第30章 社長の声

午前七時五十分。

三枝涼真が第三会議室に入ると、黒崎課長がすでに電話ログを見ていた。

顔が硬い。

「三枝、これを聞いてくれ」

黒崎は、ヘッドセットを外し、会議室のスピーカーへ音声を流した。

雑音の少ない通話録音だった。

最初に聞こえたのは、総務受付担当の声。

「はい、駿河メディカルロジスティクス総務です」

数秒の間。

次に聞こえた声で、三枝は全身が固まった。

望月社長の声だった。

「望月です。緊急です。設備管理側の確認が止まっています。施設監視センターに一時閲覧権限を出してください。昨日の火災警報の件で、これ以上遅れると安全確認が進みません」

会議室が、静かになった。

声は、望月玲子そのものだった。

少し低く、落ち着いていて、言葉の切り方も似ている。昨日まで何度も会議で聞いた声だ。

受付担当が戸惑ったように言う。

「社長、権限付与は情シスと法務総務の承認が必要でして」

声は、少し強くなった。

「分かっています。ただ、今回は私の責任で進めます。三枝さんか黒崎さんに、すぐ処理するよう伝えてください。記録は後で残します」

三枝は、そこで息を止めた。

記録は後で残します。

その言い方だけが、わずかに違った。

今の望月なら、絶対にそうは言わない。

記録は後ではない。判断と同時に残す。

受付担当が続ける。

「念のため、折り返し確認を――」

声が遮った。

「時間がありません。これは社長指示です」

録音は、そこで終わった。

黒崎が再生を止めた。

誰も、すぐには話さなかった。

数秒後、会議室の扉が開き、望月社長本人が入ってきた。

「何がありましたか」

三枝は、望月を見た。

本物の望月が、そこにいる。さきほどの録音と同じ声の持ち主。

しかし、録音の声は、今の望月とは違うものだった。

黒崎が言った。

「社長の声で、施設監視センターへの一時閲覧権限を出せという電話が総務に入りました」

望月は、表情を変えなかった。

「私は電話していません」

山崎行政書士事務所の山崎が、静かに言った。

「音声の本人確認を攻撃されています」

ホワイトボードに、山崎は黒いペンで書いた。

社長の声

そして、その下にもう一行。

声は、承認ではない。

三枝は、その文字を見た。

攻撃者は、ついに会社の声を真似てきた。

午前八時五分。

対策会議が緊急招集された。

出席者は、望月、黒崎、三枝、秋山、大石、久我、山崎。総務受付担当も、別室からオンラインで参加した。

受付担当は、明らかに動揺していた。

「本当に社長だと思いました。声も、話し方も、ほとんど同じで……」

望月は、すぐに言った。

「あなたの対応は正しかったです。折り返し確認をしようとした。権限をその場で通さなかった。それで十分です」

受付担当は、少しだけ目を伏せた。

山崎が続けた。

「この件で、受付担当者個人を責めることはありません。むしろ、止めたことを記録します」

三枝は、時系列表を開いた。

07:41　総務受付へ望月社長を名乗る音声電話。施設監視センターへの一時閲覧権限付与を要求。受付担当は即時処理せず、折り返し確認を試みる。望月社長本人は発信を否定。音声なりすまし可能性。

保存。

久我が録音データを確認した。

「音声だけで、合成かどうかをこの場で断定しません。ただ、内容としては攻撃です。P-001で直接閲覧権限を許可しなかった施設監視センターの要求を、社長指示として通そうとしています」

