2025年10月23日
サイバーセキュリティ啓発月間は、10月の他の名物行事――色づいた紅葉を眺めたり、ハロウィーンのお菓子をたらふく食べたりすること――ほど魅力的ではないかもしれないが、企業経営者と消費者の両方に、サイバーセキュリティへの取り組み方を見直すという重要な儀式を行うきっかけとなる可能性がある。
そして、この一年を振り返るべきことはたくさんある。特に企業は今月（そして毎月）、オンライン上の脅威の状況はどのように変化したのかを自問自答すべきである。そして、貴社のセキュリティ対策は、こうした変化に十分に対応できていますか？
人工知能は間違いなく、今年最大のゲームチェンジャーとなった。ChatGPTのような大規模言語モデル（LLM）を含むAIツールは、攻撃者の能力を飛躍的に向上させている。一方、AIを日常業務に取り入れる企業が増えており、サイバーセキュリティ専門家は、その方法に関する前例がほとんどないまま、新たな領域を守ることを迫られている。一方、消費者は、この急速に変化するAI環境の渦中に巻き込まれている。
まさにこうした力学が、今年のラスベガスで開催されたブラックハットカンファレンスに参加した2万人もの参加者の多くを悩ませていた。ビジネスホールの華やかなブースから、講演で発表される最先端の研究、そして合間の静かな会話に至るまで、AIが会話の中心を占めていた。
イベントのオープニング基調講演で、長年サイバーセキュリティ研究に携わってきたミッコ・ヒッポネン氏は、AIを自身の人生で見てきた「最大の技術革命」と呼び、LLM（論理レベル管理）を使用する研究者たちが既に数十件のゼロデイ脆弱性（ソフトウェアやコードの未検出の脆弱性を指す業界用語）を発見していると指摘した。
「研究者がAIのセキュリティ上の脆弱性を発見してくれるのは素晴らしいことです。なぜなら、私たちがそれを修正できるからです」とヒッポネン氏は述べた。「攻撃者が同じことをするのは、本当にひどいことです。」それも起こるだろう。
オンライン詐欺師たちは既にLLM（論理言語管理）を利用して、より説得力があり、標的を絞ったフィッシングメールを作成しており、AIツールなしでは到底不可能だった規模でそれを実行している。
かつては、ITに疎い人でも詐欺だと見抜けるような、稚拙な定型文メールが横行していた時代は終わった。英語を母国語としない詐欺師たちは、今やLLM（法律用語）を使ってメッセージを磨き上げるプロになっている。
海外に駐留する孤独な兵士を装い、あまりにもうますぎるビジネスチャンス（実際、それは嘘なのだが）を持ちかける詐欺師でさえ、AIによって収集された個人情報を散りばめることで、メッセージの信憑性を高めている。
彼らはメールにとどまらず、今では洗練されたコミュニケーション手段をソーシャルメディア、テキストメッセージ、さらには電話にも展開している。
同時に、音声や動画のディープフェイクを含む詐欺メッセージが増加している。昨年、香港のある従業員が、多国籍企業の最高財務責任者を含む幹部とのビデオ通話だと思い込んで参加したところ、詐欺師に騙されて2500万ドルを支払わされるという事件が発生した。しかし、通話に参加していた他の人物は、実はそれらの人物をディープフェイクで再現したライブ映像だったことが判明した。
消費者は音声ディープフェイク詐欺の標的にもなっている。そこでは、サイバー犯罪者がAIを使って、主に若い世代の人々の声をディープフェイクし、その偽の声を使って家族に電話をかけ、誘拐されたとか刑務所に収監されたなどと嘘をつき、金銭を脅し取ろうとする。
こうした状況は、企業や消費者が不安を感じるのも当然だ。マスターカードが最近実施した調査では、世界中の約1万3000人の消費者（うち米国では約1000人）を対象にアンケート調査を行い、AIが生成する偽コンテンツが、消費者が将来的に最も懸念する詐欺関連の脅威であることが明らかになった。しかし、調査対象者のうち、AIが生成する脅威や詐欺の標的になった場合に、それらを識別できる能力に非常に自信があると答えたのはわずか13％だった。
調査対象者の大多数は、AIシステムがハッキングされて悪用されるといった、より高度な攻撃、自動化された大規模なサイバー攻撃、そしてAIによって作成されるより巧妙なフィッシングメールに対する懸念を具体的に挙げた。
そして、不安を抱えた消費者は、彼らにサービスを提供する企業にとって大きな問題となる可能性がある。消費者が、取引相手が正当な企業であると確信できない場合、あるいは個人情報が安全に保護されていると確信できない場合、他の企業に乗り換える可能性がある。
少なくとも今のところは、守備側が有利なようだ。サイバーセキュリティ企業は、顧客企業のシステムにおける新たなAI要素のセキュリティ確保に加え、オンライン上の脅威をより迅速かつ効率的に阻止することを目的として、自社製品にもAIを組み込んでいる。
一方、詐欺師やその他のサイバー犯罪者は、まだ同じような方法で革新を起こす十分な動機を持っていない。専門家によると、彼らはAIツールを使ってより迅速に、より大規模に事業を展開しているものの、基本的には昔ながらの詐欺の手口を改良したバージョンを使い続けているという。
元サイバーセキュリティジャーナリストで、現在はBallistic Venturesのベンチャーパートナーを務め、自身のサイバーミッションファンドであるSilver Buckshotを率いるニコール・パールロス氏は、Black Hatの基調講演で、サイバーセキュリティ分野で見られる新しい技術や新興技術に勇気づけられていると述べた。
彼女は、市場に出回りつつあるAIを活用した新たなディープフェイク検出技術に言及し、AIがサイバーセキュリティ製品やサービスの「民主化」に貢献し、これまで導入できなかった中小企業でも利用しやすくなったと指摘した。
ヒッポネン氏は、ディープフェイクを使った詐欺は現在非常に稀であると指摘しつつも、AI技術の性能向上と低価格化に伴い、ランサムウェアをはじめとするあらゆる種類のオンライン詐欺が悪化する一方だと予想していると付け加えた。
朗報としては、AIに関しては守備側が先行しているということだ。
「攻撃者もAIを利用し始めているが、それはまだ始まったばかりだ」と彼は述べた。「これまでのところ、AIを使った攻撃は比較的単純なものしか確認されていません。」状況は変化するだろうが、現時点では我々は準備ができていると言えるだろう。
