サイバー犯罪の具体的な仕組みとして、攻撃者は現在、正規のインターネット基盤を巧妙に悪用し、自身の活動を隠蔽（いんぺい）している。その代表例が、デジタル広告の配信技術の悪用だ。攻撃者はまずトラフィック配信システムを利用し、アクセスしてきたエンドユーザーのデバイス情報、位置情報、Webブラウザの種類、言語などを瞬時に判定する。標的と見なしたエンドユーザーにのみ偽の警告画面や詐欺サイトへの誘導を実施し、それ以外のエンドユーザーには無害な正規サイトを表示させる。この手法によって、セキュリティシステムによる自動巡回や研究者の追跡を回避している。同社の調査では、顧客の96％がこのシステムを利用した脅威に遭遇していた。

　具体的な事例として、人間であることを証明するための認証画像を装った国際収益分配詐欺が観測されている。モバイルデバイスを利用するエンドユーザーを標的とし、確認画面を装って複数回のクリックを促す。この操作の裏で、エンドユーザーのデバイスから高額な国際ショートメッセージが自動的に送信され、攻撃者に利益がもたらされる仕組みだ。ある事例では、1回の操作で約60件のメッセージが送信され、被害者に約30ドルの請求が発生した。

　AIツールの業務利用が進むにつれて、新たな弱点も生まれている。AIサービス宛てのDNSクエリは2025年比で158％増加しており、攻撃者はこの急激な利用拡大を標的にしている。対話型AIサービスの回答に悪意のあるダウンロード先へのリンクを仕込むなど、AIツールに対する利用者の信頼を逆手に取った手口が確認されている。犯罪者向けのサービス提供体制も進化しており、AIツールを用いて本物そっくりの偽ニュース映像を生成し、偽の投資サービスに被害者を誘導する事例も多発している。

　アプリケーション開発ツールも標的となっている。開発用ツールが悪用され、詐欺サイトのテンプレート化が進むことで、攻撃者は開発の手間や費用をかけずに、新たな詐欺キャンペーンを次々と量産できるようになった。消費者向けの詐欺であっても、従業員が業務用のデバイスからアクセスしてしまうことで、企業ネットワーク全体が危険にさらされる事例も後を絶たない。

ネットワークの外側で防御する

　このような使い捨てかつ標的を絞った攻撃に対し、デバイスに侵入されてから駆除を試みる従来の手法では対処が間に合わない。ここで重要になるのが、インターネット通信の根本であるDNSの段階で脅威を判定し、接続そのものを成立させない仕組みだ。

　あらゆるインターネット通信は、DNSへの問い合わせから始まる。Infobloxは世界中のDNSクエリから得られる膨大なデータを解析し、攻撃者が準備段階で登録したドメインや、正規の通信に偽装している不審な通信パターンを特定した。調査期間中、同社は脅威関連ドメインの約90％を、実際の攻撃が発生する平均68日前に特定することに成功している。

　DNSを基準とした先制防御を導入することで、危険な通信がネットワークの入り口で自動的に遮断されるようになり、従業員が送られてきた詐欺メールのリンクを誤ってクリックしても、悪意のあるサーバとの通信自体が成立しなくなる。IT担当者は膨大な警告の処理に人員を割く必要がなくなり、本来の業務改善に時間を使えるようになる。

　サイバー犯罪の産業化と分業化は今後も加速する見込みだ。攻撃者はランサムウェア（身代金要求型マルウェア）の実行犯、認証情報を窃取するグループ、攻撃用通信インフラを提供する業者など、それぞれの専門分野に特化して活動している。無償で公開されているソフトウェアの供給網を標的とした攻撃も登場している。開発者やセキュリティ担当者が信頼するツールに不正なソースコードを混入させることで、それを組み込んだ企業のシステム全体に被害を広げる手口だ。

　このような状況下において、企業は自社のネットワークや利用する外部サービスに対する可視性を高めることが不可欠だ。外部に公開されているシステムの設定ミスを把握し、未管理の通信機器を減らす取り組みが求められる。DNSの情報を土台とした先制防御は、攻撃者の動きを先読みし、自動化された脅威に対抗するための重要な手段だ。企業は防御の起点をネットワークのより外側に移し、被害を未然に防ぐ体制を構築する必要がある。