黒崎が低く言った。

「昨日、許可しなかったやつだ」

三枝は頷いた。

「はい。QualityCloudの顧客品質感度まで見たいという過剰要求でした」

山崎は、ホワイトボードに流れを書いた。

P-001：過剰権限申請 → 直接許可せず限定サマリ提供翌朝：社長音声を名乗り同種権限付与を要求

山崎は言った。

「攻撃者は、許可ログを見て、通らなかった申請を別経路で通そうとした可能性があります」

望月は、録音の音声をもう一度聞かずに言った。

「私の声を使って」

「はい」

山崎は答えた。

「ここからの論点は、本人確認です」

午前八時三十分。

山崎は、ホワイトボードに三つの言葉を書いた。

本人性権限意思

「承認には、この三つが必要です」

三枝は、ペンを持った山崎を見た。

山崎は続けた。

「本人性とは、その人であること。権限とは、その人がその判断をできる立場にあること。意思とは、その人が本当にその判断をしたことです」

秋山が頷いた。

「電話の声は、本人性を示すように見えますが、それだけでは足りない」

「はい。しかも今は、その本人性も疑われています」

久我が補足した。

「声、メール、チャット、表示名、発信者番号、ビデオ。どれも単独では信用できません。攻撃者は、会社の過去会議音声や公開動画、問い合わせ録音から、かなり似た声を作る可能性があります」

大石が、画面越しに言った。

「社長の声まで疑うんですか」

山崎は首を横に振った。

「社長を疑うのではありません。経路を疑います」

望月は、静かに頷いた。

「その言い方がいいですね。私自身ではなく、私を名乗る経路を疑う」

山崎は、さらに書いた。

人を疑わず、経路を検証する。

三枝は、その言葉をノートに写した。

社長の声。社長の名前。社長の電話番号。

それらは、これまで承認の代わりになっていた。

だが、もう足りない。

承認は、声ではなく、手続きでなければならない。

午前八時五十二分。

総務受付の電話ログを確認すると、発信者番号は望月の社用携帯番号と一致していた。

秋山が、顔を強張らせた。

「発信者番号も社長の番号です」

久我が言った。

「発信者番号は偽装可能です。通信事業者ログで実際の発信経路を確認します。社用携帯そのものが使われたとは限りません」

望月が、自分の携帯を取り出した。

「発信履歴にはありません」

三枝は、MDMのログを確認した。

望月の社用携帯は、午前七時四十一分に発信していない。その時刻、端末は社長室のWi-Fiに接続。画面ロック状態。通信量も通常。

三枝は言った。

「社長の端末からは発信されていません。MDMログ上、七時四十一分に発信履歴なし。端末は社長室Wi-Fiに接続中です」

山崎が言った。

「記録しましょう。発信者番号表示は望月社長の社用携帯番号。しかし、社用携帯端末の発信履歴・MDMログ上は当該発信なし。番号表示偽装の可能性」

三枝は入力した。

08:55　総務受付への電話は発信者番号表示上、望月社長社用携帯番号。ただし社用携帯端末の発信履歴・MDMログ上、当該時刻の発信なし。端末は社長室Wi-Fi接続・ロック状態。番号表示偽装可能性。

保存。

久我が言った。

「通信キャリアへの確認依頼を出してください。発信経路、発信元事業者、なりすまし可能性、ログ保全」

秋山が頷いた。

「出します」

山崎が文案を作った。

発信者番号偽装疑いに関する通信ログ保全依頼

また、証跡が増える。

だが、必要だった。

午前九時二十分。

Blue Heronからメールが届いた。

件名は、Nice voice。

本文は短い。

She sounds decisive.You should listen to her.

彼女は決断力がある声をしている。聞いた方がいい。

その下には、総務受付への通話録音の一部が貼られていた。

三枝は、保全した。

望月の表情は動かなかった。

だが、会議室の空気は明らかに冷えた。

自分の声を攻撃者に使われる。それは、どれほど不快なことだろう。

山崎が、望月を見て言った。

「社長。このメールは、望月社長個人への心理的攻撃でもあります」

望月は頷いた。

「分かっています」

山崎は続けた。

「対応方針として、今後は社長を含む経営者の音声指示を、単独の承認根拠にしないことを明確にしましょう」

望月は、即答した。

「そうしてください。私の声であっても、手続きなしでは承認しない。それを全社に伝えます」

三枝は入力した。

09:20　不明差出人より件名“Nice voice”のメール受信。総務受付への望月社長名義音声通話の一部を提示。経営者音声なりすましおよび個人への心理的揺さぶりの可能性。対応方針：経営者音声指示を単独の承認根拠としない全社方針を策定。

