IBMの「2025年 データ侵害のコストに関する調査レポート」によると、調査対象となった侵害の16%で攻撃者がAIツールを使用しており、その多くはフィッシングやディープフェイクによるなりすまし攻撃でした。セキュリティチームにとって、これはサービスデスクに直接関わる問題です。
サービスデスクはソーシャルエンジニアリングの格好の標的です。攻撃者が自分を正規のユーザーだと担当者に信じ込ませられれば、技術的な制御を突破する必要すらありません。単に「制御を回避する手助け」を頼めばよいのです。AIはこれをさらに容易にし、攻撃者が個々の状況に合わせたアプローチを取ることで、より説得力のある口調を演出できるようにしています。
AIによってより巧妙なソーシャルエンジニアリング攻撃が可能になった脅威環境において、特に狙われやすいのがオンボーディング(入社時対応)です。
新入社員には迅速なアクセス権付与が求められますが、組織側はまだ本人について十分な把握ができていないことがあります。攻撃者はこのギャップを突いてきます。そのため、サービスデスクの担当者は、認証情報を渡したり、MFAをリセットしたり、機微な変更を承認したりする前に、本人確認をより確実に行う手段を備える必要があります。
AIがサービスデスク攻撃を助長する3つの方法
1. AIがなりすましをより説得力のあるものにする
M&S、MGMリゾーツ、クロロックスなどを狙った大規模な攻撃はいずれも、サービスデスクへの「アクセス権を取得するのを手伝ってもらえますか?」という単純な問いかけから始まりました。そこから脅威アクターはアカウントへのアクセス権を得て攻撃をエスカレートさせ、被害組織に数百万ドル規模の損害をもたらしました。
なりすましは以前からサービスデスクにとってのリスクでしたが、AIの登場により、担当者がリクエストの真偽を見極めることはさらに難しくなっています。
攻撃者は今や生成AIを使い、洗練されたメールや説得力のあるチャットメッセージ、リアルな電話スクリプトを数秒で作成できます。より標的を絞った攻撃では、AIが生成した音声や映像を使って社員になりすますことも可能です。
特に狙われやすいのがオンボーディングです。新入社員はITチームにまだ顔を知られていないことが多く、初日にアクセスで問題が生じるのはよくあることとして受け止められています。新入社員を装う攻撃者はAIを使って信頼できる話し方を演出し、正しい部署名を挙げ、リクエストを通すのにちょうど良い緊迫感を作り出すことができます。
2. AIが偵察と個別化を加速させる
個人に関する情報は、かつてないほど多くインターネット上に公開されており、AIは脅威アクターがそれを見つけ出す手助けをします。
オンボーディングを狙った攻撃を防ぐうえで、これは現実的な懸念です。組織は自覚している以上に多くの情報を公開していることがよくあります。歓迎の投稿が新入社員の名前を明かしていたり、求人広告が自社の使用システムに言及していたりします。LinkedInのプロフィールからは、採用担当マネージャーやチーム構成、オフィスの所在地がわかってしまうこともあります。
脅威アクターはこうした情報を収集したうえで、AIを使ってLinkedIn、企業サイト、求人情報、プレスリリース、ソーシャルメディアからさらに多くの情報を集めます。そして、それらの詳細を信憑性のあるストーリーへと組み立てます。氏名、役職、所在地、部署、社内で使われているツール、報告系統といった情報はすべて、もっともらしいスクリプトに組み込まれてしまうのです。
これほど詳細な情報があれば、悪意あるリクエストも通常業務のように見えてしまいます。そして、リクエストが通常業務のように感じられれば、それだけ迅速に処理が進んでしまう可能性が高まります。
3. AIが攻撃者によるサービスデスク攻撃の規模拡大を後押しする
攻撃者はもはやソーシャルエンジニアリングのキャンペーンをゼロから作る必要がありません。AIを使えば、フィッシングメールの何十通ものバリエーションを作成し、異なる口実を試し、文言を調整して取り組みを最適化できます。
これはサービスデスクにとって問題です。というのも、サービスデスクは迅速な対応を前提に構築されているからです。攻撃者はこれを承知したうえで、緊迫感と粘り強さを利用し、悪意あるリクエストを混雑した対応キューの中の「よくある通常業務」の一つのように見せかけます。
