「まさか17歳がAIを使ってここまでやるとは…」
2025年10月27日、千葉県警が発表した事件は、サイバーセキュリティ業界に衝撃を与えました。プログラミング経験ゼロの17歳少年が生成AIを使ってフィッシングサイトを作成し、総額1300万円以上を詐取していたのです。
現役CSIRTとして数々のサイバー攻撃の現場を見てきた私から見ても、この事件は従来のサイバー犯罪とは一線を画す深刻な問題です。なぜなら、これまで技術的なハードルが高かったサイバー攻撃が、生成AIによって誰でも実行可能になってしまったからです。
事件の全貌：17歳がAIで作った巧妙なフィッシング手口
今回逮捕された千葉県の17歳少年と大阪府の18歳少年による犯行手口は、非常に巧妙でした。
犯行の流れ
- SNS「X」で被害者を勧誘
「アイドルのコンサート同行者募集」という違和感のない投稿で接触 - 電子マネー送金を口実に誘導
「チケット代の送金ミス防止のため、1円を電子マネーで送るので受け取って」という合理的な理由を提示 - フィッシングサイトで認証情報を窃取
電子マネー受け取り画面を装った偽サイトでID・パスワードを入力させる - 不正送金を実行
取得した認証情報でネットバンキングにアクセスし、共犯者の口座に送金
特に恐ろしいのは、プログラミング未経験の17歳が「海外の生成AI」を使ってフィッシングサイトを作成したという点です。これまでWebサイト制作には専門知識が必要でしたが、生成AIの登場によってその障壁が一気に取り払われました。
過去事例から見える未成年サイバー犯罪の組織化
実は、未成年によるサイバー犯罪の組織化は今に始まったことではありません。フォレンジック調査を行ってきた経験から、近年の傾向をお話しします。
楽天モバイル不正契約事件（2024年）
長野県松本市の16歳高校生が約2000件の他人ID・パスワードを収集・提供し、別の17歳らがこれらの情報で約100回線を不正契約して転売。100万円超の利益を得ていました。
この事件で注目すべきは、「荒らし共栄圏」と称するグループの存在です。単なる愉快犯ではなく、明確な利得を目的とした組織的犯行でした。
共通する特徴
- 低年齢化と役割分担：収集役・実行役・受け皿口座（受け子）の分業体制
- 匿名性の活用：SNSやメッセージアプリで実名・実在関係を隠したまま連携
- 技術的ハードルの低下：生成AIによりプログラミング未経験でも犯行が可能
- ソーシャルエンジニアリングの巧妙化：日常的なやりとりに見せかけた誘導
生成AIがもたらした新たな脅威の実態
CSIRTでの経験から言えることは、生成AIの普及により、これまで以下のような変化が起きていることです。
技術的障壁の完全な撤廃
従来、フィッシングサイトの作成には以下の知識が必要でした：
- HTML/CSSの基礎知識
- サーバー設定とドメイン取得
- SSL証明書の設定
- データベース構築（情報収集用）
しかし生成AIの登場により、これらすべてを「コンサートチケット購入ページみたいなサイトを作って」という自然言語での指示だけで作成できるようになってしまいました。
攻撃の質と量の向上
生成AIは単にサイト作成だけでなく、以下の面でも犯罪を「効率化」しています：
- 自然な日本語での誘導文作成
- 複数のバリエーションサイトの大量生成
- 攻撃対象に応じたカスタマイズ
- 自動応答システムの構築
個人が今すぐ実践すべき6つの対策
これらの新しい脅威に対して、個人レベルでできる対策をお伝えします。
1. パスワード管理の徹底
「パスワードの使い回しは絶対NG」これは基本中の基本ですが、生成AIで作られたフィッシングサイトが見分けにくくなった今、より重要度が増しています。アンチウイルスソフト
を導入し、サイトごとに異なる複雑なパスワードを自動生成・管理することをおすすめします。
2. 多要素認証（MFA）の必須化