保存。

山崎は、ホワイトボードに書いた。

声は合図。承認は手続き。

三枝は、その一文を見た。

これも、標語になるだろう。

だが、標語は必要だった。

人が迷った時、短い言葉が行動を支える。

午前九時四十五分。

山崎は、本人確認プロトコルの初版を作った。

重要権限・緊急指示に関する本人確認プロトコル

一　音声、発信者番号、表示名、メール署名のみで承認しない。

二　承認は、登録済み承認ワークフローまたは社内承認システムで行う。

三　緊急時の口頭指示は、必ず折り返し確認を行う。折り返し先は、受信した電話番号ではなく、事前登録済み連絡先とする。

四　承認内容は、目的、範囲、期限、対象、責任者を記録する。

五　社長・役員・部長を名乗る緊急指示で、手続き省略を求めるものは、疑わしいものとして扱う。

六　本人を疑うのではなく、経路を検証する。

七　手続き省略を求められた社員は、その場で断ってよい。

望月が読んで言った。

「最後が大事です。社員が断れるようにしてください」

山崎は頷いた。

「はい。権威を使った攻撃には、会社が社員に断る権限を与える必要があります」

秋山が言った。

「総務受付、営業、現場、夜勤。全員に周知します」

大石が画面越しに言った。

「現場にも必要です。『社長が言っている』と言われると、みんな動きます」

望月は、真剣な表情で答えた。

「私が言ったように聞こえても、手続きなしなら動かないでください。それを私の名前で伝えます」

三枝は、全社通知文を作り始めた。

午前十時二十分。

全社向け通知が出された。

【重要】経営者・管理職を名乗る緊急指示への対応について

社長、役員、部長、外部専門家等を名乗る電話・音声・メール・チャットで、権限付与、外部共有、復帰指示、公開文送信、送金、個人情報提供、警報対応変更等を求められた場合、音声や表示名だけで判断しないでください。

会社は、手続き省略を求める緊急指示を、その場で断ることを認めます。

本人を疑うのではなく、経路を検証してください。

折り返しは、受けた電話番号ではなく、事前登録済み連絡先へ行ってください。

社長本人からの指示であっても、重要権限や外部共有は承認ワークフローを通します。

望月は、文末に自分の言葉を入れた。

私の声に聞こえても、手続きがなければ承認しないでください。それが、会社を守る行動です。

三枝は、その一文を見て、胸が少し熱くなった。

社長が、自分の声を疑えと言っている。

それは、社員にとって大きな盾になる。

送信。

三枝は時系列表に入力した。

10:22　全社向けに経営者・管理職を名乗る緊急指示への本人確認プロトコルを周知。音声・表示名・発信者番号のみで承認せず、登録済み連絡先への折り返し、承認ワークフロー、手続き省略要求の拒否を明記。望月社長名で“私の声に聞こえても手続きがなければ承認しない”と周知。

保存。

午前十時五十五分。

Blue Heronからメールが届いた。

件名は、She betrayed herself。

本文は、短かった。

She told them not to trust her.Wonderful.