AIによって攻撃者はアプローチを容易に調整できるようになり、複数のチャネルや担当者に対して同じ基本的なリクエストを繰り返し試み、誰かがリセットを承認したり、認証情報を発行したり、リカバリー方法を変更したりするまで働きかけを続けることができます。
AIを悪用したサービスデスク攻撃を防ぐには
AIを悪用した攻撃は「普通に見える」ように設計されているため、その対策をプレッシャー下にあるサービスデスク担当者の完璧な判断力に頼ることはできません。
ここで役立つのが、サービスデスクが扱う中でも特にリスクの高いプロセス、すなわちオンボーディングを保護する専用ソリューションです。
Specops Secure Onboardingは、オンボーディングのエンドツーエンド、さらにその先までを保護する手助けをし、担当者が自信を持って本人確認を行い、新規発行される認証情報を傍受から守るためのツールを提供します。
1. オンボーディング時のパスワードを安全に届ける
新入社員は迅速に認証情報を必要としますが、パスワードをSMSやメールで送信すると、傍受されるリスクが生じます。
より安全なアプローチは、そもそも認証情報を送信しないことです。Specops Secure Onboardingでは、代わりにITチームが新入社員に安全な登録用リンクを送り、自分自身で強固なパスワードを作成する手順を案内できます。サービスデスク側で認証情報を作成・共有することがないため、傍受のリスクそのものが排除されます。
2. 生体認証によるライブネス検知でなりすましを防ぐ
従来型の本人確認は信頼性が低下しつつあります。たとえば、秘密の質問への回答は、攻撃者がソーシャルメディアのプロフィールから入手できる情報から推測できてしまうことが少なくありません。
特に、初日の新入社員のように、サービスデスクがまだ本人をよく知らないケースでは、アクセスを要求している人物が正規の社員になりすました攻撃者ではないと担当者が確信を持てる仕組みが必要です。
Specops Secure Onboardingのようなソリューションで提供される生体認証ライブネス検知は、静止画や録画、マスク、ディープフェイクではなく、本人確認時に実在の人物がその場にいることを確認することで役立ちます。これは、サービスデスクの担当者が対面で会うことのないリモートオンボーディングにおいて、とりわけ有用です。
3. 機微なサービスデスク操作の前に本人確認を行う
機微な操作は、承認される前により強固な本人確認が必要です。たとえば、特権アカウントのパスワードリセット要求では、生体認証ライブネス検知のようなチェックを発動させ、リクエストが正当なものであり、要求者が該当アカウントに正しく紐づく本人であることについて高い確度の裏付けを得るべきです。
Specops Secure Onboardingは、担当者がパスワードリセットなどの操作を完了する前に、必ず本人確認が行われるようにします。担当者は強固な本人確認を通じて検証を徹底し、より高い確信を持って信頼の可否を判断できるようになります。
Specopsで、AIを悪用した攻撃からサービスデスクを守る
Specops Secure Onboardingは、オンボーディングのような高リスクな操作の中心に本人確認を据えることで、組織がサービスデスクを保護する手助けをします。具体的には、以下を実現します。
- ID詐称攻撃に対するより強固な防御:オンボーディングの全過程で「前提とされた信頼」を「検証済みの本人確認」に置き換え、サービスデスクチームがAIによるなりすましに対抗できるようにします。
- 一貫したオンボーディング体験:所在地を問わず、すべての新入社員に同じ安全なプロセスを提供し、人事チームや社員に不要な摩擦を生じさせません。
- サービスデスクにおけるリスクの低減:機微な操作の前に本人確認を行うことで、担当者が信頼だけを頼りにリクエストの真偽を判断せずに済むようにします。
Specops Secure Onboardingが、巧妙なソーシャルエンジニアリング攻撃からサービスデスクを守る手助けをどのように行えるかにご関心をお持ちでしたら、ぜひ今すぐお問い合わせいただくか、デモをご予約ください。
