HYPRの「State of HR Identity Fraud Detection」レポートによると、採用からオンボーディングまでの90日間という期間が、企業のアイデンティティセキュリティに死角を生み出しています。
HYPRのCEOであるBojan Simic氏は次のように述べています。「攻撃者はもはやネットワークに侵入する必要すらありません。リモート面接をパスするだけで、IT部門から直接、正規の認証情報を受け取ることができるのです。人間の勘はセキュリティ対策にはなりません。報告件数の少なさを指摘する懐疑的な見方もあるでしょうが、それは目的に特化した検証技術が存在しないために業界がこの問題を把握できていないだけです。実際には、現在のデータが示す以上に多くの不正な労働者が組織内に潜んでいます」
断片化した不正検知体制
HR部門責任者の98%が候補者による不正行為を実際に経験している一方、96%は自組織であればそれを検知できると考えています。採用前の検知をすり抜けた不正行為があった場合、不正な採用者は発覚前に企業の認証情報や社内ネットワークへのアクセス権を手にしてしまう可能性があります。
組織が候補者の不正を発見した段階（出典: HYPR）
不正行為が発覚する場面として最も多いのは選考・面接段階ですが、オンボーディング、実際の就業中、技術評価の段階でも発覚しています。各社は不正インシデントにおいて平均2.2件のチェックポイントで不正を特定しており、これは一貫した主要な防壁がなく、各段階でばらばらのチェックを通じて不正が発見されていることを示しています。
本人確認ツールは、アカウント作成、重要な取引、アカウント復旧といった特定のイベントに限定して使われることが多くなっています。こうしたチェックの対象外では不正な採用者が見過ごされる可能性があり、企業は不審な行動を見抜くために従業員やその他の手作業のプロセスに頼らざるを得ないのが実情です。
採用プラットフォームや応募者追跡システムでは、合成エージェントやAI生成の候補者が多く見られる応募・選考段階を狙って、本人確認機能や不正防止機能をワークフローに組み込む動きが始まっています。
アイデンティティ関連およびAIを悪用した攻撃全体を見ると、サードパーティのセキュリティツールで検知できているのはわずか53%にとどまります。残りのケースは、従業員からの報告や内部監査、外部からの警告など、手作業による発見に依存しています。自動化された対策の導入が義務付けられている場合でも、脅威のほぼ半数は手作業による発見に頼っているのが現状です。
信頼度のギャップ
アイデンティティおよび採用テクノロジーを担当するリーダー層は、自組織の不正検知能力に対してより慎重な見方を示していました。今回の調査で最も技術的な備えが整っているIT・通信業界でさえ、他のどの業界よりも手作業による観察に依存する傾向が強く見られました。
教育業界は、採用不正への懸念と既存の防御策への信頼度との間に最も大きな乖離が見られました。製造業や公益事業は懸念・信頼度ともに高い水準を示しており、HYPRはこれを対面での採用や対面での本人確認の実施と関連付けています。営業・メディア・マーケティング業界は、信頼度が懸念を上回った唯一の業界でしたが、不正の疑いを発見・報告する役割を従業員に強く依存していました。
アイデンティティリスクの引き継ぎ
採用前段階のアイデンティティリスクに関する責任の所在は、建前上は明確でも実際の運用では曖昧になりがちです。人事部門が採用活動中は責任を負うのが一般的ですが、IT部門やセキュリティ部門は新入社員がアクセス権を取得して初めて関与し始める傾向があります。
この二つの段階の間の期間には、明確な責任者が存在しません。
攻撃者はこの責任の移行期を突いて組織に入り込むことができます。特に、認証情報が発行された後になって不正が発覚するようなケースでは、採用後もリスクにさらされ続ける可能性があります。
採用不正がもたらすコスト
ほとんどの企業では、採用不正のインシデント解決に少なくとも1週間から3週間を要しており、これにより採用の遅延、人員補充、生産性の低下、セキュリティリスクの露出、コンプライアンス上のリスク、チーム運営の混乱といった財務面・運用面でのコストが発生しています。
採用後に不正が発覚した時点で、不正な採用者の98%は既に会社の認証情報を受け取ってしまっています。
各社は採用不正への対応として、本人確認技術の導入などいくつかの対策を講じており、1件のインシデントに対して平均2.52件の対応措置を取っています。
アイデンティティセキュリティへの投資も、事後対応的になりがちです。組織は往々にして、インシデント発生前ではなく侵害を受けてから支出を増やす傾向があります。本人確認および多要素認証（MFA）への支出の約60%は、セキュリティ侵害をきっかけに発生しています。
翻訳元: https://www.helpnetsecurity.com/2026/09/18/hypr-hiring-fraud-detection-report/
