AI時代の二段階攻撃：フィッシングと音声詐欺の融合が企業を脅かす

手口の概要

かつてのサイバー攻撃は、文法的な誤りを含む一般的なメール詐欺が主体でした。しかし生成AIの進化により、攻撃は劇的に変わりました。現在、犯罪者はSMS、WhatsApp、メール経由で個人や企業を標的にした高度にカスタマイズされた偽メッセージを送信しています。これらのメッセージは、正当な企業の通信と区別が難しいほど巧妙に作られています。

最も懸念される新しいパターンは、フィッシングメッセージと音声詐欺（ボイシング）の組み合わせです。攻撃者は音声クローン技術を使用して、公式のコールセンターになりすまし、説得力のあるシナリオを展開します。このアプローチにより、従業員や顧客が詐欺行為に引っかかる可能性が大幅に高まります。

二段階攻撃の仕組み

この攻撃は次のプロセスで展開されます：

1. 第1段階：準備フェーズ - フィッシングメッセージ、テキストメッセージ、またはSNSを通じて詐欺的なメッセージが送信され、受信者に不安や緊急性を植え付けます。

2. 第2段階：実行フェーズ - 数時間から数日後、攻撃者から電話がかかります。送信されたメッセージとの関連性を示唆しながら、パスワードのリセット、アクセス権限の承認、資金移動などの行動を強要します。

企業環境では、これは技術サポートチームへの接触や、従業員に対する緊急の承認をめぐるプレッシャーとして現れることが多いです。AIにより作られた音声は、元の人物の特性を模倣するため、受信者は本当の通信相手だと確信しやすくなります。

統計が示す危険性

Palo Alto Networks のデータによると、世界規模での大規模な企業データ侵害の22～23%はフィッシングが入口となっています。さらに広く捉えると、社会工学的攻撃全体は調査対象企業の45%に影響を与えています。

ブラジルは国際電気通信連合（ITU）の2024年グローバルサイバーセキュリティ指標で最高レベルのセキュリティ政策を持つと評価されていますが、組織内の現実はこれと異なります。Cetic.br が4,100社以上を対象に実施した調査では、53%の企業が正式なデジタルセキュリティ政策を備えているにもかかわらず、AIセキュリティやデジタルリスク管理専任の職員を置いている企業はわずか1%です。

見分け方と警戒点

• 意図しないメッセージ受信: 公式機関からの連絡を待っていないのに、銀行やプラットフォームからの緊急通知が届いた場合は注意が必要です。
• 時間差のある連絡: フィッシングメッセージから数時間後に電話がかかってくる場合、そのメッセージとの関連を確認してください。
• 緊急性と圧力: 「いますぐ対応しないと」というプレッシャーをかけられる場合は、その要求に疑問を持ってください。
• 個人情報やアクセス情報の要求: 正当な企業は電話でパスワードやOTPの入力を求めることはありません。
• 音声の違和感: AI生成音声には微妙な不自然さが残る場合があります。通常と異なる違和感を感じたら、直接企業に連絡して確認してください。

対策方法

個人・従業員レベル

• 予期しない連絡（特にアクセスやパスワード関連）を受けた場合は、必ず公式ウェブサイトか事前に登録した電話番号から企業に直接連絡し確認する。
• メールやメッセージ内のリンクをクリックせず、公式ウェブサイトで確認する。
• パスワード変更やシステムアクセスが必要な場合は、信頼できるチャネル経由でのみ実行する。
• 同僚と疑わしい連絡について情報共有する。

企業レベル

• 多要素認証（MFA）などの強力な認証メカニズムを導入する。
• 機密情報やアクセス権限に関する要求に対して、追加の確認プロセスを設ける（例：複数段階の承認、別チャネルでの検証）。
• ブランドと関連ドメインを監視し、詐欺的なページやなりすまし用プロフィールを検出・削除する。
• サイバーセキュリティに関する従業員教育と意識向上プログラムを継続的に実施する。
• 定期的なシミュレーション訓練を行い、従業員が詐欺メッセージや詐欺的な電話にどう対応すべきかを周知徹底する。

相談窓口

• ブラジル内の企業の場合：各地域のサイバーセキュリティ当局やデジタルセキュリティに関する公式機関に相談してください。
• 詐欺被害の報告：各国の警察や詐欺報告専門機関に通知してください。