AIを悪用したサイバー攻撃とは？フィッシング・なりすまし詐欺と社内でできる対策

IPAの「情報セキュリティ10大脅威」は、前年に社会的な影響が大きかった事故や攻撃をもとに、専門家などの投票で選ばれます。2026年版の組織向けでは、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」に続き、3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。10位には、AIの悪用とも関係が深い「ビジネスメール詐欺」が入っています。なお、IPAは順位が危険度を表すものではないとしています。

IPAの解説書は、AIをめぐるリスクとして主に次の3つを挙げています。

これまでは、不自然な日本語がフィッシングメールを見分ける手がかりの一つでした。IPAは、AIの翻訳能力が上がったことで、攻撃者がフィッシングの文面や偽のWebページを、標的の母国語で違和感なく作れるようになったと指摘しています。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」も、AIをめぐる脅威を特集し、次のような事例を挙げています。

• 生成AIを使って改修したフィッシングサイトで、他人のIDなどを不正に入手した事件の検挙
• 日本人を狙ったサポート詐欺のグループが、標的の特定、偽の警告画面の作成、日本語への翻訳に生成AIを使っていた事例
• 偽のSMSの文面づくりに、生成AIが悪用されたとみられる事象（日本サイバー犯罪対策センターの注意喚起）
• 感染したPCが使える生成AIサービスに不正な命令を作らせる、新しいタイプの不正プログラム

ビジネスメール詐欺は、経営者や取引先などになりすまして偽の指示を送り、攻撃者の口座へ送金させる手口です。IPAの解説書によると、生成AIを悪用した手口が多様化しており、なりすましにAIによるディープフェイクが使われた例も確認されています。弁護士などを名乗る手口では、生成AIなどによる偽の電話もあるとしています。

IPAが挙げる手口には、次のような特徴があります。

• 経営者になりすます：業務指示の形で、社員に振込を求める
• 取引先になりすます：請求書の振込先を攻撃者の口座に差し替えて、支払いを促す。取引先のメールアカウントが乗っ取られ、正規のアドレスから届くこともある
• 急がせる・口止めする：「緊急」「ほかの社員には秘密」などと添えて、確かめる時間を与えない
• チャットに誘導する：社長や役員を名乗る短いメールで、メッセージアプリのグループを作るよう求めたり、QRコードの返信を求めたりする

声や映像が本人そっくりでも、それだけで本人と判断しないことが前提になります。見分ける力に頼るのではなく、次の章のように確かめる手順を決めておくことが対策の中心です。

IPAは、ビジネスメール詐欺への備えとして、金銭の支払いを1人で完結させない審査・承認の流れと、依頼を受けた経路とは別の手段での確認を挙げています。AIをめぐるリスクの対策でも、決裁や承認のプロセスに複数名のチェックを規程として定め、運用を徹底することを求めています。

IPAは、AIを悪用した不正アクセスやソーシャルエンジニアリングを防ぐため、多要素認証（MFA）の徹底を挙げています。ビジネスメール詐欺の準備としてメールアカウントが乗っ取られることもあるため、メールまわりの設定もあわせて見直します。

• 多要素認証を必須にする：パスワードに加えて、スマートフォンの認証アプリなど別の要素を組み合わせます。通信の間に割り込んで認証を突破する手口（AiTM）への備えとして、IPAはFIDO2（パスキーなど）やデバイス認証といった、より強固な方式の採用も検討するよう勧めています。
• 送信ドメイン認証を設定する：SPF・DKIM・DMARCを設定し、自社のドメインを名乗るなりすましメールを受け取りにくくします。
• 私物のメールアドレスを業務に使わない：IPAは、ビジネスメール詐欺への対策としてこの点も挙げています。
• 被害を受けたら転送設定を確かめる：攻撃者がメールの不正な転送や振り分けを設定していないかを確認します。

IPAは、AIの利用について講習などの教育を用意し、最新の手口を把握し続けることを対策に挙げています。また、教育は人の入れ替わりなどにあわせて定期的に行い、内容も見直すよう勧めています。社員向けには、次の点を具体的に伝えます。

• 文面が自然でも、送信元やリンク先を確かめる。迷ったら開かずに、情報システムの担当者に相談する
• 送金・口座変更・機密情報の送付は、声や映像の本人らしさではなく、決められた手順で確かめる
• 社内の秘密情報を、会社が認めていないAIサービスに入力しない（生成AIを社内で使う前に決めたい情報管理のルール）。個人情報の扱いは生成AIに個人情報を入力してもよい？で解説しています
• AIの回答をそのまま使わず、根拠を確かめる（生成AIの「ハルシネーション」とは？）
• おかしいと感じたら、被害があるかどうかにかかわらず、早めに報告する

IPAによると、攻撃者はビジネスメール詐欺の準備として、社員の氏名やメールアドレス、取引や請求に関する情報を集めます。使わなくなったPCやスマートフォンに残ったメール、保存されたパスワード、取引先とのやりとりも、外に出れば同じように悪用されるおそれがあります。

入替や退職で手放す端末は、データを消去し、どの端末をいつ消したかを記録に残してから社外に出しましょう。進め方は退職者・異動者のPCはどうする？とデータ消去証明書とは？で解説しています。

• データ消去：受け取った機器はすぐに全数を検品・入庫登録し、機器リストをご承認いただいてから消去を始め、1台ずつ記録します。進み具合はオンラインで確認できます。（法人向けPCデータ消去）
• 買取：法人のPC・サーバー・ネットワーク機器を1台から買い取ります。古い機器や故障品もまとめて査定します。買取する機器のデータ消去は無料で、消去証明書（PDF）の発行は有料（お見積り）です。（法人PC買取）
• 回収：関東圏はご指定の場所へ訪問回収、関東圏以外は事前のお見積りのうえ宅配便でお送りいただけます。（法人向けPC回収・対応エリア）
• 情報セキュリティ：株式会社REER JAPAN データ消去部の情報セキュリティマネジメントシステムは、LAPにてISO/IEC 27001:2022の認証を受けています（適用範囲：電子機器の回収、データ消去の業務）。（情報セキュリティと認証）

入替の時期や台数がまだ決まっていなくてもかまいません。手放す端末の扱いでお困りのときは、無料お見積りからご相談ください。