AIベースのソーシャルエンジニアリング攻撃

AIはイノベーションを推進し、医療から小売、製造まで、あらゆる業界に革命を起こしています。AIにより、世界中の企業は業務の効率化と高度化を実現しています。しかし同時に、AIはサイバー犯罪者の能力も強化しています。

ソーシャルエンジニアリングの典型的な手法には、なりすましや信頼を巧みに利用するなどの欺瞞行為が含まれており、対象となる個人から個人情報や機密情報を抜き出します。AIツールの有効性とアクセス性が向上するにつれて、ソーシャルエンジニアリング攻撃はよりパーソナライズされ、効果的で、スケーラブルなものになっています。このような攻撃を防御するには、以前よりも高度なツールが必要です。

この記事では、AIがソーシャルエンジニアリングを次のレベルに進化させる仕組みについて調査します。ディープフェイクなどの新興技術がソーシャルエンジニアリングの手法を増幅し、詐欺の可能性を高めた方法について具体的に見ていきます。また、組織がこの戦いに効果的に対処するために利用できる緩和戦略とツールについても検討します。

AIがいかに従来のソーシャルエンジニアリングを強化するか

ソーシャルエンジニアリング攻撃の成功は、標的の個人に関する十分な個人データを収集し、最初の信頼を勝ち取ることから始まります。攻撃者は、その最初の信頼を悪用して、より機密性の高い情報を個人的な利益のために抽出します。ここでAIが重要な役割を果たします。

AIは、大量のデータを迅速かつ徹底的に収集するのに最適です。比類のない速度と精度で大規模なデータセットを処理し、パターンを識別し、関連情報を抽出します。

ソーシャルエンジニアリングで重視されるのは確率です。問題は、それが成功するかどうかではなく、成功するまでに何回の試行が必要かということです。AIによる自動化とコミュニケーションプラットフォームなどのツールとの統合により、より短期間で成功する可能性が大幅に高まります。AIツールは現在、数千件の通話を同時に行うことができます。通話はそれぞれが高度にパーソナライズされており、完璧な文法で人間の会話を模倣し、対象者に馴染みのある声をシミュレートする機能さえ備えています。

こうした攻撃の多くは、AIにおける最近の最も画期的な進歩の1つであるディープフェイクに依存しています。攻撃者はディープフェイクを使用して、本物の録画と区別が困難な、非常にリアルなビデオやオーディオの断片を生成します。ディープフェイクを生成するために攻撃者が必要とするのは、なりすます対象の人物の短いビデオと音声の録音サンプルのみです。AIアルゴリズムはサンプルを使用して、音声、外観、ボディランゲージを正確に再現します。

AIベースのソーシャルエンジニアリング攻撃で使用される主な手法

AIは、長年にわたって確立されてきたソーシャルエンジニアリング攻撃を大幅に強化しました。このセクションでは、AIとの統合によって大幅に増幅される可能性のある、最も一般的な攻撃のいくつかについて説明します。

フィッシングキャンペーン

フィッシングは、ソーシャルエンジニアリング攻撃の最も一般的な形式の1つです。攻撃者は、ターゲットとなる個人に対して説得力のある量の個人情報を提示します。次に、攻撃者はターゲットに対して、次のいずれかを実行するよう説得を試みます。

• 悪意のあるリンクのクリック
• ファイルのダウンロード
• パスワードやクレジットカード番号などの機密情報の漏洩

サイバー犯罪者は、少なくとも1人を詐欺の被害者にすることを目的として、これらの攻撃を大規模に実行します。 

AIツールは、ユーザーの反応に基づいて攻撃を動的に調整することで、フィッシングキャンペーンを強化します。これらの調整により、より少ない時間と労力で成功する確率が高まります。 

ビジネスEメール詐欺

悪意のあるアクターは、多額の資金を持つ組織を標的にすることが多く、身代金の要求相手としては個人よりも魅力的です。一般的な攻撃方法は、上級管理職になりすましてEメールで従業員をターゲットにすることです。この戦略は、従業員を脅迫してEメールの正当性を信じさせ、詐欺的な要求に盲目的に従うようにすることを目的としています。AIツールは、幹部の文章スタイルの例を検索、分析、模倣できるため、詐欺Eメールの説得力が増し、偽物だと見破られにくくなります。

