51 min
今日は、犯罪者が偽のウェブサイトを作成し、ログインページを複製し、ほとんど時間をかけずに認証情報を盗み取れるようになったとき、AIを悪用したフィッシング攻撃がどのような姿になるのかについてお話しします。
私はサーディン社のチーフ・フロード・ストラテジストであるマット・ベガと腰を据えて話し合い、銀行やフィンテック企業、オンライン企業にとってここで実際に何が変わりつつあるのかについて議論しました。一見すると、これはデザインが少し良くなっただけの、同じフィッシング問題のように聞こえるかもしれません。しかし詳しく見ていくと、実際のところ重要なのはスピードと規模、そしてAIがこれまでの攻撃経路を、より簡単に開始でき、かつ妨害しにくいものへと変えている、という点なのです。
マットは、攻撃者がどのようにスクリーンショットやプロンプトを使って、本物と見分けがつかないほどそっくりなAI生成のフィッシングサイトを作り、利用者をだますことができるのかを解説します。ブランディング、ログインフロー、画面構成、さらには言語ローカライズまで――そのすべてが対象です。もはやこれは理論上の話ではありません。
そして、それは重要なことです。
なぜなら、より大きな問題は偽のページそのものではなく、被害者がそこに誘導された「その後」に起こることだからです。そこで中間者攻撃型のフィッシングが本当の脅威になります。認証情報は中継され、ワンタイムパスワード（OTP）は盗み取られ、セッションは正規のものとして認証されてしまいます。そして気づけば、攻撃者は信頼されたアクセス権を手にしている一方で、利用者はただ通常どおりログインしているつもりでいるのです。
AI を悪用したフィッシング攻撃は、単なる偽サイトの問題ではありません。そうしたサイトが、実際のアカウント乗っ取りの手口や、状況に応じて変化する不正行為、そして多くのプラットフォームがいまだに「信頼できるデバイス」や「認証が成功した」という前提に依存していることと、どのように結びついているかが本質的な問題なのです。
このエピソードでお届けする内容：
- なぜAIを使ったフィッシング攻撃は、わずか数分でアイデア段階から実際の詐欺へと移行してしまうのか
- スクリーンショットを使ってログイン画面を再現できるようになった今、フィッシングサイトのクローン検知はどのように進化すべきか
- OTPコードがリアルタイムで中継されるようになると、中間者型フィッシング攻撃がこれほどまでに効果的になる理由
- 新たな対策が導入されるとすぐに攻撃者が手口を変えてくる中で、ポリモーフィックボット攻撃の検知が重要となる理由
- フィッシング対策のための行動バイオメトリクスと、カード名義一致による不正防止が、より高度な不正行為に対しても依然として有効であり続ける理由
このエピソードは次のような方におすすめです：
- 不正対策、リスク管理、トラスト＆セーフティ、またはセキュリティ分野で働いており、AIを使ったフィッシング攻撃がこれまでの常識や対策の前提をどう変えているのかを理解する必要がある方
- 実際のオペレーショナルリスクに直結した、銀行向けのより強力なフィッシング対策やフィンテック向けのフィッシング防止策を求めている
- クローンされたログインページや不審なドメイン、AIを悪用した詐欺キャンペーンを、より早い段階で検知する必要がある
- 単一の対策に頼らずにアカウント乗っ取り詐欺を防ごうとしている
- オンラインバンキングへのログイン時の不正防止と、フィッシングによるアカウント乗っ取りの削減に関心がある
このエピソードを気に入っていただけたら、ぜひ購読して、iTunes、Spotify、YouTube、またはお使いのポッドキャストアプリでレビューをお願いします。番組を多くの方に知ってもらううえで本当に助けになります。
エピソードノートと主なポイント
AIによるフィッシング攻撃が、いまやアイデア段階から実際の詐欺に至るまで数分で行われるようになった仕組み
これを分かりやすく説明しましょう。
今回のエピソードでマットが取り上げている最大の変化のひとつは、AIを使ったフィッシング攻撃を仕掛けるのに、今ではほとんど手間がかからなくなっているという点です。一見すると、見た目が少し良くなっただけの、これまでと同じフィッシング問題のように聞こえます。しかし、よく見てみると、その実態ははるかに「運用面」での変化だとわかります。
Vercel の v0 のようなツールを使えば、攻撃者は正規のウェブサイトのスクリーンショットを撮り、その体験を再現するようモデルに指示するだけで、多くのユーザーをだませるほど本物そっくりの偽サイトを簡単に作れてしまいます。ブランディングもある。導線もある。画像もある。場合によってはログイン体験さえ再現されています。
それこそが、不正対策チームが注意を払うべき点です。
