観点投書：虚偽情報が銀行を誤った判断に陥れるとき――セキュリティが反洗浄の新たな防衛線となる理由

2016年、バングラデシュ中央銀行で世界の金融界を震撼させたサイバー攻撃が発生した。ハッカーは中央銀行の内部ネットワークに侵入し、SWIFTシステムを通じて35件の海外送金指令を送信。約10億ドルの送金を試み、そのうち5件が実行され、約1億100万ドルが第三国のカジノシステムを通じてマネーロンダリングされた。事後の調査で、送金フォーマットや認証プロセス、監視メカニズムはすべて既存の規範に適合していたことが判明した。問題は、指令の送信環境そのものが制御されていたことにある。

2020年、アラブ首長国連邦のとある銀行の担当者は、よく知る顧客からの電話を受けた。電話の向こうには聞き慣れた声が聞こえ、相手は自社が緊急の買収を行っていると伝え、直ちに3,500万ドルを送金するよう求めた。まもなく、顧客と提携弁護士からのメールも届き、完全な書類と証明が添付されていた。担当者は電話、メール、書類を確認した上で、通常の手続きに従って送金を完了した。しかし、事後の調査で、犯罪組織がソーシャルエンジニアリングでメールアカウントを取得し、AIで顧客の声を生成。さらに偽造書類を用いて、銀行が信用する意思決定状況を再構築していたことが明らかになった。

2024年、香港で初の深偽（ディープフェイク）多人数ビデオ会議詐欺が発生した。犯罪組織はディープフェイク技術を用いて、ある多国籍企業の英国本社の「最高財務責任者」と複数の「同僚」の映像を作成。香港支店の財務担当者にビデオ会議で15回にわたり送金を指示し、約2億香港ドルの損失を出した。

翌年、シンガポール警察は類似の事件を発表した。ある多国籍企業の財務担当者がビデオ会議で、AI生成された複数の「役員」を本物と誤認。指示に従い約50万ドルを送金した。資金はその後香港の口座に転送されたが、銀行が異常を察知し直ちに通報。シンガポールと香港の警察が協力し、全額の回収に成功した。

わずか10年で、犯罪手法はネットワーク侵入や送金指令の改ざんから、声、映像、書類の再構築へと進化した。資金は依然として既存のプロセスを通じて移動しているが、金融機関が判断を下す根拠そのものが変化している。

従来の反洗浄制度は、主に資金の流れを追跡していた。しかし、声、映像、書類がすべて再生成可能になった今、注目すべきは「そのお金」だけではないかもしれない。

長年にわたり、金融機関内では情報セキュリティと反洗浄が別々に発展してきた。情報部門はネットワーク、システム、データの保護に注力。一方、法令遵守、反洗浄、リスク管理部門は、顧客身元、取引履歴、リスクモデルに基づき、顧客審査、取引監視、疑わしい取引の申告を実施してきた。異なる職能が異なる規制に対応し、それぞれ独立した管理体制を形成してきたのである。

金融サービスの全面的デジタル化に伴い、情報セキュリティと反洗浄の境界はますます曖昧になっている。反洗浄業務は電子データ、自動分析、モデル計算に強く依存しており、情報セキュリティの守備範囲も、情報機器から意思決定を支えるデータの品質へと拡大している。

近年のサイバー事件も、異なる様相を見せている。金融機関に侵入したハッカーが、すぐに資金を移動させるとは限らない。むしろ、アカウント権限の取得、認証設定の変更、顧客データや取引記録の改ざん、あるいは長期間の潜伏を選択するケースが増えている。プロセス上はすべて正常に稼働しているように見えるが、データは知らぬ間に変化しているのである。

顧客身元、受益者、取引履歴、リスク評価、モデル分析は、金融機関が異常を識別するための重要な根拠であり、顧客審査、異常監視、リスク分析、意思決定の共通基盤でもある。これらのいずれかが改ざんされれば、その後の分析は現実から徐々に逸脱する可能性がある。こうしたデータの歪みは直ちに財務損失を引き起こさないかもしれないが、日常業務の中で誤差が蓄積し、すべての手続きが規定通りに実施されていても、結果が真のリスクを反映しているとは限らなくなる。