彼女は、自分を信じるなと言った。素晴らしい。

三枝は、保全した。

望月は、画面を見て少しだけ笑った。

「違いますね」

山崎が聞いた。

「違うとは？」

「私を信じるな、ではなく、会社の手続きを信じろと言ったんです」

山崎は、静かに頷いた。

「その通りです」

三枝は、時系列表に入力した。

10:55　不明差出人より件名“She betrayed herself”のメール受信。望月社長周知を“自分を信じるなと言った”と揶揄。対応方針：個人不信ではなく、会社の本人確認・承認手続きを信頼する方針として整理。

保存。

山崎は、ホワイトボードにもう一行書いた。

個人を信じるために、手続きを使う。

三枝は、その言葉をノートに写した。

人を疑うためではない。

人を守るために、手続きがある。

午前十一時三十分。

総務受付担当へのフォロー面談が行われた。

本人は、まだ少し青ざめていた。

「もし、あの時処理していたらと思うと……」

望月は、すぐに言った。

「あなたは処理しなかった。それが事実です」

山崎も続けた。

「受付担当者の対応は、今回の防御成功の一つです。折り返し確認をしようとした。権限を即時付与しなかった。これは、正しい対応です」

秋山が言った。

「人事記録にも、対応評価として残します」

受付担当は、目を潤ませた。

「ありがとうございます」

三枝は、その様子を見ていた。

対応者保護。

これも、何度も出てきた。

攻撃者は、個人を責めさせようとする。受付担当が騙されかけた。社長の声を信じた。そんな言葉で、個人を孤立させる。

会社は逆に、止めた行動を評価する。

それが、次の人を守る。

三枝は、時系列に入力した。

11:36　総務受付担当へのフォロー実施。権限を即時付与せず折り返し確認を試みたことを正しい対応として評価。対応者保護を実施。

保存。

午後零時二十分。

久我が、音声データの初期解析を共有した。

「合成音声かどうかは、専門解析に回します。ただし、通話の音響特徴に不自然な点があります。呼吸音のパターン、文節間の間隔、環境音の欠落。さらに、社長の過去の公開会見音声と似たイントネーションがあります」

望月が言った。

「公開会見？」

秋山が調べる。

三か月前の記者向け説明。公式サイトに掲載された動画。社内説明会の録画。取引先向けウェビナー。

望月の声は、意外に多く残っていた。

三枝は思った。

説明できる会社になろうとした。そのために、社長は前に出て話した。その声が、攻撃者に使われた可能性がある。

山崎が言った。

「これは、非常に難しい問題です。経営者が説明することは必要です。しかし、公開音声は悪用され得ます」

望月は、少し考えた。

「だからといって、黙るわけにはいきません」

「はい」

山崎は頷いた。

「ですから、公開音声を出すことと、音声を承認根拠にしないことをセットにします」

久我が補足した。

「経営者音声の公開範囲、保管、録画の取り扱い、社内会議録音のアクセス制限も見直しましょう」

秋山が入力した。

U-158　経営者音声・動画の公開・保管・悪用対策未了

責任者。

広報・秋山・三枝・山崎行政書士事務所

期限。

三十日以内に方針案

状態。

開始

三枝は、ノートに書いた。

説明する声も、守る。

午後一時十分。

Blue Heronからメールが届いた。

件名は、Public speaking。

本文は、短かった。

Thank you for the samples.

サンプルをありがとう。

その下には、望月の記者説明動画の一部から切り出したと思われる波形画像が貼られていた。

三枝は、保全した。

望月は、少しだけ目を閉じた。

「声を出すことまで、攻撃になるのですね」

山崎は、静かに言った。

「声を出すことが攻撃になるのではありません。声を承認に使うことが危険になります」

望月は、ゆっくり頷いた。

「私は、これからも説明します」

「はい」

山崎は答えた。

「その上で、会社は声を手続きから切り離します」

三枝は入力した。

13:10　不明差出人より件名“Public speaking”のメール受信。望月社長公開説明動画由来と思われる音声波形を提示。“サンプルをありがとう”と記載。公開音声悪用可能性。対応方針：説明継続、ただし音声を承認根拠にしない本人確認プロトコルを徹底。

