MSPが見逃すフィッシング攻撃を検知する方法──メールフィルタでは防げない脅威

お客様の元には毎日何千通ものメールが届きますが、たった一通の巧妙なメッセージが、あなたが後始末を担うことになるセキュリティインシデントへと発展してしまいます。

AIはフィッシング攻撃のあり方を根本から変えました。攻撃の実行はより容易になり、検知はより難しくなり、従来のメールフィルタが想定していたレベルをはるかに超える説得力を持つようになっています。

大規模言語モデルと、公開されているLinkedInのプロフィールがいくつかあれば、攻撃者は数分で高度にパーソナライズされたフィッシングメールを生成できます。Harvard Business Reviewの調査によれば、AI生成のスピアフィッシングキャンペーンは54%のクリック率を達成しており、これは人間の専門家が仕掛けるキャンペーンに匹敵する水準を、はるかに低いコストで実現していることになります。

こうした攻撃の仕組みと、従来のフィルタがなぜ阻止に苦戦するのかを理解することは、たった一通のメールが高くつく侵害に発展する前に、お客様を守るうえで不可欠です。

AIを活用したフィッシングキャンペーンの内部

AIを利用したフィッシングキャンペーンは、いずれも基本的に同じ経路をたどります。AIは各段階をより迅速に、より説得力あるものにし、従来の防御機構による検知を大幅に困難にしているだけなのです。

偵察: AIが適切な標的を見つける

攻撃者はAIを使ってLinkedInや企業サイトなど公開されている情報源をスキャンし、特定の従業員のプロフィールを構築します。数分もあれば、その人物が誰と仕事をしているか、どのプロジェクトに関わっているか、どのようにコミュニケーションを取っているかまで把握できてしまいます。

MSPにとって重要な理由: 公開情報だけで、攻撃者はお客様の受信箱に届く前に、信憑性の高いフィッシングメールを作成するために必要なものをすべて手に入れてしまいます。

コンテンツ生成: AIが正当に見えるメールを書く

AIはその情報を使って、信頼できる同僚や顧客、取引先から送られてきたように見えるメールを作成します。すべてのメッセージは個別化され、文脈に即した内容になっており、かつてフィッシングを見破る手がかりとなっていたスペルミスやぎこちない言い回しは一切ありません。

MSPにとって重要な理由: 最大の課題は、もはや明らかなフィッシングメールを見分けることではありません。正当なビジネスコミュニケーションのように見え、読める文面からお客様を守ることこそが課題であり、それによってユーザーがメールを信用してしまう可能性がはるかに高くなります。

配信と回避: メールがすり抜ける

AIは、送信するすべてのメールに固有のバリエーションを作り出すことで検知回避にも一役買っています。これはポリモーフィック・フィッシングと呼ばれる手法です。件名や送信者情報、フォーマット、内容を絶えず変化させながら、信頼された各種クラウドサービスやQRコード、リダイレクトチェーンを利用して従来のフィルタをすり抜けます。

MSPにとって重要な理由: 従来のメールゲートウェイは、シグネチャや既知の侵害指標(IoC)に大きく依存しています。すべてのメールが異なり、絶えず変化し続ける状況では、こうした指標の信頼性は大幅に低下し、より多くのフィッシングメールがお客様のもとに届いてしまう結果につながります。

侵害後の活動: 被害は瞬く間に広がる

ユーザーが悪意あるリンクをクリックしたり、認証情報を入力してしまったりすると、攻撃は急速にエスカレートします。攻撃者はセッショントークンを盗み出し、自らの活動を隠すためのメールボックスルールを作成し、数分のうちにお客様の環境内を横移動し始めることができます。

IBMの「2024年 データ侵害のコストに関するレポート」によれば、フィッシングはデータ侵害の最大の原因であり、インシデント全体の16%を占め、侵害1件あたり組織に平均480万ドルのコストをもたらしています。

MSPにとって重要な理由: フィッシングメールが受信箱に到達してしまった時点で、もはや予防だけでは不十分です。お客様を守るには、メールの範囲を超えた可視性が必要であり、エンドポイント検知、アイデンティティ監視、迅速な対応を連携させて、攻撃者がアクセス範囲を拡大する前に食い止めることが求められます。

AI生成の攻撃を検知する方法

AIはフィッシングメールを巧妙に偽装できますが、その後に続くアイデンティティ、エンドポイント、ユーザー活動までは偽装できません。ここに、最新の検知手法が真価を発揮する余地があります。