パスワードが漏洩しても、多要素認証があれば被害を防げます。特に以下の優先順位で設定してください：
- 認証アプリ（Google Authenticator、Microsoft Authenticatorなど）
- 物理キー（FIDO2対応のセキュリティキー）
- SMS認証（SIMスワップ攻撃のリスクがあるため最後の選択肢）
3. URL確認の習慣化
電子マネー受け取りや支払い確認などの名目で送られてくるリンクは、必ずURLを確認してください。公式アプリから自分でアクセスし直すのが最も安全です。
4. “少額取引での安全確認”を疑う
「1円送金で動作確認」「10円で手数料確認」など、少額だから安全という考えは危険です。認証フローに乗せられると、そのまま本口座の操作に結び付けられます。
5. リアルタイム監視の活用
ログイン通知・取引通知を必ずONにし、見覚えのない通知が来たら即座に以下を実行してください：
- パスワード変更
- 多要素認証の再設定
- 金融機関・サービス提供者への連絡
6. SNS勧誘への警戒心強化
「今だけ限定」「同行者募集」「先着〇名」などの緊急性を演出する誘導は典型的な餌です。特にDMでの勧誘は原則として無視することをおすすめします。
企業・組織が講ずべき対策
個人だけでなく、企業や組織レベルでの対策も重要です。
従業員教育の強化
生成AIを使ったフィッシング攻撃は従来よりも巧妙で見分けが困難です。定期的なセキュリティ研修で最新の攻撃手法を共有し、疑似攻撃による訓練も実施しましょう。
技術的対策の導入
- メールセキュリティ強化：アンチウイルスソフト
でフィッシングメール検知率を向上 - ネットワーク監視：不審な通信の早期検知
- 脆弱性管理：Webサイト脆弱性診断サービス
で定期的な脆弱性診断を実施
- リモートワーク対策：VPN
で通信経路の暗号化
インシデント対応体制の整備
フィッシング被害を完全に防ぐことは困難です。被害発生時の対応体制を事前に整備し、被害の拡大を最小限に抑える準備をしておくことが重要です。
今後予想される脅威の進化
CSIRT活動を通じて見えてきた、今後予想される脅威の進化についてお話しします。
AI vs AI の時代到来
攻撃者が生成AIを使うなら、防御側も生成AIを活用する必要があります。リアルタイムでフィッシングサイトを検知・分析し、ブロックする技術の開発が急務です。
ディープフェイクを使った攻撃
音声や動画のディープフェイク技術を使った、より巧妙なソーシャルエンジニアリング攻撃が予想されます。「CEO詐欺」なども、より精巧になるでしょう。
攻撃の完全自動化
現在は人間が関与している部分も、将来的にはAIによる完全自動化が進む可能性があります。標的選定から攻撃実行、資金洗浄まで、すべてが自動化される恐れがあります。
まとめ：今こそサイバーセキュリティ意識の大転換を
17歳がプログラミング未経験でありながら1300万円を詐取できてしまった今回の事件は、私たちに重要な教訓を与えています。
「技術的な知識がない人でも、簡単にサイバー攻撃ができる時代になった」
これまでのセキュリティ対策は「攻撃者は技術的な専門知識を持っている」という前提で設計されていました。しかし、生成AIの普及により、この前提が完全に崩れました。
今後は「誰でも攻撃者になり得る」という認識のもと、より包括的で多層的な防御策が必要です。
個人レベルでは、まずアンチウイルスソフト
の導入から始めてください。パスワード管理の自動化は、最も効果的で確実な防御策の一つです。
そして企業レベルでは、Webサイト脆弱性診断サービス
で定期的な脆弱性診断を実施し、従業員が外出先やリモートワーク時に安全にアクセスできるようVPN
の導入も検討してください。
サイバーセキュリティは「やらなければならない面倒なもの」ではなく、「デジタル社会で生きていくために必要不可欠なライフスキル」です。この事件を機に、ぜひセキュリティ対策の見直しを行ってください。