生成AIの普及により、金融犯罪のハードルはさらに下がった。深偽映像、音声合成、偽造書類、虚偽身分は、高度な技術を必要とせず、公開ツールで簡単に生成できるようになった。犯罪者は検証メカニズムを繰り返しテストし、内容や手法を調整することで、審査通過の確率を高められるようになった。挑戦されているのは反洗浄プロセスそのものではなく、各判断の根拠となる「内容」である。

こうした変化に応じ、国際的な監督の考え方も変化している。金融安定理事会（FSB）、バーゼル銀行監督委員会（BCBS）、金融活動作業部会（FATF）は近年、ネットワークレジリエンス、サードパーティ管理、業務継続性、情報通信技術リスクを監督の重点に加えている。規範の目的は異なるが、注目点は次第に収束している。金融機関が直面するのは、資金リスクだけでなく、デジタル環境がもたらす影響でもあるのだ。

欧州連合（EU）は2022年、「デジタル運用レジリエンス法」（DORA）を可決した。DORAは情報セキュリティを情報部門の技術的作業とせず、取締役会が情報通信技術リスクのガバナンス責任を負うよう求めている。インシデント通報、レジリエンステスト、サードパーティサービス管理、業務レジリエンスなどを含み、情報セキュリティを技術管理から経営課題へと格上げしている。

台湾の監督方針も同様の方向に進んでいる。金管会は2020年に「金融資安行動方案」を推進し、2022年に2.0版を発表。2025年末には「金融資安韌性発展藍図」を公表し、2026年から4年間で29の措置を推進する計画を示した。目標ガバナンス、全域防護、生態連防、堅実レジリエンスをカバーし、AIセキュリティ、後量子暗号、モデル管理、外部委託管理、サードパーティリスクなどの課題も含まれている。

AIが金融サービスに大量導入される中、法令遵守、リスク管理、情報セキュリティの境界は、過去ほど明確ではない。モデルの構築方法、データの維持方法、外部サービスの管理方法は、もはや個別部門の仕事ではない。情報の品質がリスク判断に直接影響する今、企業ガバナンスが真正に統合すべきは、情報システムだけではなく、情報、リスク、法令遵守の三つのガバナンス能力である。

したがって、金融機関が真に強化すべきは、より多くのコントロールを追加することではなく、分散した手がかりをつなげることである。異常なログイン、権限の変更、顧客データの修正、デバイスの交換、高リスク取引は、異なるシステムにとどまらず、共通のタグ付け、統一分類、跨部門通報を通じて、全体の文脈を再構築すべきである。顧客身元や取引記録に関わるセキュリティ事件は、反洗浄と詐欺防止分析に同時に入れるべきだ。疑わしい取引にアカウントの異常や権限の変更が伴う場合は、資安の兆候がないかを再検討すべきである。重要なのは手続きを増やすことではなく、各部門が同じ事実に基づいて分析・判断することである。

クラウドサービス、身元確認プラットフォーム、外部法遵ツールの広範な導入に伴い、サードパーティ供給者が金融サービスに深く関与するようになった。委託は業務を分散できるが、責任は移転できない。供給者が身元確認、モデル分析、取引監視に参加する際、その資安レベルは異常識別の品質に直接影響する。そのため、契約管理、インシデント通報、監査権限、データ返還などの取り決めは、全体計画に組み込む必要がある。金融犯罪の標的も変化している。過去は資金の流れに注目していたが、今や意思決定を支える内容とプロセスを操作することに傾いている。競争優位を生むのは、どの金融機関がより高度なAIモデルを持っているかではなく、異常信号を早期に識別し、断片的な手がかりをつなげ、判断基準の完全性を維持できるかにある。

反洗浄制度は異常な資金の流れを防ぐが、情報セキュリティが守るのは異常を識別する能力である。判断の根拠となる情報が信頼できるとき、リスク管理と法令遵守は初めて堅固な基盤の上に立つことができる。

＊著者は大学の兼任講師