AIを活用したOSINT:あらゆる人が詐欺の標的になり得る理由

プライバシー

AI支援による偵察活動:誰もが詐欺の標的になり得る理由

サイバー犯罪者が潜在的な被害者を調査するコストは下がり、手口はますます容易になっています。ここでは、私たちがまだコントロールできる部分を紹介します。

AIは、モデルが登場するたびに脅威の様相を変えつつあります。この技術が進化するスピードは凄まじく、かつては熟練したサイバー犯罪者が数時間、あるいは数日かけて行っていた作業を、今ではほとんど、あるいはまったく知識のない人物でもわずかな時間でこなせるようになっています。これは重要な変化です。なぜなら、サイバー犯罪への参入障壁が下がっているからです。脆弱性の悪用においても、基本的なマルウェアの生成においても、そして被害者の偵察活動においても、こうした傾向が見られます。

この状況は、一般的なインターネットユーザーにとっても強い警戒が必要であることを意味します。攻撃者にとって攻撃を仕掛けるコストが下がり、手口が簡単になっているのであれば、誰もが標的になり得るのです。

AIがゲームのルールをどう変えているか

かつてオープンソースインテリジェンス(OSINT)は、著名人や高い価値を持つ標的に対してのみ用いられる手法でした。それは、実行するのに高度なスキルと時間を要したからです。この用語自体はサイバーの世界の外に起源を持ち、戦略目標の達成に利用できる公開情報を収集する軍事・情報活動を指す言葉でした。

ウェブ、そして近年ではソーシャルメディアの登場により、こうした活動はデジタル世界の身近な一部となり、研究者と脅威アクターの双方に使われるようになりました。しかし、AIが登場するまでは、大きなボトルネックが依然として存在していました。攻撃者は、標的の公開アカウントや興味・関心、友人、家族、同僚を見つけるために時間を費やす必要がありました。専用ツールを使ったり、無数のウェブサイト、アカウント、投稿を延々と調べ回り、情報を照合・確認しながら、個人間の関係性を割り出し、攻撃にどの情報を使うかを判断したりしなければならなかったのです。

AIツールは、情報を機械的な速度で処理することで、こうしたボトルネックをほぼ解消してしまいました。ウェブ全体から公開情報を見つけ出し、それを潜在的な被害者と結び付け、被害者と他者との関係性を地図のように描き出すことができます。特に、画像や動画といった非構造化情報を探し出すことに優れています。もはやOSINTの専門家でなくても、このような作業ができてしまうのです。

大規模に情報をつなぎ合わせる

これは、さまざまな理由から憂慮すべき事態です。詐欺師は今や、あなたに関する公開情報を容易に収集し、ソーシャルエンジニアリングをより説得力のあるものにし、詐欺を大規模に展開できるようになっています。以下のようなケースを考えてみましょう。

• フィッシングメール:ログイン情報を共有させたり、リンクをクリックさせて気付かないうちにマルウェアをインストールさせたりすることを狙ったものです。勤務先や子供の通っている学校、最近参加したイベント、誕生日や最近の休暇といった、あなたが投稿した文脈に沿った情報が盛り込まれていれば、はるかに説得力が増します。こうした情報はすべて公開されている可能性があり、大規模に収集するのも容易です。
• あなたの声や顔を偽装した動画や電話:大切な人に「あなたが危険な状態にある」と信じ込ませるために使われる可能性があります。詐欺師はこうしたディープフェイクを使い、あなたの「声」で金銭を要求したり、誘拐されたふりをして身の安全を保証するための身代金を支払わせようとしたりすることがあります。さらには、あなたのディープフェイクを使ってわいせつな動画を作成し、支払わなければ知人に送りつけると脅迫することさえあります。このようなセクストーション(性的脅迫)の手口は、ますます一般的になりつつあります。英国では、今年だけで18歳未満の数百人が被害を報告しています。

残念ながら、大規模言語モデル(LLM)は、詐欺師が手口を成立させるために必要な情報をつなぎ合わせることに長けています。わずかな時間で多数の潜在的被害者をプロファイリングし、悪用可能な関連画像や動画、個人的な興味・関心、仕事、家族や友人に関する情報を収集できてしまうのです。

AIは、詐欺師が使うソーシャルエンジニアリングのスクリプトを設計する手助けもします。母国語でない話者であっても、メールやソーシャルメディア、その他のチャネルを通じて説得力のある文章を作れるようになるのです。まさに、詐欺の一連の工程をエンドツーエンドで支援するパイプラインと言えるでしょう。

職場にも及ぶ影響

悪意ある攻撃者がこうした手法で調べ回るのは、個人的な生活だけにとどまりません。近年、仕事と家庭の境界線はますます曖昧になっており、特に多くの人がハイブリッドな働き方をしている今、その傾向は顕著です。私たちは業務のために個人のデバイスや自宅の住所を使うこともあります。そして当然ながら、仕事用とプライベート用のソーシャルメディアアカウントを結び付けることは、AIにとってごく簡単な作業です。

つまり、こうした偵察活動は、私たちの仕事上の生活にも影響を及ぼしかねないということです。たとえば、詐欺師は個人情報を利用して、あなたの業務用の認証情報や情報を盗み取るためのソーシャルエンジニアリング攻撃を仕組むことができます。あるいは、あなたが休暇中で確認の連絡が取りにくいことを知った上で、同僚を標的にすることもあります。これは、ビジネスメール詐欺(BEC)を仕掛けるには格好のタイミングです。

個人情報が漏れることそれ自体も問題ですが、企業活動に関わる側面を持つOSINT活動は、あなたの職業上の評判やキャリアに深刻な影響を及ぼす可能性があります。

AIを活用したOSINTへの対策

AIを活用した偵察活動に対しては、自分でコントロールできることと、できないことがあります。あなたに関する情報がいったん公開されてしまうと、その削除を求めるのは非常に困難な場合があります。特に、その情報が他の場所に転載されている可能性がある場合はなおさらです。古いソーシャルメディアの写真は比較的削除しやすいものの、犯罪者に悪用され得る情報を求めてデジタルライフ全体を隅々まで確認する時間がある人はほとんどいないでしょう。

そのため、自分の力で変えられる部分に焦点を当てる方が得策です。以下の点を検討してみてください。

• ソーシャルプロフィールを非公開に設定し、AIが情報や画像・動画を見つけられないようにする
• ソーシャルメディアで共有する内容を慎重に選ぶ。誕生日、子供の通う学校、休暇の予定といった情報は共有しない
• 写真には住所や車両の詳細などを特定できる情報が写り込んでいる可能性があることに注意する
• 個人の生活と仕事上の生活を結び付けられるような投稿は避ける
• 多要素認証と強力かつ固有のパスワードを使用し、アカウントのセキュリティをさらに強化する
• 面識のない相手からの友達申請やフォローリクエストは承認しない。気になる場合は、別の連絡手段で本人確認をする

AIは私たちの生活の多くの側面を、より良い方向へと変えつつあります。しかし同時に、私たちがようやく気付き始めたばかりのリスクも伴っています。慎重さこそが常に最善の策です。自分が公開する情報はすべてAIに読み取られる可能性があるという前提で行動することが賢明です。自らそう心がけると同時に、友人や家族にも呼びかけるようにしましょう。