AI時代のフィッシング詐欺に対する警告サインは何を重要とするべきか
提供: フォーティネットジャパン
本記事はフォーティネットジャパンが提供する「FORTINETブログ」に掲載された「クリックする前に考える: AI時代のフィッシング」を再編集したものです。
米国で掲載ブログの抄訳です 2026年10月15日木曜日
長年にわたり、フィッシングに対する意識は、スペルミスや不自然な言い回しなどの明白なサインを識別することに重点が置かれてきました。これらの指標は今でも存在しますが、もはや信頼できるスクリーニングツールとしては機能しません。AIで作成されたメッセージは、洗練され、パーソナライズされ、個人や組織の通常の言葉遣いに合わせることができます。
より有用な質問は、もはや「このメッセージはプロフェッショナルに見えるか?」ではありません。「この要求は理にかなっているか、そして誰がそれを行っているかを確認したか?」です。
この変化が重要なのは、攻撃者は被害者にファイルを開く、QRコードをスキャンする、機密データを明らかにする、または送金するなど、1つのアクションを実行させるだけでよいからです。その結果、AI時代のフィッシングに対する保護は、表面的なメッセージの欠陥よりも、メッセージが引き起こそうとするアクションに重点を置くべきです。
メッセージは配送メカニズムに過ぎない
フィッシングが効果的であり続けるのは、複数の形態の侵害へのエントリーポイントを提供するためです。クレデンシャル収集ページは、ユーザー名とパスワードを取得できます。悪意のある添付ファイルは、マルウェア感染を引き起こす可能性があります。不正な支払い要求は、資金をリダイレクトできます。そして、侵害されたアカウントは、信頼できるアドレスからより説得力のあるメッセージを送信するために使用される可能性があります。
フィッシングメッセージは、攻撃の中で技術的に最も複雑でない部分であることがよくあります。その目的は、受信者にクレデンシャルを入力する、認証要求を承認する、ファイルを開く、または確立されたプロセスを変更することによって、信頼境界を越えるよう説得することです。それが起こると、攻撃者はクレデンシャルやセッショントークンを盗んだり、マルウェアをインストールしたり、永続性を確立したり、侵害されたアカウントを使用して他のユーザーを標的にしたりする可能性があります。AIを追加しても、これらの目的は根本的には変わっていません。代わりに、ルアーの品質、パーソナライゼーション、拡張性が向上し、それ以外は馴染みのある攻撃チェーンが成功する確率が高まっています。
攻撃者はまた、すでに公衆の関心を集めているイベントに関連したキャンペーンを作成することがよくあります。たとえば、FortiGuard Labsは、1月から5月の間に登録されたFIFAワールドカップ2026に関連する13,000以上のドメインを発見し、そのうち約8.8%が悪意のあるまたは疑わしいものとして識別されました。これには、偽のチケット、求人広告、ストリーミングリンク、なりすましアカウントが含まれ、現在のコンテキストで関連性があり信頼できるように見えるため、すべて効果的です。AIの強化により、これらのドメインは正当に見えるようになり、フィッシングメッセージやサイトを識別する多くの兆候が取り除かれました。
AIがソーシャルエンジニアリングの経済性を変える
AIはまた、スピアフィッシングをより効果的にしました。効果的なスピアフィッシングは従来、時間を必要とし、攻撃者はターゲットを調査し、ターゲットの役割と関係を理解し、そのコンテキストに適したメッセージを構築する必要がありました。AIは各ステップで必要な労力を削減します。
AIの機能は、説得力のある画像、音声、ビデオのなりすましをサポートできます。もちろん、これらの技術がすべてのフィッシングの試みを洗練されたものにするわけではなく、成功を保証するものでもありません。しかし、洗練された文法、適切なトーン、または認識可能な声などの馴染みのあるシグナルを、真正性の証拠としてあまり有用でないものにします。
これが、意識向上プログラムが、不十分に書かれたメッセージの検出から、ID、コンテキスト、意図の検証へと進化しなければならない理由です。
メッセージだけでなく、要求を検証する
従業員は、クレデンシャル、金銭、機密データ、MFAの承認、または緊急の対応を求める連絡を受け取った場合、特にその要求が通常と異なる場合や標準的な手順から逸脱している場合は、注意を払い、慎重に対応する必要があります。
検証は独立して実施する必要があります。疑わしいメッセージに記載されている電話番号、返信アドレス、またはリンクの使用は避けてください。代わりに、信頼できる番号、社内ディレクトリ、または公式の社内チャネルを通じて相手に連絡してください。支払いやアカウントの変更については、たとえその要求が経営幹部や信頼できるサプライヤーからのものであるように見えても、組織の承認手順に従ってください。
従業員は、要求を取り巻く状況についても考慮する必要があります。その連絡は予期されていたものでしょうか? これは、その人が通常このタイプの要求を行う方法でしょうか? 宛先ドメインは、それが代表すると主張する組織と一致していますか? メッセージは、受信者に通常のレビューを避けるよう求めたり、その行動を秘密にするよう求めたりしていますか?
単一の答えだけでは、メッセージが悪意のあるものであることを証明することはできません。しかし、これらのチェックを組み合わせることで、洗練された言葉遣いや現実的なブランディングが隠そうとしている矛盾を明らかにすることができます。
認識だけでなく、判断のためのトレーニング
組織は、攻撃者による操作の試みを認識し、対応するために従業員をトレーニングする必要があります。トレーニングには、Eメール、テキストメッセージ、コラボレーションツール、QRコード、電話、および新しいタイプの合成メディアを含める必要があります。また、標的型攻撃に最も脆弱な役割やビジネスプロセスに焦点を当てる必要があります。
フィッシングシミュレーションは、ユーザーが現実的なシナリオにどのように対応するかを測定し、追加のトレーニングやセキュリティ制御が必要な箇所を特定するための管理された方法を提供します。 FortiSATは、フォーティネットの統合セキュリティ意識向上およびフィッシングシミュレーションプラットフォームであり、以前は FortiPhishを通じて提供されていた機能を組み込んでおり、現実的なフィッシングキャンペーンとユーザーリスクデータを使用して、リスクの高い行動を特定し、個別のリスクスコアを計算し、標的を絞った改善策を提供します。これらのリスクスコアは、他のフォーティネットセキュリティ製品によっても活用され、リスクの高いユーザーに対してより厳格なセキュリティ制御を動的に適用することができ、より適応的でリスクベースのセキュリティアプローチを可能にします。
目的は、従業員のミスを捕まえることではありません。要求が信頼の境界を越えるタイミングを認識し、次に何をすべきかを知るための繰り返しの練習を提供することです。
フィッシングは進化していますが、最も効果的な対応は簡単です: 一時停止。検証。報告。クレデンシャル、金銭、機密情報、または緊急の対応を求める予期しない要求には注意を払い、進める前に独立して検証してください。
詳細については、FortiSATをご覧ください。
本記事はアフィリエイトプログラムによる収益を得ている場合があります