サイバー犯罪は、ビジネスリーダーが直面するリスク管理上の課題のなかでも、最も重大かつコストのかかるものの一つであり続けている。巨額の投資と防御策の改善にもかかわらず、拡大を続ける世界のデジタルフットプリントに対する攻撃は規模と影響力を増しており、2028年にはその被害額が驚異的な14兆ドル（約2290兆円）に達すると予測されている。
幸いなことに、人工知能（AI）の急速な台頭により、サイバー攻撃を防ぐためのツールも高度化・効率化が進んでいる。AIは、組織を守るサイバーセキュリティ専門家の選択肢に加わる歓迎すべき存在となっている。
当然のことかもしれないが、AIはサイバー犯罪を目論む者にとってもイノベーションの源泉となっている。攻撃をより安価に、より迅速に、そして拡大しやすくすることで、AIはサイバー犯罪の経済学を根本から変えつつある。サイバーセキュリティの競争環境は急速に変化しており、リーダーはこのAI主導の新たな課題を理解し、一刻も早く対応しなければならない。
サイバー犯罪の経済学を再構築するAI
フィッシングやソーシャルエンジニアリング攻撃は、今日のサイバー犯罪で最も一般的な形態であり、1件の侵害あたり企業に平均約400万ドル（約6億5500万円）のコストをもたらしている。
残念ながら、長年にわたる防御と攻撃削減への称賛すべき努力にもかかわらず、潮流はサイバー犯罪者に大きく有利な方向へ傾いている。
AIは、攻撃コストを引き下げる一方で、その速度、規模、潜在的な金銭的リターンを高めることで、サイバー犯罪の経済学を根本的に変えつつある。最近の学術研究において、研究者らはAIが自動生成したフィッシングメールが人間の専門家と同等のパフォーマンスを示し、一般的なフィッシングメールのクリック率12％に対し、54％というクリック率を達成したことを明らかにした。AIを活用すれば、情報収集、標的の特定、脆弱性評価を比較的容易に自動化できる。
歴史を通じて、サイバー犯罪者は時間、労働力、専門知識、コストという経済的制約のもとで活動してきた。AIはこれらの制約を同時に低減している。極めて説得力のあるフィッシングキャンペーンを作成するコストが下がり、有効性が高いまま維持されると、攻撃者は大きな経済的優位を得る。その結果、AIはサイバー犯罪の経済学を再構築しているのだ。
例えば、特定の個人に合わせてカスタマイズして送信される「スピアフィッシング」メールは、かつては多大な人的労力を必要としていた。しかしAIは、攻撃の成功率が概して高いこうしたメールの作成や、大規模な配信を容易にした。
同様に、別の研究でも、生成AIはコンテンツ作成の支援、標的設定とパーソナライゼーションの高度化、そして攻撃の自動化を通じて、ソーシャルエンジニアリング手法のコストを下げ、その影響を高めるために有効に使われ得ると結論づけている。
これらの研究を総合すると、AIはサイバー犯罪者にとって戦力増強装置となり、攻撃をより効率的に、より低コストで、はるかに大規模に実行できるようにしていることがわかる。
難しくなる「正面玄関」の死守
フィッシングは、企業にとって防御が特に困難な攻撃である。ネットワーク、システム、アプリケーションを標的とする他の攻撃とは異なり、フィッシングは通常、一見すると正規のメールに見えるものから始まるからだ。
従来、従業員はスペルや文法の誤り、不自然なフォーマットなど、メールが本物ではない可能性を示す明らかな手がかりに注意するよう訓練されてきた。警戒心のある従業員にとって、こうした微妙な違和感はフィッシングメールがもたらすリスクの軽減に役立ってきた。
しかし、AIはより本物らしく見えるフィッシングメールを作成するだけでなく、企業の既存のプロセスや詳細な情報を理解して悪用することで、こうした手がかりとなるサインを消し去りつつある。