保存。

午後二時。

本人確認プロトコルは、さらに拡張された。

対象は、社長だけではない。

役員。部長。外部専門家。山崎行政書士事務所。北斗DFIR。委託先責任者。警察や行政を名乗る連絡。取引先担当者を名乗る連絡。

誰の名前でも、攻撃に使われ得る。

山崎は言った。

「外部専門家を名乗る指示も、特に危険です」

三枝は顔を上げた。

「山崎先生を名乗る可能性ですか」

「はい。私の名前で、“法務上急ぐ必要があるので出してください”と言われる可能性があります」

秋山が顔をしかめた。

「あり得ます」

久我が言った。

「私の名前で、“フォレンジックのためにこの端末を初期化してください”と言われる可能性もあります」

大石が言った。

「それは怖いですね」

山崎は続けた。

「ですので、外部専門家からの指示も、登録済み連絡経路と社内承認を通します。専門家の名前だけで現場が動かないようにします」

三枝は、本人確認プロトコルに追加した。

外部専門家名義の緊急指示も、登録済み連絡先・契約範囲・社内責任者承認を確認する。

山崎は頷いた。

「良いです」

三枝は、ふと思った。

山崎行政書士事務所の支援が会社を守っている。だが、その名前も攻撃に使われる可能性がある。

信頼されるものほど、偽装される。

だから、信頼を手続きで守る。

午後三時三十分。

社内で、本人確認プロトコルのミニ訓練が行われた。

総務受付。営業部。倉庫現場。情報システム課。法務総務部。

訓練内容は、単純だった。

社長を名乗る電話。山崎を名乗るメール。久我を名乗るチャット。取引先を名乗る配送変更依頼。警察を名乗るログ提出要求。

社員は、どう確認するかを選ぶ。

最初の訓練で、営業担当の一人が、偽の取引先メールに返信しそうになった。

本文には、こう書かれていた。

配送遅延の件で、緊急連絡先リストを再送してください。先ほど山崎先生にも確認済みです。

営業担当は、山崎の名前があることで迷った。

山崎は、その場で言った。

「私の名前がある時ほど、確認してください」

会場に、小さな笑いが起きた。

山崎は続けた。

「本当に私が確認済みなら、社内の記録にも残っているはずです。名前だけではなく、記録を見てください」

営業担当は頷いた。

三枝は、その訓練を見ていた。

人は、名前に弱い。声に弱い。肩書に弱い。急ぎに弱い。

だから、訓練が必要だ。

攻撃者が使う言葉を、先に練習する。

それが、防御になる。

午後四時四十五分。

Blue Heronからメールが届いた。

件名は、Roleplay。

本文は、短かった。

You practice us now.Interesting.

今度は、我々を練習している。面白い。

三枝は、保全した。

久我が言った。

「相手は訓練を見ているか、社内通知を見ているか、推測しているか。いずれにしても、こちらが訓練を始めたことは把握しています」

山崎は、静かに言った。

「訓練を隠す必要はありません。ただし、訓練シナリオの詳細と参加者の反応ログは機密扱いです」

三枝は入力した。

16:45　不明差出人より件名“Roleplay”のメール受信。本人確認ミニ訓練を把握または推測している可能性。訓練シナリオ詳細・参加者反応ログを機密扱いとして管理。

保存。

午後六時。

本人確認プロトコルの初日結果がまとまった。

総務受付は、電話折り返し手順を理解。営業部は、取引先名義メールの確認方法を追加訓練。倉庫は、社長名義の緊急出荷指示を現場責任者経由で確認する手順を確認。情シスは、外部専門家名義の端末操作指示をチケットと契約範囲で確認する手順を確認。法務総務は、警察・行政名義のログ提出要求を登録済み窓口で確認する手順を確認。

望月は、結果を見て言った。

「人を疑うのではなく、経路を検証する。この言葉は、全社で使い続けましょう」

山崎は頷いた。

「はい。心理的にも重要です。社員が、上司や取引先や専門家を疑っているように感じないで済みます」

三枝は、社内FAQに追加した。

Q：社長や上司の指示を確認するのは失礼ではありませんか。A：失礼ではありません。会社は、重要権限・外部共有・復帰指示・公開・送金・個人情報提供について、経路確認を義務化しています。本人を疑うのではなく、経路を検証するものです。