メールだけでなく、振る舞いを監視する

成功したフィッシング攻撃には、必ず何らかの異常の兆候が残ります。メールそのものを調べるだけでなく、以下のような不審なアカウント・ユーザー活動を監視しましょう。

• 外部アドレスへメッセージを転送する新しい転送ルールやメールボックスルール。特に、見慣れない場所からのログイン直後に作成された場合は要注意。
• 同一アカウントが数分以内に異なる2つの国からログインする「インポッシブル・トラベル」。
• ユーザー自身が要求していない多要素認証(MFA)プロンプトの繰り返し発生。多くの場合、MFA疲労攻撃(プッシュ爆撃)を示唆。

行動分析と異常検知は、フィッシングメール自体が完全に正当なものに見える場合でも、こうした警告の兆候を浮かび上がらせるのに役立ちます。

環境全体にわたる活動を相関分析する

単独の不審なログインやエンドポイントアラートだけでは、それほど大きな意味を持たないこともあります。しかし、アイデンティティ、メール、エンドポイントの活動を相関させることで、進行中のフィッシング攻撃をエスカレートする前にはるかに認識しやすくなります。以下のような兆候に注意してください。

• 信頼されたデバイスからサインインしたユーザーのエンドポイントが、直後にPowerShellスクリプトやその他の不審なプロセスを起動し始める。
• ユーザーがログインに成功した直後、これまで一度も使ったことのないシステムやアプリケーション、データへのアクセスを試みる。
• 普段は社内向けメールを1日に数件しか送らないアカウントから、送信メールが突然急増する。

自動化された脅威相関分析は、メール、アイデンティティ、エンドポイントにまたがるこうしたシグナルを結び付け、MSPがアラート疲れを軽減しながら進行中のフィッシング攻撃をより迅速に特定するのに役立ちます。

検知を早め、対応をさらに早める

攻撃を検知するのが早ければ早いほど、攻撃者がアクセス範囲を拡大する機会は少なくなります。認証情報が一度侵害されてしまえば、一分一秒が重要になります。

• 攻撃者が横移動する前に、不審なアカウント活動を自動的にフラグ付けし調査する。
• 侵害されたエンドポイントを隔離し、マルウェアの拡散を食い止める。
• 追加のデータへアクセスされる前に、侵害されたアカウントを無効化するか、アクティブなセッションを終了する。

検知と対応を高速化することで、攻撃者の滞留時間が短縮され、インシデント対応の効率が向上し、MSPはフィッシング攻撃がお客様にとって高くつく侵害に発展する前に封じ込めることができます。

MSPが今週から取り組めること

ここでは、リスクを軽減しお客様の防御態勢を強化するために、MSPが実践できる具体的なステップを紹介します。

• セキュリティ意識向上トレーニングの刷新: 5年前のスペルミスだらけの汎用的なテンプレートではなく、今のAIが生み出すものに近いフィッシングシミュレーションを実施しましょう。古い事例に基づくトレーニングは、間違った着眼点を教え込むことになりかねません。

• 高リスクな要求の検証: 送金や認証情報のリセット、取引先への支払い変更については、メールがどれほど説得力を持って見えても、必ず電話や別のチャネルで確認することを義務付けましょう。この一つの習慣だけで、ビジネスメール詐欺(BEC)の試みの大半をぴたりと食い止められます。誰かが何かに気づく必要すらないからです。

• 配信後もアカウント活動を監視する: 受信箱だけで対応を止めてはいけません。不審なメールボックスルール、見慣れない場所からのログイン、インポッシブル・トラベル、MFAプロンプトの繰り返しを監視しましょう。こうした振る舞いは、アカウントが侵害されたことを示す最も早い兆候となることが少なくありません。

• 解決までの時間だけでなく、対応時間も測定する: 侵害の疑いを検知し封じ込めるまでにかかった時間を計測しましょう。この数値を、チケットの解決時間と同じくらい重視してください。フィッシングメールがゲートウェイをすり抜けてしまった場合(いずれ必ず起こります)、被害を最小限に抑えるのは、この迅速な対応の窓にほかなりません。

AIがフィッシングを変えた──MSPも防御を変える必要がある

AIは、フィッシングを「フィルタリングの問題」から「検知の問題」へと変えました。

フィッシング攻撃が進化を続けるなか、優位に立つのは、侵害された受信箱がお客様全体を巻き込む侵害へと発展する前に、それを検知し対応できるMSPです。

「2026年版 Kaseya Eメールセキュリティレポート」をダウンロードして、最新のフィッシング攻撃がどのように従来の防御をすり抜けるのか、そしてMSPが先手を打つために活用している戦略について学びましょう。