例えば、財務担当の従業員が、実在するプロジェクトに関する至急の指示として、特定の銀行口座への支払いを求めるメールを、経営幹部から送られたかのように受け取るケースがある。これは新しいタイプの攻撃ではないが、信頼関係や組織のワークフロー、内部知識を悪用することで、AIはこれを格段に説得力のあるものにしている。
今や悪名高くなった、香港でのサイバー攻撃を覚えている人もいるかもしれない。ある従業員がビデオ会議に参加し、CFO（最高財務責任者）から複数の異なる銀行口座に計2500万ドル（約41億円）を振り込むよう指示された。しかし後になって、そのビデオ通話に参加していた全員が、AIによって生成されたディープフェイクによる偽者だったことが判明したという事件だ。
AIが生成するコミュニケーションがますます説得力を増すにつれ、従業員が正規の業務依頼と巧妙な欺瞞を見分けることは極めて困難になる。従来の意識向上トレーニングだけではもはや十分ではないため、これはリーダーシップ上の深刻な課題となりつつある。
行動を遅らせるわけにはいかない。直ちにいくつかの対策を講じる必要がある。
リーダーのための5ステップ行動計画
AIによって強化された欺瞞は、単なるサイバーセキュリティ意識の課題ではなく、増大するビジネスリスクとして捉えなければならない。対策はリーダーシップ上の優先事項とされるべきであり、組織は遅滞なく行動を起こす必要がある。
リーダーが今すぐ検討すべき5つの行動を以下に示す。
- トレーニング：マニュアル、オンライン、対面授業など、あらゆる形態の従業員トレーニングを更新し、AI主導のサイバー攻撃という新たな現実に即したものにする必要がある。AIの影響により、欺瞞の明らかな兆候が大幅に減少しているフィッシングやソーシャルエンジニアリングには、特に注意を払うべきである。
- プロセス管理：支払い、機密データへのアクセス、ワークフローの承認などの一般的な業務プロセスを評価し、より洗練されたソーシャルエンジニアリングの試みを検知・緩和するための十分な管理策が導入されているか確認する。
- シミュレーション：AIを駆使したシナリオに関連する机上演習やオンラインシミュレーションを通じて、インシデント対応計画の検証にさらに注力する。皮肉なことに、こうしたシミュレーションの作成や管理にAIを利用することが、堅牢かつ効率的なアプローチとなる可能性が高い。
- 防御ツール：悪意あるトラフィックの特定と遮断に使われる旧式のセキュアメールゲートウェイやその他のツールを、AIを活用したサイバー攻撃に対応するようAIで最適化されたものへアップグレードまたは置き換える。
- ガバナンス：AIによるサイバー攻撃に関するインサイトやガイダンスを、イノベーション、リスク管理、デジタルトラストといった組織の関連ガバナンス体制に組み込む。
防御側のリスクを高めるAI
AI、特に2022年以降の生成AIの急速な台頭は、個人や組織の働き方に計り知れない影響を与えており、最大の変革はまだこれからである。
しかし悲しいかな、社会やビジネスの利益のために作られた大半の新しいテクノロジーにおいて、誰かがそれを悪用する方法を見つけ出すというのは自明の理である。AIもそうしたテクノロジーのひとつだ。
サイバー犯罪者は、AIが自分たちの活動の経済学を変えることに素早く気づいた。彼らはより迅速に、より大きな規模で実行し、より多くの利益を得ることができる。これは、サイバー脅威、特にフィッシングやソーシャルエンジニアリングがもたらすリスクが劇的に変化したことを意味する。
リーダーには、サイバー犯罪からビジネスを守るためのAI主導のツールがより多く用意されている一方で、より効果的な攻撃から組織を保護するという課題も課されている。AIがサイバー犯罪の経済学をどのように塗り替えつつあるかを認識できない組織は、明日の脅威ではなく、昨日の脅威に備えるというリスクを冒すことになる。