AI を活用したフィッシング詐欺の立ち上げがより速く、より安くなればなるほど、犯罪者はより少ない労力で、より多くのブランド、より多くのドメイン、より多くのキャンペーンを試すことができるようになります。偽の銀行サイトを使った詐欺は、もはや以前のような手作業による開発を必要としません。必要なのは、スクリーンショット、プロンプト、そっくりなドメイン、そしてトラフィックを集める導線だけです。たいてい、その結末は良いものにはなりません。
実際に変わる点は次のとおりです。
- AI を悪用したフィッシング攻撃により、準備にかかる時間が数日から数分へと短縮されています
- AI 生成のフィッシングサイトは、これまでよりはるかに少ない手作業で、実在のブランド体験を再現できるようになっています
- ドメインスプーフィングやブランドなりすましは、安価で見た目がよく似たURLを使うことで、より容易に大規模化できます
- 不審なドメインやクローンされたブランド体験、悪用パターンを監視し、AIを悪用した詐欺キャンペーンを早期に検知する
なりすまし中間者型フィッシング攻撃こそが本当に重要な理由
実際に起きていることは次のとおりです。
クローンされたウェブサイトは、あくまで玄関口にすぎません。本当の被害は、攻撃者がその偽のページを使って、認証情報や認証手順をリアルタイムで正規のサイトに中継するときに発生します。これこそが、中間者型フィッシング攻撃をこれほど効果的なものにしている理由です。
被害者は、本物の銀行やフィンテックのログイン画面に見えるページにユーザー名とパスワードを入力します。攻撃者はその認証情報を実際の金融機関に送信します。金融機関側は新しいデバイスからのアクセスだと判断し、ワンタイムパスコードを送信します。すると偽サイトは、そのコードも入力するよう被害者に求めます。被害者は通常のログイン手続きを完了しているつもりですが、実際には完全に認証されたアクセス権を攻撃者に渡してしまっているのです。
そうですね。それは問題です。
攻撃者が一度有効なセッションを取得してしまうと、リスクは一気に変化します。その端末が信頼できるデバイスとして扱われてしまう可能性があります。そうなると、受取人の追加やACH取引の開始、あるいは認証を通過したセッションであるという理由だけで、見かけ上リスクが低く見えるようなその他の変更を行えてしまうかもしれません。
だからこそ、OTPフィッシング詐欺を止めることは、単なる顧客教育の問題ではありません。これは信頼の問題であり、デバイスの問題であり、セッションの問題であり、そして資金移動の問題でもあるのです。
- 認証が成功した後でも、ログイン後の操作をリスクの高い行為として扱うことで、アカウント乗っ取りによる不正を防止します
- 有効なコードでも不正な目的で利用される可能性があることを認識し、OTPフィッシング詐欺を防止する
- オンラインバンキングのログインにおける不正防止には、ログイン情報、デバイスの信頼性、支払いリスクを連携させることが必要です
- 不審な新しいデバイスでの操作が検知された際にリスクの高いアクションへの対策を強化し、フィッシングによるアカウント乗っ取りを減らします
フィッシングサイトのクローン検知とテイクダウンプログラムは実際にどのように役立つのか
では、攻撃者がこれほどの速さでクローンページを作成している状況で、企業には何ができるのでしょうか？
マットはいくつかの、今でも重要なアプローチについて説明しています。ビーコン技術。隠しピクセル。透かしのような手法。ドメイン監視。類似ドメインの取得。テイクダウンプログラム。これらのどれも、それ単体で完璧なものはありません。ですが、本質はそこではないのです。
重要なポイントは、フィッシングサイトのクローン検知とは「時間」と「コスト」の勝負だということです。クローンページを見つけるのが早ければ早いほど、早く妨害できます。あらかじめ押さえている類似ドメインが多いほど、攻撃者が簡単に使える選択肢は少なくなります。脅威インテリジェンスとテイクダウンのプロセスが優れているほど、偽サイトの寿命は短くなります。
そのとおりです。
そして、それによって攻撃の経済性が変わります。
また、マットは、攻撃者がもはやフロントエンドのコードをそのままコピーしているとは限らないため、AI は従来型の検知手法をすり抜けられる場合があると指摘しています。攻撃者はスクリーンショットから体験そのものを再現していることもあります。そのため、ブランド保護のアプローチをコードコピーの検知だけに頼っていると、もはや十分とは言えない可能性があります。
- フィッシングサイトのクローン検知には、不審なドメインの特定、ブランド体験のクローンの検出、およびテイクダウン対応の準備が含まれている必要があります
