AIを悪用したサイバー攻撃について
- 7月21日
- 読了時間: 6分
目覚ましい発展をし続けるAIは私たちの社会、ビジネス、生活をより便利で豊かなものにしてくれています。
その一方でAIを悪用したサイバー攻撃が増加し大きな問題になっています。IPA（独立行政法人 情報処理推進機構）の選考会で審議・投票により決まる今年の「情報セキュリティの10大脅威2026」においてもAIのサイバーリスクは初選出３位に選出されました。
AIを悪用したサイバー攻撃
深刻な問題になっているAIを悪用したサイバー攻撃の代表的なものをここでいくつか紹介します。
①ディープフェイク
AIで作られた偽の映像や音声・画像のこと。本物かどうか見分けがつかないほどよくできていて、なりすまし詐欺や信用・イメージ失墜、混乱を生じさせることにつながります。
またディープフェイクがビジネスメール詐欺に悪用されるケースもあります。
事例：岸田元首相のフェイク動画拡散（2023年）
ニュース番組の映像と岸田元首相の顔写真と音声、作成したセリフを組み合わせ加工し、あたかもニュース番組で岸田元首相が発言しているかのような動画をSNS上に拡散しました。
事例：巨額のディープフェイク詐欺（2024年）
香港の多国籍企業の会計担当者が騙され、２億香港ドル（約３８億円）を詐欺グループに送金してしまう事件がありました。当初、英国本社のCFO（最高財務責任者）を騙る者から極秘送金が必要とのメッセージを会計担当者が受け取り、不審に思い詐欺を疑いました。しかしその件について行われたビデオ会議に映し出されたCFOも、他のメンバーの姿も声も見知った同僚そのものだったことから、詐欺ではないと思い直し送金してしまいました。詐欺グループはCFOだけでなく、複数の同僚のフェイク動画も作成し担当者を騙しました。
②マルウェアの自動作成
AIに指示を出し、マルウェアのコード作成すること。専門知識がなくともAIを悪用することで短期間で作り上げることができるようになりました。
事例：生成AIを悪用してマルウェア作成し、不正指令電磁的記録作成の容疑で男性を逮捕（2024年）
ランサムウェア目的で非公式ChatGPTを悪用しマルウェアを作成した男性が逮捕されました。男性はIT分野に精通していないにも関わらず、約１か月でマルウェアを作り上げました。
この事件は生成AIでマルウェアを作り逮捕に至った国内初の事例であり、高度な専門知識がない者でもマルウェアを作り出せるようになってしまった象徴的な事件です。
③フィッシングメール詐欺
偽のメールやSMSで偽サイトに誘導し、IDやパスワードなどの情報を盗んだり、マルウェアに感染させたりすること。
従来のフィッシングメールは不自然な文章や表現で書かれているものが多く偽物だと気づきやすかったものの、AIで作られたものはとても精巧にできていて判別が難しいです。また多言語に対応しているため、日本語話者でなくとも自然なフィッシングメールを手軽に大量に作成することができます。
フィッシング対策協議会の「フィッシングレポート2026」によると、2025年のフィッシング報告件数は2,454,297件で過去最多となり、前年比の約1.43倍となりました。
防御としてのAI利用
AIを悪用したサイバー攻撃例を挙げてきましたが、これらの攻撃への防御としてもAIが利用され始め、今や「AI対AI」の構図になってきています。
攻撃の質・速さ・量のすべてがこれまでと比べ物にならず、人間では対応しきれないためです。AIはリアルタイム異常検知、脆弱性の自動検出・修正等攻撃者と同等のスピードで対応できます。
さらに日々の大量アラートからなる「アラート疲れ」というセキュリティ担当者の抱える問題への軽減も期待できます。担当者はより重要度の高いインシデントに専念できるため、見落としのリスクや対応遅れ、人手不足問題の解消にもつながります。
また、Gartnerは2026年の「戦略的テクノロジのトップ・トレンド」で先制的サイバーセキュリティ（Preemptive Cybersecurity）というアプローチを挙げています。これはAIを活用し「攻撃の兆候を予測し防御する」という攻めの防御姿勢で、従来の「攻撃を検知し対応する」という受け身から転換し今後主流になっていくと予測しています。
Claude Mythosの影響
2026年4月に米国のAnthropic社が発表したClaude Mythosが世界中に大きな衝撃を与えました。Claude Mythosとはサイバーセキュリティ分野において極めて高い能力を持つフロンティアAIモデルです。脆弱性の発見能力が高く、人間の指示なしで脆弱性を発見し攻撃コードまで生成できます。そのあまりの性能の高さから悪用の危険があるため、一般公開はされていません。防御を目的としたProject glasswingの参加企業12社（Amazon、Google、Apple等）と重要インフラを維持する約40の組織にのみ限定公開されています。攻撃者がMythosと同等のAI技術を持つ前に、防御側が脆弱性を発見・修正することができるため、世界の主要なソフトウェア等の安全性が大幅に上がるとともに、攻撃と防御のパワーバランスに変化が生まれる可能性があります。
対策
これらの脅威への企業がとるべき対策として次の事柄が推奨されています。
AIガバナンスの確立
（AIを安全に利活用していくために方針・ルールの策定、組織横断型の体制作り、企画や開発・運用・検証のサイクルを継続的に行う仕組み、BCPの策定等）
従業員の教育
（AIガバナンスで定めた方針・ルール、禁止事項の周知徹底、シャドーAIの禁止、セキュリティ教育で危機意識を高める）
ゼロトラストセキュリティ体制
（組織の内外問わずすべてのアクセスを疑い常に検証するセキュリティ体制）
セキュリティシステムにAIを導入
まとめ
今回書いたようにAIはサイバー攻撃に悪用されています。さらにはAIシステム自身も攻撃の対象になります。しかし今やAIは欠かせない存在になっていて、企業の大小問わずセキュリティ対策は重要な経営課題のひとつです。人材不足や予算などさまざまなハードルはありますが、攻撃を受けてからの損失を考えるとやはり優先して取り組むべき課題といえます。
参考文献
コメント