生成AIの普及により、自然な文章のフィッシングメールを短時間で作成したり、受信者の役職や業務内容に合わせて文面を調整したりしやすくなっています。見積依頼や請求書、契約書など、日常業務に沿った連絡を装うことで、正規のメールと見分けにくくなる場合もあります。

そのため、「日本語が不自然」「文章がおかしい」といった特徴だけでフィッシングメールを見抜くことは難しくなっています。企業には、メールや認証に関する技術対策に加え、従業員が不審な要求に気づき、操作を止めて確認・報告できる体制を整えることも求められます。

本記事では、生成AIによってフィッシング詐欺の手口がどのように変化しているのかを整理し、企業が取り組みたい技術対策と従業員教育について解説します。

生成AIを悪用することで、自然な文章を作成しやすくなるだけでなく、標的の属性や業務内容に合わせて文面を調整しやすくなっています。フィッシングメールの作成や多言語化などにかかる作業を効率化できる点も特徴です。

生成AIを使うことで、文法や表現の不自然さを抑えた、ビジネスメールらしい件名や本文を作成しやすくなります。

文章の修正や多言語化にも利用できるため、従来は文章作成や翻訳に時間を要していた場合でも、フィッシングメールを効率的に準備できる可能性があります。

企業サイトやSNSなどの公開情報を利用すれば、業種や部署、役職などに合わせた文面も作成しやすくなります。

例えば、営業担当者には見積書の送付、調達担当者には見積依頼、経理担当者には請求書の送付を装うなど、受信者の業務に沿った内容を組み込むことができます。

実在する企業名やサービス名、担当者名などの情報を組み合わせることで、標的に合わせた内容へ調整しやすくなる点にも注意が必要です。

フィッシングでは、「アカウントが停止される」「支払い期限が迫っている」「至急確認が必要」など、受信者を焦らせて操作を促す表現が使われることがあります。

生成AIを利用すれば、こうした表現を標的の業務や状況に合わせた自然な文脈へ組み込みやすくなります。単に不安をあおるだけでなく、実際の業務連絡に見える形で、リンクのクリックや認証情報の入力を促す文面を作成しやすくなる可能性があります。

生成AIによってフィッシングの文面を自然に作成しやすくなる一方、近年のフィッシングでは、正規サービスの認証・認可機能やメール以外の経路が悪用される場合もあります。そのため、「怪しいメールを見分ける」という視点だけでは対応しにくくなっています。

生成AIによって、自然な文章や受信者の業務内容に沿った文面を作成しやすくなると、誤字や不自然な表現だけを手掛かりにフィッシングメールを判断することは難しくなります。

差出人名や文章の自然さだけでなく、リンクや添付ファイルを開かせようとしていないか、認証情報や送金を求めていないかなど、何をさせようとしているのかにも目を向ける必要があります。

フィッシングでは、偽のログイン画面だけでなく、正規サービスの認証画面やアプリ連携の仕組みを悪用し、不正な権限付与などへ誘導する手口もあります。

また、IDやパスワードだけでなく、認証済みの状態を維持するセッション情報などが窃取・悪用されると、多要素認証を導入していても不正アクセスにつながる場合があります。

そのため、多要素認証の有無だけで安全と判断せず、突然の認証要求やアプリへの権限付与にも注意が必要です。

フィッシングの入口はメールだけではありません。SMSやQRコード、ビジネスチャット、SNSなどから偽サイトや認証画面へ誘導される場合もあります。

AIを活用すれば、それぞれの経路や相手に合わせた誘導文面も作成しやすくなる可能性があります。

そのため、メールに限らず、認証情報の入力や支払い、権限変更などを突然求められた場合は、送信元や要求内容を確認することがポイントです。

AIによってフィッシングの文面が巧妙化しても、基本となるのは複数の技術対策を組み合わせることです。メールの受信からWebサイトへのアクセス、認証、端末上の挙動まで、一連の流れを想定して対策を整えます。

メールセキュリティで不審な添付ファイルやURLを検査し、Webフィルタリングなどによって危険なサイトへのアクセスを制限します。

また、SPF・DKIM・DMARC（※）などの送信ドメイン認証や、EDR/XDRによる端末監視を組み合わせる方法もあります。一つの検知方法だけに依存せず、メール、通信先、端末上の挙動など複数の観点から異常を確認できる状態を整えます。

※SPF・DKIM・DMARCは、メールの送信元を検証し、自社ドメインなどを悪用したなりすましメールへの対策に利用される仕組み。

多要素認証（MFA）を導入するとともに、パスキーなどフィッシングへの耐性を持つ認証方式を検討します。

不要なアカウントを削除し、アクセス権限を必要な範囲にとどめることで、一つのアカウントが侵害された場合でも被害が広がりにくい状態を整えます。

併せて、不審なログインや通常とは異なる認証、アプリへの権限付与なども確認します。認証情報の流出が疑われた場合に備え、アカウント停止や認証情報の変更など、初動対応の手順も事前に整理しておくことがポイントです。

AIによって、自然な文章や受信者の業務内容に合わせたフィッシングメールを作成しやすくなると、見た目だけで真偽を判断することは難しくなります。

従業員教育でも、「怪しいメールを見抜く」だけでなく、不審な要求に気づき、操作を止めて確認・報告できるようにすることがポイントです。

「日本語が不自然」「知らない差出人」「怪しいURL」といった特徴だけを覚える教育には限界があります。AIを使えば、自然な文章や受信者の業務内容に沿った文面を作成しやすいためです。

そのため、「なぜ今ログインを求めているのか」「なぜこのファイルを開く必要があるのか」「なぜ突然MFAの承認を求められているのか」など、相手が何をさせようとしているのかに目を向ける習慣を身につけます。

上司や取引先からの依頼に見えても、送金や認証情報の入力、権限変更などを突然求められた場合は、そのまま操作せず、電話や社内チャットなど別の経路で本人や担当者へ確認します。

また、不審なリンクを開いたり認証情報を入力したりした場合は、被害が確認されるまで待たず、社内の所定の窓口へ報告できるルールを整えておきます。違和感を覚えた段階で相談しやすい環境を整えることで、早期対応につなげやすくなります。

AIによって手口が変化するなかでは、最新事例や特徴を覚えるだけでなく、実際の業務に近い状況で判断や行動を練習する方法もあります。

フィッシングメールや偽サイトを疑似体験することで、不審な誘導を受けた際に何を確認し、どのように行動すればよいかを確認できます。

『セキュアプラクティス®』では、「フィッシング詐欺編」などのシナリオを用意しています。実践的な疑似体験を通じて、「気づく・止まる・報告する」という行動を身につけられます。管理者側では履修状況も確認でき、継続的な教育に活用できます。

シナリオについてはこちらのページで紹介しています。

生成AIによって、自然な文章や受信者の業務内容に合わせたフィッシングメールを作成しやすくなっています。さらに、正規サービスの認証・認可機能やメール以外の経路が悪用される場合もあり、「日本語が不自然」「怪しいURLがある」といった特徴だけで判断することは難しくなっています。

企業では、メールやWeb、認証など複数の領域で技術対策を講じるとともに、従業員が不審な要求に気づいた際に操作を止め、別の経路で確認・報告できる体制を整えることがポイントです。

『セキュアプラクティス®』では、「フィッシング詐欺編」などのシナリオを通じて、実際の業務に近い状況を疑似体験できます。「気づく・止まる・報告する」という行動を実践的に学び、継続的なセキュリティ教育に活用できます。

こちらのフォームでお申し込みいただくと、セキュアプラクティス®の30日間の無料トライアルを利用できます。