- 不正検知チームとサイバーセキュリティチームがリアルタイムで情報を共有することで、フィッシング脅威の検知は最も効果的に機能します
- 偽のページが表示され続ける時間を短縮し、フィッシングから顧客を守ります
- 銀行向けのフィッシング対策も、フィンテック向けのフィッシング防止も、どちらも一度きりの対処ではなく、継続的な監視が必要です
ポリモーフィック攻撃によって、アダプティブ型不正の姿が変わりつつある
ここからが本当に面白くなってきます。
会話は、クローンサイトからポリモーフィック攻撃へと話題が移ります。これらは、固定されたボットスクリプトのような振る舞いではなく、こちらが制御を変えるとそれに合わせて適応してくるタイプの攻撃です。しきい値を下げれば、攻撃はそれに合わせて変化します。新しいシグナルを追加すれば、その周りをすり抜けます。検知を厳しくすれば、攻撃経路そのものを作り替えてきます。
それによって対応の手順書が変わります。
なぜなら、攻撃者が同じ行動を繰り返すことを前提に防御戦略を立てていると、本質を見誤ってしまうからです。ポリモーフィックなボット攻撃の検知とは、守る側の対策に応じて攻撃そのものが変化しうることを見抜くことにほかなりません。
それが重要なのです。
マットは、いわゆる「ダスト・トレイル」と呼ばれる手口についても話しています。これは、犯罪者が多くの小さな取引や多数のプラットフォームに活動を分散させるやり方です。金額が大きくて目を引くからではありません。捜査にかかるコストそのものを武器にするためです。規模の大きさが問題になるのです。
- ポリモーフィックなボット攻撃を検知するには、チームが単なる反復ではなく、攻撃の適応・変化を見抜く必要があります
- ルール、モデル、そしてステップアップ型のコントロールが連携して機能するとき、適応型の不正攻撃防止は最大の効果を発揮します
- 対策を導入した後の攻撃者の行動変化を観察することで、AIを悪用した詐欺キャンペーンを検知する
- 少額でも件数が多い不正は、人による調査が現実的でなくなると、依然として多大な損失を生み出す可能性があります
ハイテクな不正防止においても、基本が今なお重要である理由
この会話のいちばん良い点の一つは、「もっと高度なものを買えばいい」という話で終わらないことです。
正直なところ、それは新鮮ですね。
マットは、最も強力な防御のいくつかは依然として基本的な対策であり、とりわけその基本がきちんと実行されているときに真価を発揮すると指摘しています。カードと名義人の照合はその一例です。行動バイオメトリクスも同様です。適切なルール設定、適切な事前認証モニタリング、強力なグラフ分析、デバイスインテリジェンス。どれも派手な売り文句にはなりませんが、確実に機能します。
そして不正防止においては、そこが重要な部分なのです。
なぜなら、私たちはこの手口をこれまでにも何度も見てきたからです。企業はときどき、土台が弱いままなのに最新のツールにばかり過度に傾倒してしまいます。その結果、機械学習は強力なのにルール設計は弱い、あるいはダッシュボードは充実しているのに意思決定が弱い、またはデータは大量にあるのに、それを行動に結びつけられていない、といった状態に陥ってしまうのです。
それもたいてい、うまくいきません。
より賢明なアプローチは、多層防御を行うことです。異常検知にはモデルを使いましょう。既知の高リスク行動にはルールを使いましょう。フィッシング対策には行動バイオメトリクスを用いて、そのやり取りが人間によるものか自動化されたものかを見極めましょう。関連するアクティビティを特定するにはグラフ分析を使いましょう。効果があるところには戦術的な摩擦を加えましょう。ただし、どこにでもではなく、本当に役立つところにだけ導入するのです。
- フィッシング対策としての行動バイオメトリクスは、自動化や不審なやり取りのパターンを検知することができます
- カード名義人照合による不正防止は、より高度な攻撃経路に対しても依然として非常に高い効果を発揮します
- 強力な不正対策プログラムでは、シンプルな管理策と高度な分析を組み合わせて活用します
- 複雑な攻撃には、必ずしも複雑な解決策が必要なわけではありませんが、規律ある防御は不可欠です
このエピソードの大きなポイントは、とてもシンプルです。AI を使ったフィッシング攻撃によって、詐欺のスピードと規模は変わりつつありますが、だからといってセキュリティの基本が無意味になるわけではありません。むしろ、強固な基本こそが以前にも増して重要になっています。チームは、クローンサイト、OTP リレーの悪用、攻撃者の適応的な振る舞い、ブランドなりすましといった手口を理解する必要があります。しかし同時に、セキュリティの基本を着実に実践し続けることも求められます。
そこが一貫して成り立つ部分です。
