 Ottawa Perogies discovered this in 2021, when a cybercriminal flooded Facebook and Google with one-star reviews after the family-run takeout restaurant ignored demands for money. 注文は数日のうちに激減し、その飲食店がオンライン上の評判を回復するには数週間を要しました。 That same year, businesses lost an estimated $152 billion worldwide due to fake reviews, according to a University of Baltimore study. 専門家たちは、AIによってこうした種類の攻撃がさらに増えるだろうと警告しています。
幸いなことに、企業のリーダーたちは、こうした脅威を阻止するために、CISOやその他のセキュリティ専門家が長年にわたり提唱してきた、実績のある従来のサイバーセキュリティ手法に頼ることができます。 「現時点では、私たちが導き出した最善の対策は、インシデントへの対応だけでなく、その発生確率を評価するための対応マニュアルを用意することですが――とはいえ、何かしらの事態は起こるものです」とスピターレ氏は認めています。
なるほど、その通りですね。 以下のセキュリティ対策は、組織を完全に守り切ることはできませんが、悪影響を大幅に軽減することは可能です：
1. インシデント対応マニュアルを書き直し、実際に実行してみましょう
のインシデント対応プラン（ ）は、もともとデータ漏洩などの技術的な危機に対処するために設計されたものですが、誤情報や偽情報の危機を管理するためにも、見直すことが可能であり、またそうすべきです。 つまり、プレイブックに新たな手順を追加し、ディープフェイク動画や音声クリップ、自社ブランド名を含む悪意のあるハッシュタグ、その他の悪質なオンラインコンテンツといった不正確な情報を迅速に特定し、その出所を突き止め、その影響を打ち消すための断固としたコミュニケーション戦略を展開するということです。 （それについてはまた後で。）
「オンライン上のコミュニティのメンバーがフェイクニュースをシェアしていると、それが真実か虚偽か分からなくても、自分もそれをシェアしなければならないというプレッシャーを感じてしまいます。」マシュー・アッシャー・ローソン博士、NSEAD 意思決定科学准教授
更新された「 」インシデント対応プレイブック（ ）は、悪意のある人物が意図的または無意識のうちに貴社のブランドストーリーを誤った方向へ導いてしまった際に、迅速かつ効率的に対応するのに役立ちます。
後者のシナリオ――知らず知らずのうちに共犯者となって広められた嘘――については、特に強調しておく価値があります。 今年、アメリカ心理学会が発表した、約 60,000 人のソーシャルメディア利用者に関する調査によると、フェイクニュースを拡散する人々の大半は、特定の個人や集団に対して特別な恨みを持っているわけではなく、単に周囲に溶け込みたいだけであることが明らかになりました。
[関連記事：堅牢なインシデント対応計画を策定するための 5 のステップ]
「オンライン上のコミュニティのメンバーがフェイクニュースをシェアしていると、それが真実か虚偽か分からなくても、自分もそれをシェアしなければならないというプレッシャーを感じてしまうのです」と、フランスのビジネススクールであるINSEADの意思決定科学の助教授であり、本研究の主任研究者であるマシュー・アッシャー・ローソン博士は指摘しました。
2。 フィッシングの手口解説にディープフェイクを取り入れる
サイバー犯罪者たちは、AIを利用して実際の画像や録画映像を改ざんしたり、完全に偽造されたコンテンツを作成したりしています。 例えば、この夏、TikTok、Facebook、YouTubeに投稿された約 50 本の偽動画では、イーロン・マスク氏が「インタビュー」と題して、ゲイル・キング氏、タッカー・カールソン氏、ビル・マー氏といったさまざまなテレビタレントと対談し、架空の投資スキームを宣伝する様子が映し出されていました。 その動画は数万回もの再生回数を記録しました。
フィッシング攻撃 もまた進化していくと予想されています。「ディープフェイク技術により、信頼できる人物をほぼ完璧になりすますことが可能となり、従来の『文章のスタイルを模倣したり、メールのデザインを真似たりする』という手法から、飛躍的な進化を遂げている」と、 C5 やITC Secureなどの企業でCISOおよびセキュリティアドバイザーを務めるニール・ラパージュ氏は、デジタル・トラスト組織ISACA向けの『』誌の最近の記事 で述べています。 ディープフェイクの動画や音声は、IT担当者や経営幹部になりすますために利用され、警戒心の薄い従業員や、音声・顔認識ソフトウェアを採用した生体認証システムさえも標的にされる可能性があります。
「従業員は、改ざんが疑われるメディアへの対応に関する標準的な手順を熟知し、組織内でこうした活動を報告するための仕組みを理解しておくべきです」と、NSA、FBI、およびCISAが発表した『 』の共同報告書『 』は提言しています。
従業員向け研修プログラムを更新することは、サイバーセキュリティリスクの変遷に対する企業の取り組みを示すことにもなります。これは、企業のサイバーセキュリティへの警戒態勢を裏付ける具体的な兆候を求めている のサイバー保険エージェント（）に対して、ぜひお伝えいただくべき点です。
[関連記事：CISOの成功事例 ― ロサンゼルス郡がフィッシング対策のために従業員をどのように教育（および再教育）しているか]
ディープフェイクの見分け方や、研修に盛り込むべき内容に関する詳細については、SANS（ ）のこちらのヒント（）、ワシントン大学「Center for an Informed Public」（ ）のこちらのページ（）、およびMIT（ ）のこちらのページ（ ）とこちらのページ（）（）をご参照ください。