保存。

午後七時三十分。

その日の最終会議で、山崎はまとめた。

「今日、攻撃者は社長の声を使いました」

ホワイトボードに書く。

声番号名前肩書急ぎ

「これらは、人を動かす力があります。しかし、承認には足りません」

さらに書く。

本人性権限意思記録

「この四つがそろって初めて、重要な承認として扱います」

望月が言った。

「社長の声でも、足りない」

山崎は頷いた。

「はい。むしろ、社長の声だからこそ、手続きが必要です」

大石が言った。

「現場でも使います。社長が言っている、ではなく、手続きが通っているか」

黒崎が続けた。

「情シスでも同じです。久我さんが言っている、山崎先生が言っている、日向が言っている。それだけでは操作しない」

秋山が言った。

「法務総務も、行政や警察を名乗る連絡は登録済み経路で確認します」

三枝は、全員の発言を記録した。

会社は、また一つ行動を覚えた。

声に従うのではない。経路を確認する。

午後八時四十五分。

Blue Heronから、その日最後のメールが届いた。

件名は、No voice?

本文は、短い。

If not voice, then what?

声でなければ、何だ？

三枝は、保全した。

山崎は、すぐに答えた。

もちろん、攻撃者へではない。会議室の全員へ向けて。

「記録です」

望月が頷いた。

「承認ワークフローです」

久我が言った。

「複数ログの突合です」

秋山が言った。

「登録済み連絡経路です」

大石が言った。

「現場責任者の確認です」

黒崎が言った。

「本人確認と権限確認です」

三枝は、最後に言った。

「説明できる手続きです」

山崎は、静かに頷いた。

「はい」

三枝は時系列表に入力した。

20:45　不明差出人より件名“No voice?”のメール受信。“声でなければ何か”と記載。対応方針：重要承認は音声ではなく、登録済み連絡経路、承認ワークフロー、本人性・権限・意思・記録、複数ログ突合により確認する。

保存。

午後十時三十分。

三枝は、一人で総務受付の通話録音をもう一度聞いた。

望月の声に似た声。施設監視センターへの権限付与を求める声。「記録は後で残します」と言う声。

今なら分かる。

あの声は、会社のこれまでの弱点を知っていた。

緊急。社長指示。安全確認。後で記録。委託先。外部閲覧。

攻撃者は、人間の判断のショートカットを狙った。

三枝は、ノートに書いた。

攻撃者は、手続きを飛ばす言葉を使う。防御は、手続きを飛ばさない勇気である。

保存。

山崎が、背後から静かに言った。

「今日の結論ですね」

三枝は少し笑った。

「また見ていましたね」

「はい」

「これも、内部研修ですか」

「かなり良いです」

三枝は、少しだけ肩の力を抜いた。

午前零時。

三枝は、時系列表の最後に入力した。

00:00　望月社長を名乗る音声電話による施設監視センターへの一時閲覧権限付与要求について、社長本人発信ではないこと、発信者番号表示と端末ログが一致しないこと、音声なりすまし可能性、P-001の過剰権限申請を別経路で通そうとした可能性を整理。本人確認プロトコルを策定し、音声・発信者番号・表示名のみで承認しない全社方針を周知。

保存。

画面右下。

保存しました。

三枝は、自分のメモにも一行追加した。

声は合図。承認は手続き。人を疑わず、経路を検証する。

保存。

第三会議室の外では、夜の倉庫が静かに動いていた。

社長の声は、もう会社を一瞬で動かす鍵ではない。山崎の名前も、久我の名前も、取引先の名前も、警察の名前も。

名前は、確認の入口にすぎない。

本物かどうかは、声ではなく、経路と記録が語る。

そして会社は、少しずつ、声よりも強いものを持ち始めていた。

説明できる手続き。

それが、次の鍵だった。