AIウェブサイト生成ツール「Lovable」がサイバー犯罪者に悪用、フィッシング攻撃に使用される事例が急増

AIツールが悪用される新たな脅威の実態

サイバーセキュリティの世界では、技術の進歩と共に新たな脅威が生まれています。最近、私たちフォレンジックアナリストが特に注目しているのが、AIウェブサイト生成ツールを悪用したサイバー攻撃の急増です。

プルーフポイント社の最新調査によると、「Lovable」というAIウェブサイト生成プラットフォームが、サイバー犯罪者によってフィッシング攻撃やマルウェア配布に悪用される事例が激増しているとのことです。この新たな脅威について、現役のフォレンジックアナリストとして詳しく解説していきます。

Lovableとは何か？なぜ悪用されやすいのか

Lovableは、自然言語のプロンプトを使って簡単にウェブサイトを作成・展開できるAIツールです。利用者はテキストでアイデアを書くだけで、AIが自動的にウェブサイトを生成してくれます。

特に問題となっているのは以下の点です：

  • 無料で利用可能：1日5プロンプトまで無料で使える
  • 技術知識不要：HTMLやCSSの知識がなくても本格的なサイトを作成可能
  • 無制限の複製機能：無料アカウントで作成されたサイトは他のユーザーが「リミックス」して再利用可能
  • 無料ホスティング：lovable.appドメインで無料ホスティングサービスを提供

これらの特徴により、サイバー犯罪者にとって非常に使いやすいプラットフォームとなってしまっているのです。

実際の被害事例：フォレンジック調査で見えてきた手口

私たちが実際に調査した事例では、以下のような巧妙な手口が使われていました。

事例1：Microsoft認証情報を狙ったフィッシング攻撃

2025年2月に発生した大規模な攻撃では、数十万件のフィッシングメールが送信され、5,000以上の組織が標的となりました。

攻撃の流れ：

  1. ファイル共有を装ったメールを送信
  2. LovableのURLへ誘導
  3. 数学CAPTCHAを表示（フィルタリング回避）
  4. 偽のMicrosoft認証ページへリダイレクト
  5. 認証情報とMFAトークンを窃取

この事例で特に巧妙だったのは、標的組織のAzure Active DirectoryやOktaのブランドを正確に表示し、多要素認証（MFA）さえも突破する「中間者攻撃（AiTM）」手法を用いていた点です。

事例2：UPSを装った個人情報・クレジットカード情報窃取

2025年6月の調査では、配送業者UPSを装った巧妙な攻撃を発見しました。

被害の実態：

  • 約3,500件のフィッシングメールを送信
  • 個人情報とクレジットカード情報を窃取
  • SMSコードまで収集（2段階認証突破）
  • 窃取した情報はTelegramチャンネルに送信

この事例で深刻だったのは、「ups-flow-harvester」というテンプレートが公開されており、誰でも簡単に同様の攻撃を複製できる状態になっていたことです。

事例3：暗号資産ウォレットを狙った攻撃

DeFiプラットフォームのAaveを装った攻撃では、約10,000件のメールが送信され、暗号資産ウォレットの接続を促して資産を窃取しようとする手口が確認されました。

企業・個人が今すぐ取るべき対策

これらの新たな脅威に対して、企業と個人がそれぞれ取るべき対策をご紹介します。

企業向け対策

1. セキュリティ教育の強化
従業員に対して、AIツールを悪用した新しいフィッシング手口について定期的な教育を実施しましょう。

2. URLフィルタリングの強化
lovable.appドメインなど、頻繁に悪用されるドメインに対する許可リストポリシーの実装を検討してください。

3. Webサイト脆弱性診断サービス 0の定期実施
自社のWebサイトが類似のフィッシングサイトに悪用されていないか定期的にチェックしましょう。

個人向け対策

1. アンチウイルスソフト 0の導入
最新のセキュリティ脅威に対応できる高品質なアンチウイルスソフト 0を導入することで、フィッシングサイトへのアクセスを事前にブロックできます。

2. VPN 0の活用
特に公共WiFiを利用する際は、VPN 0を使用することで通信の安全性を確保しましょう。

3. メールの送信者を慎重に確認
知らない送信者からのメールに含まれるリンクは、特に慎重に扱いましょう。

フォレンジックアナリストが見る今後の脅威動向

現在の調査データを分析すると、2025年2月以降、毎月数万件規模のLovable URLが脅威として検知されており、この傾向は今後も続くと予想されます。

特に懸念されるのは以下の点です：

  • 参入障壁の低下：技術知識がなくても高品質なフィッシングサイトを作成可能
  • 攻撃の高速化：従来数日かかっていた攻撃サイトの構築が数分で完了
  • 検知の困難さ：正規のAIツールを使用しているため、従来の検知手法では発見が困難

Lovableの対応とセキュリティ強化

Lovable社は、この問題を受けて2025年7月にAI駆動のセキュリティ保護を導入しました：

  • リアルタイムでの悪意あるウェブサイト作成の検知
  • 公開プロジェクトの自動毎日スキャン
  • 悪意あるユーザーの事前ブロック機能

しかし、フォレンジックアナリストとしては、これらの対策だけでは完全な防御は困難だと考えています。

まとめ：新時代のサイバー脅威への備え

AIウェブサイト生成ツールの悪用は、サイバーセキュリティ業界にとって新たな挑戦です。技術の進歩は常に両面性を持ち、便利なツールが悪意ある目的に使われる可能性があることを、今回の事例は明確に示しています。

企業・個人を問わず、従来の対策に加えて新しい脅威に対応した包括的なセキュリティ対策が必要です。特に、アンチウイルスソフト 0やVPN 0などの基本的なセキュリティツールの導入は、今や必須と言えるでしょう。

また、企業においてはWebサイト脆弱性診断サービス 0を定期的に実施し、自社ブランドの悪用を監視することも重要です。

サイバー脅威は日々進化していますが、適切な知識と対策を持つことで、リスクを大幅に軽減できます。常に最新の情報に注意を払い、必要に応じて専門家に相談することをお勧めします。

一次情報または関連リンク

元記事：ScanNetSecurity – AIウェブサイト生成ツール悪用に関するプルーフポイント調査

タイトルとURLをコピーしました