フィッシングとは、実在する組織を装った偽の電子メールやウェブサイトを用いて、個人情報や認証情報を詐取するサイバー攻撃の手法です。近年では、生成AIの悪用により、不自然な表現のない極めて巧妙なフィッシングメールが大量に自動生成されるようになり、従来の検知ルールを回避する脅威としてセキュリティ上の大きな課題となっています。
フィッシングとは
フィッシング（Phishing）とは、信頼できる企業やサービスを装ったメッセージを送り、偽のWebサイト（フィッシングサイト）へ誘導するなどして、IDやパスワード、クレジットカード情報などの機密情報を盗み出す詐取行為です。近年は生成AIを用いた高度な攻撃手法が顕著になっています。
詳しく解説
フィッシングは、インターネットにおける代表的なサイバー攻撃手法です。攻撃者は、銀行、ECサイト、SNSなどの送信元を偽装した電子メールやSMSを送信し、受信者に「アカウントの停止」や「不正アクセスの検出」といった緊急性の高い警告を与えて偽のログインページへと誘導します。従来のフィッシングメールは、日本語の文法的な不自然さや誤字脱字などから比較的容易に見破ることが可能でした。しかし、高度な自然言語処理技術や生成AIの普及により、流暢で自然な表現の詐欺メールを迅速に、かつ多言語で大量に作成することが可能になりました。また、機械学習を用いたセキュリティフィルターをかいくぐるために、文脈を巧妙に変化させる攻撃も増加しています。これに対抗するため、防御側も機械学習を用いてフィッシングサイトの動的特徴を解析・検知するAI技術の導入を進めています。
具体例・使われ方
具体的な事例として、生成AIによって作成された「本物と区別がつかないサポートメール」があります。例えば、有名ブランドのロゴやデザインを精密に模倣したフィッシングサイトの作成や、特定の個人を標的にした標的型攻撃（スピアフィッシング）において、ターゲットのSNS投稿を自然言語処理で分析し、関心に合わせた文面を自動生成する例が挙げられます。また、音声合成やディープフェイクを組み合わせて、実在する上司や取引先の声を真似て送金を促す高度なフィッシング詐欺も確認されています。
似た用語との違い
フィッシングは、人間の心理的な隙や錯覚を利用して情報を盗み出す「ソーシャルエンジニアリング」の一種です。類似する概念として、SMS（ショートメッセージサービス）を利用したものは「スミッシング」と呼ばれます。また、特定の個人や組織に狙いを定めて入念に下調べをしてから行われるフィッシングは「標的型攻撃」に分類されます。これに対し、広く不特定多数をターゲットにする一般的なフィッシングは、無差別に網を投げる手法を指します。
注意点
生成AIやディープフェイクの登場により、外見や文面によるフィッシングの「違和感」だけで攻撃を見破ることは不可能になりつつあります。AIを用いたセキュリティ対策を導入しても、ゼロデイ攻撃（未知の脅威）を100%防ぐことは困難です。ユーザーは、メッセージ内のリンクを安易にクリックせず、公式アプリやブックマークからアクセスするなどの多要素認証や、組織的なセキュリティ意識の向上といった基本的な予防策を徹底する必要があります。