3。 DEXの向上――いわゆる「長期的な視点での取り組み」
のデジタル従業員体験（DEX） を強化することは、誤情報や偽情報と闘う上で、あまり目立たないものの、非常に効果的な方法と言えるでしょう。 今日、ユーザーフレンドリーなインターフェースや業務ツール、シームレスなデジタルコミュニケーションチャネルを通じてDEXを強化するために時間を割くことは、いくつかの点で成果をもたらす可能性があります：
一般的に、従業員の満足度は、企業のブランド評価全体を測る重要な指標となります。 フェイクニュースが流れて企業に悪影響が及んだ場合、その企業が従業員への待遇で定評があるほど、消費者はより懐疑的になるでしょう。
[関連記事：成果を上げるDEXをお探しなら、1つのプラットフォームから従業員の生産性と満足度を高める方法について解説したこのソリューション概要をご覧ください]
職場において、満足度の高い従業員は、 生産性が高く、ストレスも少なく、また 内部脅威となる可能性も低くなります。 自分たちが大切にされていると感じる人々は、虚偽の情報を共有する傾向が弱まり、前述の研修プログラムへの参加意欲が高まり、また、誤情報や偽情報を見かけた（あるいは疑った）際に、それを報告する可能性が高くなります。
4。 脅威ハンティングチームが、「未知の未知」を内部だけでなく外部からも見つけ出せるよう支援します
コンピュータネットワーク内部を調査し、保護されていない侵入経路を探し出すことを目的として考案された「」と呼ばれる脅威ハンティングは、外部の世界にも目を向けることで、発生しつつある誤情報や偽情報に関する危機に関連するパターンを特定し、異常を検知することも可能です。
脅威ハンターは、「unknown unknowns」、つまり悪用されやすい未特定脆弱性や予期せぬリスクを探り出す技術を習得しています。 誤情報や偽情報の分野においては、これには、高度でまだ開発されていないディープフェイク技術、新たな拡散経路、あるいは、貴社やその幹部を、貴社がこれまで関与したことのない政治的・社会的な問題と結びつける否定的なソーシャルメディア上の言及が突如として急増することなどが含まれる可能性があります。 少なくとも、彼らは、根拠のない否定的なコメントの波がまだほんのわずかな兆しである段階で、その到来を見抜くことができます。
ソーシャルメディア監視ツールを活用することで、脅威ハンターは、既知の脅威アクターが用いる一般的なパターンや手口を見極め、自社に関するネガティブなメッセージの増加が検知された際に、広報・PR・マーケティングチームに警告を発することができます。 こうした監視によって攻撃を阻止することはできませんが、広報担当者が数日あるいは数時間前に事前警告を受け、インターネット上に嘘の情報が溢れかえる前に、一般市民に向けて発信する「プレバンキング」キャンペーン――つまり、虚偽の情報に対抗するメッセージ――を練り上げる時間を確保することは可能です。
誤情報や偽情報に対処する際、スピードが極めて重要です。 研究者たちは、事前の「プレバンキング」の方が、フェイクニュースに対する事後の「デバンキング」よりも説得力が高く、消費者が嘘に対してより懐疑的になるよう促すことを明らかにしました。
5。 効果的な危機コミュニケーションのルールを適用してください
誤った情報が拡散してしまった場合、危機コミュニケーションの基本的な原則 （迅速さ、透明性、共感） に基づき、組織は対応を行うべきです。
「企業がこれまで、共感や透明性を欠いた経営を行ってきた場合、人々はあなたのブランドに関する根拠のない主張を信じやすくなってしまいます。」フォレスター社の副社長兼主席アナリスト、ジェフ・ポラード氏
迅速な対応と透明性が極めて重要です。 Last year, the U.S. Department of Justice convicted Uber CISO Joe Sullivan for lying and trying to cover up a 2016 hack in which thieves stole data of some 57 million customers. 上場延期が、まあ、公になった際、他の企業も世論の裁きにおいて、これと変わらない状況に置かれています。
「物事を率直に伝えれば、世間は概して寛容なものです」と、Tiro SecurityのCISOであるジェナイ・マリンコビッチ氏は、昨春、効果的なコミュニケーション戦略に関する記事の中で、 のFocal Point（ ）に語りました。
のエンジニア用語 を、顧客（および取締役会メンバー）が理解できる明確で平易なメッセージに翻訳することも、情報攻撃への対応において極めて重要です。これは、ステークホルダーへの共感を示すことになるからです。 共感はブランドに人間味を与え、 『Forrester’s Trust Imperative』（）で提唱されている「信頼を築く7つの要素」の一つです。これは、企業が顧客やステークホルダーと永続的な絆を築くためのガイドライン集です。 また、これはどの企業でも、今日から育み、奨励することができることです。
誤解のないように申し上げますが、他のサイバー攻撃と同様、AIを活用した誤情報・偽情報攻撃についても、「 」か「 」かという問題ではなく、「」か「」かという問題なのです。 そのため、事業運営やコミュニケーションにおいて共感を生み出すことが極めて重要であると、フォレスターの副社長兼主席アナリストであるジェフ・ポラード氏は、今年初めに のブログ記事（ ）で述べています。 「ディープフェイクによる評判の毀損から身を守る上で、歴史は重要な役割を果たします」と彼は説明しています。
「もしその企業が、共感や透明性を欠いた経営を行ってきた過去があるならば」と彼は指摘します。「そのブランドに関する根拠のない主張を、人々が信じやすくなってしまうのです。」
詳細はこちら
2回シリーズとなる本記事の第1回をご覧ください。ここでは、誤情報や偽情報と戦うためのヒントをさらにご紹介するとともに、企業がこの問題を解決するために第三者や法執行機関に頼ることができない理由について解説しています：
