Infosecurity Europe：AIの普及が攻撃者にマルウェア配布の新たな機会をもたらしている、Microsoftが警告

MicrosoftのDetection and Response Team（DART）は、AIを活用したサイバー脅威の増大に対し、組織とセキュリティチームがどのように対応すべきかについてのアドバイスを発表しました。

「AIは素晴らしいツールで、私たちの仕事を楽にしてくれます。しかし、便利なAIは脅威アクターによって簡単に悪用されます。ソーシャルエンジニアリングや日々の調査活動の中で、実際にそうした事例を目にしています」と、Microsoftのシニアセキュリティリサーチャー、Mary Asaoluは6月3日のInfosecurity Europeで述べました。

また、企業内でAIが組織や従業員に利益をもたらすために導入されている一方で、適切に管理されなければ、AIのコードがサイバーセキュリティリスクを生み出す可能性があります。

「AIはまさに新たな攻撃経路になっています」と、Microsoftのプリンシパルセキュリティリサーチャー、Meaghan Bradshawは述べました。「しかし、AIのコードは新たなリスクの層をもたらします。AIコードのほぼ半数には欠陥が含まれており、攻撃者はそれを悪用してアプリケーションやデータを侵害する可能性があります。」

これは理論上の話ではありません。サイバー犯罪者はすでにAIツールを攻撃チェーンの一部として悪用しています。このことは、MicrosoftがInfosecurityEuropeで行った「Securing AI in the Age of Intelligent Threats」と題した講演で実証されており、「JustAskJacky」と名付けられたキャンペーンが詳しく紹介されました。

JustAskJacky攻撃は、正規のAIアシスタントに見せかけたソフトウェアをダウンロードさせ、ユーザーを騙します。実際にはサイバー犯罪者がマルウェアを配布するために使用するバックドアです。

このキャンペーンは、プロフェッショナルな見た目のインターフェイスと有効なデジタル署名を組み合わせることで、ユーザーとセキュリティツールの両方が正規のソフトウェアと区別しにくくなっており、検知を巧みに回避しています。

実際、この悪意のあるAIアシスタントは検知回避が非常に巧みで、Microsoft DARTが別の問題を調査するためにある組織に招聘された際に初めて発見されました。

「このアプリケーションが、日常業務を支援するAIアシスタントを装っていたことが判明しました」とBradshawは付け加えました。

一見すると正常に動作しているように見えますが、インストール中にJavaで書かれたバックドアが展開されます。また、4時間ごとに実行されるスケジュールタスクを作成する持続性メカニズムも設置され、継続的な制御とテレメトリの送信に利用されます。

この事例から得られる教訓は、組織とユーザーが一歩立ち止まり、自分たちがインストールしているAIサービスが何であり、どこから来たものかを改めて考える必要があるということだとBradshawは説明しました。脅威アクターは従業員がAIツールを求めていることを熟知しているからです。

「誰もが日常業務の効率化にAIを活用したいと思っています。しかし一方で、ユーザーが警戒心を緩め、自分が何を実行しているかわからなくなるケースも多いです。攻撃者が足がかりを得るには、ユーザー一人を説得するだけで十分なのです」と彼女は述べました。

「私たちが顧客に最もよく推奨することの一つは、インストールされている非標準アプリケーションを時間をかけて評価することです。業務上の必要性がなければ、削除してください。そのツールがあなたにとって有用であるのと同様に、脅威アクターにとっても有用です。従業員が何を使用しているかを必ず把握してください」とBradshawは付け加えました。

AIを活用する従業員のセキュリティ確保

多くのサイバーセキュリティ課題と同様に、この問題（AIアプリケーションのインストールに伴うセキュリティリスク）を解決する最善策の一つは、先手を打つことです。

役員から若手社員まで、組織全体の従業員が、未承認のAIツールをダウンロードすることに伴う潜在的なリスクについて正しく理解し、AIアシスタントを安全に導入・展開するための情報を提供される必要があります。

「安全な導入のための明確なロードマップを示してください」とAsaoluは述べました。「AIセキュリティをリーダーシップの優先事項とし、セキュリティレビューの仕組みを整え、AIを経営レベルの議題として取り上げることが重要です。」

「AIが責任ある形で活用されるよう徹底し、適切なAI利用をデフォルトの行動規範にしてください。また、セキュリティチームがリスク評価の実施と異常な行動の監視に連携して取り組める体制を確保してください」と彼女は付け加えました。