ASCII.jpは、AIによって巧妙化・大規模化するフィッシング攻撃を取り上げ、企業のセキュリティ対策として「行動優先」のトレーニングが求められる点を報じた。記事では、従来は不自然な日本語や誤字・文法ミスが見分けるヒントとなっていたフィッシングメールが、生成AIの悪用により、正規企業の書式や語調を模倣した自然で説得力のある文面へと変化していることが指摘されている。さらに、AIを用いることで標的に応じたメールを短時間で大量に作成できるようになり、攻撃の“量”と“質”の両面で脅威が増大している。
報道が扱うテーマは、フィッシング攻撃が生成AIなどのAI技術の活用により高度化・効率化している現状と、それに対して企業側がどのような教育・訓練を整備すべきかという問題意識にある。
記事タイトルが示す通り、フィッシングは従来から存在する手口である一方、AIの利用によって「巧妙化」している点が焦点となっている。AIによって、攻撃メールの文面はより自然で流暢になり、受信者や組織の属性情報、過去のやり取り、ニュースや時事情報などの文脈を取り込んだパーソナライズも容易になっている。これにより、受信者が「怪しい」と感じて違和感から見破ることが難しくなっている。
また、海外の攻撃者であっても、日本語を理解していなくても生成AIを利用することで、不自然さのない日本語メールを作成できるようになっており、日本国内の組織・個人に対するフィッシングの脅威も増しているとされる。加えて、AIが攻撃の準備から実行、結果を踏まえた改善までのプロセスに悪用されることで、以前より低コストかつ短時間で、大量のフィッシングメールやフィッシングサイトを作成・ばらまくことが可能になっている。
一方で、記事は特定の単一事件の発生や、特定企業・団体における被害の確定事例を詳細に報じるものではなく、企業防衛の観点から、AI時代のフィッシング対策における教育・トレーニングの位置づけを取り上げた内容である。具体的な攻撃メールの全文、個別の被害件数・被害額、特定の標的組織名などは記事からは確認できない。
フィッシング攻撃は、受信者をだましてログイン情報や個人情報を入力させたり、不正なリンクのクリックや添付ファイルの開封など意図しない操作をさせたりすることを狙う攻撃として知られている。ASCII.jpの記事は、このフィッシングが生成AIを含むAI技術によって巧妙化し、検知や見分けが難しくなっている点をテーマに据えた。
「巧妙化」という表現は、攻撃側がより自然な文面や状況設定を用いることに加え、受信者や組織の情報を基にしたカスタマイズ、さらには自動応答やチャットボット的な対話まで組み合わせることで、あたかも実在の相手や正規サービスとやり取りしているかのように受信者を錯覚させる可能性があることを示唆する。フィッシングサイトについても、見た目の模倣だけでなく、ログイン後の画面や購入フローなどの機能面まで精巧に再現され、本物と区別しにくいケースが増えていると指摘されている。
また、AIの利用によりフィッシングコンテンツの作成コストが大幅に下がり、短時間で大量の攻撃を展開できるようになっているという海外のサイバーセキュリティ企業の統計データも紹介されており、クリック率の上昇など攻撃側の効率化・成功率向上につながっているとされる。ただし、当該統計の具体的な数値や調査条件についての詳細は記事内では限られており、全ての攻撃に一律に当てはまるかどうかは現時点で不明な部分もある。
一方で、企業に求められる対応として「行動優先」のトレーニングが取り上げられている点から、単に注意喚起や知識の付与を周知するだけではなく、従業員が実際の業務場面で怪しいメールやサイトに直面した際、どのように判断し、どのような行動を取るべきかを体験的に身に付けさせる教育が重視されていることが読み取れる。ここでいう「行動優先」とは、フィッシングメールを受け取った際にリンクをクリックしない、一人で判断せず上長や情報システム部門に相談する、正式な経路からの再確認を行うなど、具体的なアクションを習慣として身につけることに主眼を置くアプローチである。
AIの普及を背景に、攻撃の手口が質・量ともに変化し得るという問題意識は、企業のセキュリティ運用やリスクマネジメントに直接的な影響を与える。記事は、その影響の一つとして、フィッシング対策における従業員向けトレーニングのあり方を論点化し、従来型の「座学中心」「知識偏重」の教育だけでは不十分になりつつあることを示している。
具体的には、以下のような観点が重要とされる。