現在のサイバー攻撃は「金銭目的」が増加しており、被害額も過去最悪を更新しています。
中でもランサムウェアによる被害が深刻化しており、データを暗号化するだけでなく、情報を窃取して金銭を要求する「二重脅迫」も常套手段となっています。

さらに脅威を増幅させているのが、「生成AIの悪用」です。生成AIの登場により、サイバー攻撃のハードルはかつてないほどに下がっています。

攻撃者は生成AIをアシスタントとして使い、フィッシングメールの文面を標的の母国語で違和感なく自然に作成したり、攻撃パターンを大量生成させて攻撃を容易に展開できるようにしたりと、サイバー攻撃に関する専門知識が無くても生成AIをアシスタントにすることで攻撃が可能となっており、生成AIの悪用による事件も起きています。

更には、サイバー攻撃の手口やツールがダークウェブ上で違法に売買されており、手口を購入すれば誰でも攻撃が可能となっています。

このように、現在のサイバー攻撃は実行犯がプロの攻撃者とは限らず、お金欲しさに生成AIを悪用してサイバー攻撃を行う一般の人も存在しており、攻撃者の裾野が広がっているのが実情です。

どれほど警戒していても、攻撃者は巧みに人間の心理的な隙を突いてきます。人が騙される要因として、以下のような内容が挙げられます。

権威への服従： 警察や役人、経営者や上司など「権威がある立場」を装って指示を出します。

緊急性の演出： 「本日中にアカウントが停止する」など、期限を強調して相手を焦らせ、行動を急がせます。

など

攻撃者は、相手がどうすれば騙される可能性があるのか、騙される側の心理を知り尽くしてる恐れがありますので、守る側は人間の心理的な隙を突いたサイバー攻撃の手口を知り、どういう状況だと、騙されやすくなってしまうのかを知ることが大事です。

また、生成AIを悪用して攻撃している可能性もありますので、例えばメールの件名や文面で本物のメールなのか、詐欺のメールなのかを見分けるといったことが困難になっていることにも注意が必要です。

人の心理や信頼を悪用する攻撃の総称を「ソーシャルエンジニアリング」と呼びます。この手口は生成AIの普及に伴い、急速に巧妙化しています。 例えば、手口のごく一部にはなりますが、以下のような内容が挙げられます。

ボイスフィッシング（ビッシング）： 金融機関の担当者を装い、自動音声なども交えて電話をかけ、言葉巧みに偽サイトへ誘導して情報を盗み取ります。

ClickFix（クリックフィックス）： 「私はロボットではありません」といった見慣れた認証画面を偽装し、ユーザー自身にキーボード操作を行わせてマルウェア感染コードを実行させます。

など

攻撃の手口は日々変化しており、新たな手口が登場する可能性もありますので、こうしたソーシャルエンジニアリングの手口に関する情報を日頃から収集しておくことが大事です。

また、こうした手口を社内の一部の社員だけが知っている状態にせず、社内に周知して手口を知っている人を増やすことが、セキュリティ意識の向上につながるのと同時に、ソーシャルエンジニアリングによる被害を防止できる可能性を高めます。

OSやソフトウェアに脆弱性が見つかれば、セキュリティパッチを適用して穴を塞ぐことができます。しかし、「人の行動」に100%や絶対は無く、これさえやれば脆弱性が無くなるというセキュリティパッチは存在しません。どんなに手口を知っていても、人はその時置かれた状況によって不適切な行動をとってしまう可能性があります。

だからこそ、教育や研修の徹底に留まらず、「人が対策を無視して不適切な行動を取ってしまった場合」を前提とした仕組みづくりが必要不可欠です。

例えば、仮に誰かが騙されて被害が発生してしまったとしても、なるべく早くその状態を把握することが、企業や組織にとって被害拡大の防止につながる可能性があります。このため、サイバー攻撃に関する相談窓口を社内に設け、何かあった場合や不審に感じた場合などに、社員がどこに相談すればよいのか迷わないようにするためのルール・体制づくりを平常時に行いましょう。

被害を防ぐ、あるいは最小限に留めるためには、人の脆弱性を狙った攻撃の手口を知っておくとともに、どういう時に騙されやすくなるのかを具体的に把握しておきましょう。

例えば、営業担当ならメールの添付ファイルが「見積書ファイルに見せかけたマルウェア」だと開いてしまう可能性が高まり、経理担当なら自分宛の電話が「至急の振込依頼に見せかけた詐欺」だと騙されて処理を進めてしまう可能性が高まります。

せっかくセキュリティ対策を導入していても、人がサイバー攻撃成功の可能性を高めてしまうような操作をしてしまっては元も子もありませんので、部署や役割によって騙されやすいポイントを事前に整理しておき、その情報を部門内で共有してセキュリティ意識を高めましょう。