フィッシングとは、人の心理を巧みに操って意図通りの行動をさせる詐欺手法「ソーシャルエンジニアリング」によって、標的に不正送金をさせたり、システムの認証情報を聞いたりする攻撃だ。フィッシングはもともと、不特定多数の人に送信する手口から始まり、標的を絞って個別にカスタマイズされた攻撃へと進化してきた。その手法としては、“定番”のメールに加え、以下の新たな手法も登場している。

• ビッシング（Voice Phishing）
  • 知り合いや上司の声を偽装した音声によるフィッシング。
• スミッシング
  • スマートフォンのショートメッセージサービス（SMS）機能を利用したフィッシング。
• クイッシング
  • 偽のQRコードを読み取らせるフィッシング。
• ゾンビフィッシング
  • 進行中のメールスレッドを乗っ取り、標的の警戒心を低下させるフィッシング。

　最近は攻撃者がAI技術を悪用することで、フィッシングの手口がいっそう巧妙化している。文法を誤ることなく複数言語でメールを作成することはもちろん、パターン認識によって標的の特徴や弱点を分析し、それに合ったフィッシングメールを作ることも可能だ。ディープフェイクを使えば、視覚的な信頼性を高めて標的をだませる。

　AI技術によって、かつては重要な手掛かりだった「違和感」が無力化されつつあるのが現状だ。訓練を受け、セキュリティ意識が高いエンドユーザーでも、AI技術を駆使したフィッシング攻撃に気付かない可能性がある。フィッシング攻撃によってシステムの認証情報が流出すれば、ランサムウェア（身代金要求型マルウェア）攻撃などにつながる恐れがある。

　フィッシング攻撃に対抗するための技術の一つが、MFA（多要素認証）だ。しかしMFAも万全な対策ではない。近年は、MFAの通知を連続でエンドユーザーに送って疲弊させ、誤って承認させる手口「MFA疲れ」が広がっている。正規Webサイトとエンドユーザーの間に割り込む「中間者攻撃」（「MITM」や「AITM」とも）は、エンドユーザーの認証情報をリアルタイムで窃取することを可能にする。

　では、組織はどのような対策を講じればいいのか。以下で、フィッシング攻撃のリスクを減らすためのポイントを見てみよう。

• 古いセキュリティツールを使用しない
  • 従来のファイアウォールやマルウェア対策ソフトウェアは、社内LANとインターネットの境界を中心に保護するものであり、最新の脅威には対処できない可能性がある。セキュリティツールを定期的に見直し、新しいものを使おう。
• 人間の脆弱（ぜいじゃく）性をなくす
  • 徹底的なセキュリティ教育によって従業員の意識を向上させ、フィッシング攻撃に対するリテラシーを高めることが重要だ。
• AI技術の悪用を想定する
  • セキュリティ教育の一環として、AI技術によるフィッシング攻撃の具体的なシナリオとその対策を従業員にレクチャーする。

それでもフィッシング攻撃を受けたら

　フィッシング攻撃は、完全に防ぐことは難しい。以下で、認証情報が流出した場合でも、攻撃者の侵入による被害を抑えるための技術やツールを紹介する。

• パスワードを使わない認証技術
  • 認証関連の業界団体FIDO Allianceによるパスワードレス認証技術「FIDO2」や、FIDO2をベースとしたパスワードレス認証技術「Web Authentication」（WebAuthn）を使えば、パスワードによる従来の認証手法と比べ、セキュリティを強化できる。
• AI技術を活用したセキュリティツール
  • AI技術を悪用する攻撃にはAI技術で対抗しよう。AI技術を取り入れた脅威検出システムを採用することで、脅威の早期発見と対処が可能になる。
• ゼロトラストセキュリティ
  • 社内外を問わず、全ての通信に潜在的な脅威があると考えて認証を求めるのが「ゼロトラストセキュリティ」だ。ゼロトラストセキュリティを実装することで、不正アクセスのリスク軽減を図れる。

　AI時代のフィッシング攻撃は、単一の対策で防ぐことは難しい。先進技術、ユーザーの訓練、強固なセキュリティポリシーを組み合わせた総合的アプローチが不可欠だ。