背景：生成AIによる攻撃の高度化

従来のフィッシング攻撃は、主に大量送信型の「不特定多数向け」の手法が中心でした。本文や件名の不自然さにより、受信者は警戒しやすく、セキュリティソフトも検知しやすい構造でした。しかし、生成AIの登場により攻撃者は、以下のような利点を活用できます。

• 自然な文章生成：文法や語感が自然で、人間が作成したメールと見分けがつきにくい
• 標的型フィッシングの強化：社内情報や従業員名を模倣した個別メールを生成
• 攻撃手法の多様化：添付ファイル型、リンク誘導型、チャットやメッセージアプリ経由など、あらゆるチャネルで実施可能

その結果、メールの開封率やリンククリック率が大幅に向上し、被害が広範囲に及ぶ可能性があります。特に機密情報や認証情報が漏洩すると、二次被害や金銭的損失につながるリスクが高まります。

攻撃手法とリスク

生成AIを用いたフィッシング攻撃の主な手法は以下の通りです。

• AI生成メール
  高精度な文章生成により、送信者名や文面を巧妙に偽装。ユーザーの注意を逸らすことで、添付ファイルの開封やリンククリックを誘導します。
• 標的型攻撃（Spear Phishing）
  特定社員や部門を狙い、個人情報や業務関連情報を活用して信憑性の高いメールを送信。管理者権限や財務情報を狙うケースも増えています。
• 情報漏洩リスク
  メール内リンクや添付ファイルを通じて認証情報や機密データを盗まれることにより、業務への影響、信用低下、法的リスクが発生します。

これらの攻撃は、従来のルールベースやシグネチャ型のメールセキュリティだけでは十分に防ぐことが困難です。特に生成AIによる自然文は、従来型検知技術の回避が容易です。

対策と導入手順

生成AIフィッシングに対抗するためには、人的対策と技術的対策を組み合わせた多層防御が重要です。

1. メールフロー可視化
   受信経路や通信経路を把握し、内部メールサーバやゲートウェイでの異常通信を早期に検知。攻撃の初期段階で封じ込めることが可能です。
2. フィルタリング・検知設定
   • SPF/DKIM/DMARCなどの送信者認証を強化
   • AIベース検知を導入し、生成AIメールや不審な文章パターンを検出
3. 社員教育
   定期的な疑似攻撃演習やセキュリティ研修を実施。攻撃メールの特徴や注意点を周知し、被害を未然に防ぎます。
4. 自動化ルール導入
   不審メールの隔離や警告表示を自動化し、ユーザーが不用意に開封するリスクを低減します。
5. 定期評価・改善
   攻撃手法は日々進化するため、メールフィルタリング設定や社員教育内容を定期的に見直し、最新の脅威に対応します。

あるべき姿

理想的な状態は、生成AIフィッシング攻撃に対しても人的対策と技術的対策が組み合わさり、被害を事前に防げる環境が確立されていることです。
社員は攻撃メールを識別でき、システム側では不審なメールを自動で隔離・警告できる。この二重の防御により、攻撃成功率を最小化できます。

まとめ

生成AIを活用したフィッシング攻撃は、従来よりも巧妙化・精度向上が進んでいます。

• メールフロー可視化

• AIベース検知

• 社員教育

• 自動化による隔離・警告

• 定期的な評価・改善

これらを組み合わせた多層防御が、組織のリスクを最小化する鍵です。限られたリソースを効率的に活用し、攻撃を未然に防ぐことが求められます。