サイバー攻撃で業務が混乱すると、顧客の信頼を取り戻すには時間がかかります。そうした中、脅威アクターは信頼されているブランド名や既存の顧客アカウントになりすまし、顧客との関係を悪用するようになっています。
「信頼は悪用されやすくなり、築きにくくなった」。TransUnionの新しいレポートはこう警告しています。脅威アクターはソーシャルエンジニアリング、ディープフェイク技術、テキストのなりすまし、漏えいした認証情報、人工知能（AI）を駆使し、新規顧客にも既存顧客にも、さらには組織そのものにもなりすまします。
攻撃の増加を受け、多くの組織は登録やオンボーディングの段階でセキュリティを強化してきました。それでも組織は対策を進化させ続けなければならないと、レポートは指摘しています。「現在、不正の大半は顧客との関係が確立された後に発生する」ためです。また、58%の組織が、不正の進化が自社の検知・防止能力を上回る速さで進んでいることを非常に、あるいは極めて懸念していることも明らかになりました。
この状況には、合成IDの利用が大きく関わっています。TransUnionでグローバルIDソリューション担当バイスプレジデントを務めるBrian Killeen氏は、数百万人の機微な情報が流出する大規模なデータ侵害が相次いだため、脅威アクターは合成IDを容易に作り出せると説明します。詐欺師は流出した書類を複製したり、ディープフェイクを使ったりして、オンボーディング時の本人確認を突破します。
この信用情報機関によると、2026年上半期にデジタル不正が疑われた事例のうち、53%がアカウントへのログインに関するものでした。Killeen氏は、ツールの進化によって脅威アクターは詐欺を実行しやすくなっていると付け加えます。脅威アクターはスクリプトでアカウント作成を自動化しているだけではありません。自動化されたパイプラインにロジックを組み込み、セキュリティ対策をリバースエンジニアリングしているといいます。これにより、防御が攻撃をどこで、どのように阻止しているのかを正確に突き止められるのです。
「信頼は圧力にさらされています」と、Killeen氏はDark Readingに語りました。
AIなしでは「なりすまし」は語れない
2025年、FBIは民間企業や政府機関の従業員向けセルフサービスポータルを狙うサイバー犯罪者が増えていると警告しました。ポータルは給与、福利厚生、その他の人事サービスに使われるウェブサイトです。脅威アクターは偽の検索エンジン広告を作り、正規企業のロゴやレイアウトを模倣した悪意あるサイトへユーザーを誘導しました。被害者がログインすると、攻撃者はログイン認証情報と金融情報を盗み取りました。
状況は今も変化し続けています。この1年で、AIは犯罪者による攻撃のパーソナライズを後押しし、メールからTeamsまで複数のチャネルへの展開も可能にしました。Knowbe4のCISO（最高情報セキュリティ責任者）アドバイザー筆頭であるJavvad Malik氏は、ディープフェイクがさらに信憑性を高めていると説明します。
AIの導入は急拡大していますが、セキュリティ対策は追いついていません。同氏によると、このセキュリティ意識向上企業では、AIシステムを悪用しようとする試みや、設定が不十分なAIツールやエージェントにつけ込む試みも増えているといいます。
「ソーシャルエンジニアリングの手口自体は変わりません。しかし攻撃者はAIを使って弱点を探し、AIエージェントを直接狙い始めています」と、Malik氏はDark Readingに語りました。
AIの攻撃対象領域は、格好の標的になっています。Check Pointが第3四半期のブランドなりすましの傾向をまとめた新たな調査では、脅威アクターがAnthropicのAIアシスタント「Claude」になりすましたフィッシングキャンペーンが確認されました。詐欺メールは支払い期限の通知を装って緊急性をあおり、500ユーロの支払いを求めました。「支払い情報を更新」するリンクをクリックさせて、認証情報や金融情報を危険にさらす狙いです。Knowbe4の脅威インテリジェンス責任者であるJames Dyer氏によると、同社は4月以降、AIブランドのなりすましが228%増加したことを確認しました。Dyer氏は、攻撃者が企業でのAI活用に世界の関心が集まる状況を、フィッシング攻撃の絶好の隠れ蓑として悪用していると述べます。さらに、攻撃者が速報ニュースの見出しを軸に攻撃を組み立てると、問題はいっそう深刻になると警告しています。
動き続ける標的