スピアフィッシング

スピアフィッシングは、量より質に重点を置いたフィッシング攻撃の一種です。通常のフィッシング攻撃は広範囲にわたりますが、無秩序に攻撃を仕掛けます。一方、スピアフィッシング攻撃は攻撃の数は少ないものの、非常にターゲットを絞っており、綿密な調査を行っています。スピアフィッシングは、既知の詳細や関係性を悪用してEメールへの返信の可能性を高めるメッセージを慎重に作成し、特定の個人または組織を狙います。攻撃者はAIを使用してデータを収集し、振る舞いを模倣し、さらには多くの言語に完璧に翻訳することが多くなり、攻撃は以前よりもパーソナライズされ、説得力が増しています。 

AI生成ディープフェイクの危険性

ディープフェイク技術の最初の試みは、作られた偽物であることを簡単に見破られました。しかし、最近の機械学習とニューラルネットワークの進歩により、その品質は大幅に向上しました。鋭い目を持つ人でも、ディープフェイクと本物のコンテンツを見分けることがますます難しくなってきています。ディープフェイクによるなりすまし技術は、すでに有名企業に多大な経済的損害をもたらしています。 

現在、ディープフェイクの最も危険な側面は、偽の情報に基づいて世論に影響を与える能力です。さらに、ディープフェイクがより説得力を持つようになると、本物の音声や動画のコンテンツが疑われやすくなります。あらゆる種類のデジタルメディアの信頼性に対する懐疑心が高まっています。

検知と影響緩和の戦略

幸いなことに、AIを活用した悪意のある活動が進化するにつれて、検知と軽減の戦略も進化します。多くの戦略では、AIツールを活用して個人や組織をこれらの攻撃から守ります。 

振る舞い分析と異常検知は、AIを活用した悪意のあるアクティビティを示唆するパターンをサイバーセキュリティプラットフォームが見つけられるようにする、人気のAI技術です。この進化する紛争において、それぞれの側がAIをどのように活用しているかをご紹介します。

• 生成AIツールは、フィッシングEメールを効率的かつ正確に作成することで、より効果的な攻撃を開発するために使用されます。
• サイバーセキュリティプラットフォームは、自然言語処理や異常検知などのAIテクノロジーを使用して、本物のEメールと詐欺的なEメールを区別します。相手を執拗に追い詰め、脅威に対する防衛において、常に一歩先を行くようにしています。

組織は、サイバーセキュリティと防御をAIだけに依存すべきではありません。基本的なサイバーセキュリティの原則と一般的な攻撃戦略に関する従業員教育は、攻撃を防ぐための最も効果的な予防策です。AIベースのソーシャルエンジニアリング攻撃が進化するにつれ、組織は従業員に対してサイバーセキュリティのトレーニングと攻撃シミュレーションを継続することが重要になります。そうして初めて、不注意や誤った判断を避け、現実世界の状況に備えることができるのです。

最新のサイバーセキュリティプラットフォームでAI攻撃を阻止

AIは、私たちの周りの世界を良い面でも悪い面でも急速に変えています。そのため、組織は迅速に適応する必要があります。AIは正当なユーザーに多くの利点を提供しますが、悪意のあるアクターがAIを活用して、これまでにない精度と効果でソーシャルエンジニアリング攻撃を実行することもできます。サイバー犯罪者は、生産性とイノベーションを高めるツールと同じものを武器として利用することがよくありますが、その目的は、これまでよりも迅速かつ巧妙に脆弱性を悪用することです。

AIを活用した攻撃を防ぐには、同様の対応が可能なサイバーセキュリティツールが必要です。組織には、アイデンティティ保護、異常検知、AIネイティブ保護のための最先端技術を提供する最先端のサイバーセキュリティプラットフォームであるCrowdStrike Falconのような堅牢なソリューションが必要です。