- Kasperskyの調査で、AIやテクノロジーをテーマにしたフィッシングの誘い文句が最も高いクリック率を記録し、テストでは45%に達した
- 医療、コンプライアンス、プロモーション、人事に関するメッセージも、従業員をだますうえで非常に効果的だった
- 定期的なセキュリティ意識向上トレーニングにより、組織全体でフィッシングに対する脆弱性を大幅に下げられることも判明
フィッシングメールは、驚くほど高い成功率を上げることで悪名高い存在です。では、どのようなメールが最も効果的なのでしょうか。こうした誘い文句には、A)緊急性を感じさせること、B)被害者が何かを逃す、あるいは実害を被るという印象を与えることの2点が必要だとされています。
しかし、まったく同じメールは2つとなく、キャンペーンによって成功率には差があります。
セキュリティ企業のKasperskyは、どのテーマが効果を上げ、どれが失敗するのかを調べました。従業員の受信トレイに潜む最大のリスクについて、企業により深い洞察を提供することが狙いです。調査では、同社のフィッシングシミュレーターから、任意で提供された匿名化データを分析しました。「ユーザーのクリック率が高ければ、どのようなサイバーセキュリティ研修が必要かがはっきりわかります」と、研究者らは述べています。
機微な内容のメールに反応してしまう
データから、攻撃者にとって最も成果の高いテーマが5つ判明しました。「AI・テクノロジー」「医療・保険」「ITポリシー・コンプライアンス」「ギフト・プロモーション」「人事・社内コミュニケーション」です。
全体で最も成績が良かったのは「AI・テクノロジー」でした。「次世代の人工知能を導入します」といったテーマのメールは、クリック率が45%に達しました。つまり、受信者のほぼ2人に1人が悪意のあるリンクをクリックし、マルウェアに感染したり、ログイン認証情報を攻撃者に渡したりするおそれがあるということです。
「医療・保険」の誘い文句は、平均で28%の受信者をだましました。なかでも際立っていたのが、衛生検査報告書に関するメールで、クリック率は92%に上りました。3位は「ITポリシー・コンプライアンス」でクリック率は26%、続いて「ギフト・プロモーション」が24%でした。
自国代表チームのサッカーユニフォームを着て賞品を当てようと呼びかけるメールは、受信者の3分の2にあたる66%がクリックしました。「人事・社内コミュニケーション」のクリック率は22%でした。Kasperskyは、機微で関心の高い社内トピックを扱うメールは「特に危険」だと指摘しています。
KasperskyのセキュリティアウェアネスエキスパートであるSvetlana Kalashnikova氏は、次のように述べています。「人は、機微で文脈に即したメールに自然と反応してしまいます。フィッシングが自分の業務の流れや地域の事情をそのまま模倣している場合は、なおさらです。サイバー犯罪者はこれを承知のうえで、罠をより個人に合わせたものにしており、この傾向は生成AIの普及で加速するでしょう」
「幸いにも、サイバー警戒心を適切に育てれば、リスクが測定可能な形で低下します。KASAPの効果分析によると、定期的なトレーニングと攻撃シミュレーションにより、フィッシングへの脆弱性は60%からわずか5〜7%まで大幅に下がります。人を狙う脅威から従業員と企業を守るため、すべての従業員を対象とした継続的なサイバーセキュリティ意識向上プログラムの導入を強く推奨します」
Kasperskyによると、フィッシングは成長段階を問わずあらゆる企業にとって最も蔓延したサイバーインシデントであり、事業に深刻な影響を及ぼすインシデントの中でも首位に位置します。一方で、人を狙う攻撃は巧妙化・高速化し、範囲も広がっています。人工知能(AI)の登場により、攻撃は多段階の取り組みへと変わりつつあります。
フィッシングメールを見抜くには
人工知能(AI)が登場する以前、フィッシングメールは比較的見分けやすいものでした。英語を母語としない攻撃者が書くことが多く、文面はぎこちなく、正規企業の広報チームが定めた文体やトーンを適切に再現できていなかったからです。
いまやAIによって、悪意のあるメールは正規の連絡とほとんど区別がつかなくなりました。そのため、見抜くポイントは感染の連鎖のより後段、つまりリンクや添付ファイル、そしてメール全体の印象へと移っています。
悪用されるメールに共通する特徴は、今も変わりません。緊急性を煽ることです。正規の組織の大半は、24時間以内にアカウントを停止するといった脅しを顧客にかけません。見慣れない第三者サービスに文書を置くこともなければ、実行可能形式の添付ファイルを送ることもありません。
送信元のドメインを再確認することも、攻撃を見抜く有効な方法です。フィッシングメールの大半は、盗まれたメールアドレスや、公開サービスで作成されたアドレスから送られています。英国の郵便サービスがProtonのメールアカウントを使うことはありません。
したがって、意識向上、トレーニング、シミュレーションの実施が、2026年においても防御の第一の手段であることに変わりはありません。