1Passwordのグローバルアドバイザリー担当CISOであるDave Lewis氏は、顧客との関係を狙う攻撃で、攻撃者の手口がマルウェアの展開からIDの悪用へ移ったと指摘します。パスワードをリセットさせれば済むのに、わざわざスクリプトを書く必要があるのか、というわけです。
業界は10年かけて「リンクをクリックしないように」と人々を教育してきましたが、攻撃者は丁寧に頼むだけで対抗してきたと、同氏は付け加えます。現在、同氏が最もよく目にする攻撃は、「パーカー姿で猛烈にキーボードを叩く誰か」が行うものではありません。ヘルプデスクに電話をかけ、ユーザーを操って多要素認証（MFA）コードを聞き出す手口です。同氏はこれを「2026年で最も効果的なゼロデイ」と呼んでいます。
同氏が確認しているもう一つの手口は、顧客関係管理（CRM）システムの正面玄関から堂々と侵入するものです。例として、2025年に始まり2026年も続いている、Salesforce顧客を狙ったデータ窃取キャンペーンを挙げています。
「CRMを『ハッキング』する者はいません」と、Lewis氏はDark Readingに語りました。「ベンダーに渡した鍵や、誰も作った覚えのないゲストアカウントでログインするだけです」
標的はデータセンターからSaaS（Software as a Service）レイヤーへ移りました。そこでは、侵害された連携が一つあるだけで、攻撃者は多数の標的に手を伸ばせます。Lewis氏は、SaaSプラットフォームは従来のインフラとログの記録方法が異なるため、検知が遅れるとも付け加えます。
脅威アクターはAIを使い、経営幹部の公開音声から音声ディープフェイクを作成します。それを緊迫したヘルプデスクへの電話で使い、侵入後は再びAIを使って、数分でハイブリッド環境内を移動します。ただし、これは攻撃が高度になったことを必ずしも意味しないと、Lewis氏は述べます。
「技術的な巧妙さは下がっています」と同氏は言います。「上がっているのは運用面の巧妙さ、つまり下調べ、忍耐、スクリプト化、やり遂げる力です。『天才的な悪人』というより、『悪意を持った、よく運営されたコールセンター』に近いのです」
推奨事項：点検を繰り返す
Killeen氏は、脅威アクターが説得力のあるパーソナライズされたなりすまし手口の陰に隠れ、さらに目立たなくなるにつれて、「かつて正当で信頼できると見えたものが変わりうる」と強調しました。業界を問わず、詐欺や承認済み不正、善良な顧客が操られる事例が増えていると警告しています。
攻撃者は時間を無駄にしません。組織も素早く学び、適応する必要があります。Killeen氏は、既存の対策を見直して脆弱な箇所を洗い出し、最も大きな損失が生じている場所を把握するよう勧めています。入り口で強固なセキュリティを構築していても、下流のリスクで被害に遭う可能性があるためです。
「リスクベースのアプローチを取り、全体を俯瞰して、自社の脆弱性に応じてそれぞれの優先順位をどう付けるかが重要です」と、Killeen氏は助言します。
Killeen氏とLewis氏は、顧客との関係を狙う攻撃に対しては、CRMにつながるあらゆる入り口を確認すべきだという点で一致しています。対象には、すべてのOAuthアプリケーション、連携、ゲストユーザーやポータルユーザー、APIキーが含まれます。
「責任者が明確でないものはすべて取り消してください」とLewis氏は付け加えます。「残りは権限の範囲を絞ります。四半期ごとに繰り返してください。放っておくとまた増えるからです」
同氏はまた、対応する担当者を責めるのではなく、攻撃者が繰り返し悪用するヘルプデスクの手順そのものを修正するよう勧めています。リスクを下げる方法として、リセット時の本人確認のスクリプト化、登録済みの番号への折り返し連絡、特権やMFAのリセットに対するマネージャーの承認を挙げています。
「ID確認が重要なサポート対応では、平均処理時間のようなスピード指標をやめてください」とLewis氏は付け加えます。「担当者が確認よりスピードを優先するようになってしまいます」
保有する顧客データを減らすことも、組織がリスクを抑えるために優先できる対策の一つです。Lewis氏は、顧客記録に保持期限を設け、休眠アカウントを削除し、サンドボックスに本番の顧客データを入れないよう勧めています。
「持っていないデータは盗まれません」と、同氏は語りました。
翻訳元: https://www.darkreading.com/cyber-risk/trust-is-not-what-it-seems-and-fraudsters-are-counting-on-it
