人間は本来、お互いを信頼するようにできている。私たちは、ほとんどの人が善意を持ち、誠実に行動していると信じている。しかし、その信頼しようとする本能こそが、私たちを操作に対して脆弱にさせる。AIやディープフェイク技術が私たちの認識そのものを歪めている現在、その傾向はかつてないほど強まっている。筆者はこれを「信頼のギャップ（trust gap）」と呼んでおり、長年にわたりセキュリティの視点から検証してきた。
信頼のギャップが最も顕著に表れるのは、消費者向けプラットフォーム、とりわけソーシャルネットワーキングサイトである。学術誌『Frontiers in Artificial Intelligence』に掲載された研究によると、AIの普及によって、誤解を招くコンテンツの作成や拡散が容易になったという。こうしたコンテンツは、悪意あるアクターがオンライン上の世論を操作するために組織的に行うインフルエンス・キャンペーンでよく利用される。しかし現在では、企業の採用プロセスにおける「暗黙の信頼」を悪用するケースも増えている。
一般的に、採用担当者は履歴書とソーシャルメディアのプロフィールを照合し、身元照会を行い、バックグラウンドチェック（背景調査）を実施して、候補者が本物であることを確認しようとする。しかし、これらの方法のどれも、目の前の相手が本当に本人であるかを判定することはできない。これこそが、企業採用における「誠実性の危機」であり、企業のサイバーセキュリティにおける最大のアイデンティティ・リスクへと急速に発展している。すなわち、検証ツールを持たない人間が、相手が自称通りの人物であると盲信してしまうことだ。
アイデンティティは現代の攻撃の足がかり
アイデンティティ攻撃は進化している。かつてサイバー犯罪者は、フィッシングをはじめとするさまざまな手法で、信頼されたアイデンティティを盗み出すことに注力していた。認証情報を狙うこうした攻撃は依然として広く行われているが、最近では、自分たちで新たなアイデンティティを作成するグループが急増している。その方が簡単で、コストもかからないことが多いからだ。
過去10年間に起きた大量のデータ漏洩により、社会保障番号などの個人情報はダークウェブの市場で安価な商品と化している。詐欺師は盗んだ情報を容易に悪用し、実在する人物の名前や職歴、政府発行の識別番号を組み合わせてプロフィールを作成し、バックグラウンドチェックをクリアできる偽りの姿で求人に応募する。そしてビデオ面接に進む際、詐欺師には2つの選択肢がある。バックグラウンドチェックには写真が添付されていないため、自身の素顔で臨むか、ディープフェイク技術を用いて別人に成りすますかだ。
北朝鮮（DPRK）に関連する工作員は、これらの戦術を武器にしている。FBIの調査によると、北朝鮮の共謀者らが80人以上の米国市民のアイデンティティを悪用し、フォーチュン500企業を含む100社以上の米国企業でリモートIT職を獲得する手助けをしていたことが判明した。これにより、成りすましをめぐる地下経済が急速に活発化している。
不都合な真実として、人事チームはこのレベルの成りすましを検知できるツールを持ち合わせていない。しかも、その影響は採用時だけにとどまらない。信頼されたアイデンティティを手に入れた詐欺師は、入社手続き、IT環境のセットアップ、給与支払いなど、アカウントの背後にいる人物がすでに本人確認済みであることを前提とするすべての業務フローを、何食わぬ顔で通過していく。
アイデンティティ・リスクの新たなコスト
Nametag社の調査によると、多くの組織は、脆弱なアイデンティティ管理がもたらす影響を複数の予算に分散して吸収しており、それを単一の課題として認識していない。隠れたコストは、手動によるIT作業、従業員のダウンタイム、情報漏洩のリスク、採用詐欺などとして現れ、包括的な「アイデンティティ・リスク」として集計されることはない。従業員1万5000人規模の典型的な企業の場合、これらの合計コストは年間約800万ドル（約12億8000万円）に達することもある。
ビジネスリーダーの関心や衝撃を引くのは金額であることが多いが、最も重要な教訓は、アイデンティティの管理不全が特定の部署だけでなく、組織全体に連鎖的な悪影響を及ぼすという点にある。業務効率の低下、セキュリティリスクの増大、そして金銭的損失が広範囲に広がる。そして多くの場合、これら下流で生じる影響の多くは、雇用プロセスの最序盤における、たった一度の「暗黙の信頼」に端を発しているのだ。
アイデンティティの隙間を埋める
組織は採用プロセスを一晩で全面的に見直す必要はない。最も効果的なアプローチは、最もリスクの高い段階から着手し、徐々に範囲を広げていくことだ。多くの組織にとっての第一歩は、面接の前に簡易的な本人確認を導入することである。これにより、AIが生成した応募者やボット、盗まれたアイデンティティを使用する候補者を排除し、採用担当者が本物の候補者に対して確実に時間を投資できるようにする。
そこからさらに、入社手続き（オンボーディング）へと確認プロセスを拡張すべきだ。社用PCを受け取り、多要素認証（MFA）を登録し、企業システムへのアクセス権を得る人物が、採用された人物と同一であるかを検証する。バックグラウンドチェックも引き続き重要なプロセスではあるが、それは候補者の「経歴」を検証するものであり、画面の向こうにいる「本人」のアイデンティティを保証するものではない。
採用における「暗黙の信頼」の時代は終わった。従業員の信頼性を維持するとは、その後のあらゆる採用判断の土台に本人確認を据えるということである。
Forbes Business Councilは、ビジネスオーナーとリーダーのための最重要な成長・ネットワーキング組織である。私は参加資格があるだろうか？
