“文章力がすごい”AI型フィッシングメールに対抗するための「最先端の防御策」：狙いはあなたの認証情報

　フィッシングとは、人の心理を巧みに操って意図通りの行動をさせる詐欺手法「ソーシャルエンジニアリング」によって、標的に不正送金をさせたり、システムの認証情報を聞いたりする攻撃だ。フィッシングはもともと、不特定多数の人に送信する手口から始まり、標的を絞って個別にカスタマイズされた攻撃へと進化してきた。その手法としては、“定番”のメールに加え、以下の新たな手法も登場している。

　最近は攻撃者がAI技術を悪用することで、フィッシングの手口がいっそう巧妙化している。文法を誤ることなく複数言語でメールを作成することはもちろん、パターン認識によって標的の特徴や弱点を分析し、それに合ったフィッシングメールを作ることも可能だ。ディープフェイクを使えば、視覚的な信頼性を高めて標的をだませる。

　AI技術によって、かつては重要な手掛かりだった「違和感」が無力化されつつあるのが現状だ。訓練を受け、セキュリティ意識が高いエンドユーザーでも、AI技術を駆使したフィッシング攻撃に気付かない可能性がある。フィッシング攻撃によってシステムの認証情報が流出すれば、ランサムウェア（身代金要求型マルウェア）攻撃などにつながる恐れがある。

　フィッシング攻撃に対抗するための技術の一つが、MFA（多要素認証）だ。しかしMFAも万全な対策ではない。近年は、MFAの通知を連続でエンドユーザーに送って疲弊させ、誤って承認させる手口「MFA疲れ」が広がっている。正規Webサイトとエンドユーザーの間に割り込む「中間者攻撃」（「MITM」や「AITM」とも）は、エンドユーザーの認証情報をリアルタイムで窃取することを可能にする。

　では、組織はどのような対策を講じればいいのか。以下で、フィッシング攻撃のリスクを減らすためのポイントを見てみよう。

それでもフィッシング攻撃を受けたら

　フィッシング攻撃は、完全に防ぐことは難しい。以下で、認証情報が流出した場合でも、攻撃者の侵入による被害を抑えるための技術やツールを紹介する。

　AI時代のフィッシング攻撃は、単一の対策で防ぐことは難しい。先進技術、ユーザーの訓練、強固なセキュリティポリシーを組み合わせた総合的アプローチが不可欠だ。