専門家も騙される恐怖のフィッシング攻撃が発生
2025年6月、イランのハッキンググループAPT42（別名Charming Kitten）が、まさに我々が恐れていた攻撃を実行しました。AIを使った高度なフィッシング攻撃で、イスラエルのサイバーセキュリティ専門家やジャーナリスト、大学教授らが次々と騙されたのです。
この攻撃の恐ろしさは、従来のフィッシングメールにありがちな「文法的におかしい日本語」や「不自然な英語」が一切ないことです。AIが生成した完璧な文章で、実在するセキュリティ企業の社員を装い、WhatsAppやメールでアプローチしてきます。
実際の被害者は数十人規模とされており、130以上の偽ドメインを使った大規模な作戦でした。しかも、この攻撃はイスラエルによるイラン空爆直後に開始されており、サイバー攻撃と物理的軍事行動が連動する「ハイブリッド戦争」の恐ろしい実例となっています。
2段階認証も突破する新手口
今回の攻撃で最も衝撃的だったのは、2段階認証（2FA）さえも突破されたことです。攻撃者は動的フィッシングキットと呼ばれる高度な技術を使用し、Googleの認証フローを完全に再現した偽サイトを作成しました。
被害者がログイン情報を入力すると、攻撃者はそれをリアルタイムで本物のGoogleサイトに転送し、2段階認証コードまで騙し取ります。これを「2FAリレー攻撃」と呼びますが、多くの人が「2段階認証があるから安全」と思い込んでいる盲点を突いた巧妙な手口です。
個人・中小企業への影響と実際の被害例
このような国家支援型ハッキンググループの攻撃は、決して遠い世界の話ではありません。実際に、日本でも以下のような被害が報告されています：
中小企業A社の事例
IT関連の中小企業で、社長宛てに「業界の最新動向を議論したい」という内容のメールが届きました。送信者は有名なセキュリティ企業の研究者を名乗っており、Google Meetでの面談を提案。社長がリンクをクリックしてログイン情報を入力したところ、会社のGoogleワークスペース全体が乗っ取られ、顧客データが流出しました。
フリーランスB氏の事例
サイバーセキュリティ関連の記事を執筆するライターのもとに、「記事の内容について専門的な意見を聞きたい」というWhatsAppメッセージが届きました。相手は実在する大学教授を名乗っており、面談用のリンクを送付。B氏がアクセスしたところ、パソコンがマルウェアに感染し、執筆中の機密資料が盗まれました。
個人C氏の事例
SNSで情報発信を行っている一般の方のもとに、「あなたの投稿に興味を持った研究者です」というメッセージが届きました。面談を装ったフィッシングサイトに誘導され、個人のGmailアカウントが乗っ取られ、家族や友人に偽のメールが大量送信されました。
今すぐできる対策と防御方法
このような高度な攻撃から身を守るには、技術的な対策だけでなく、判断プロセスの見直しが重要です。
基本的な防御策
信頼できるアンチウイルスソフト
の導入
最新のアンチウイルスソフトは、AIを使った攻撃の検知機能も向上しています。ゼロデイ攻撃や未知のマルウェアに対する防御力が、無料版とは段違いです。
安全なVPN
の使用
公衆Wi-Fiや不審なネットワーク経由での攻撃を防ぐため、信頼できるVPNサービスの利用は必須です。特に、機密情報を扱う場合は、通信の暗号化が攻撃を防ぐ最後の砦になります。
行動面での対策
- 急な面談提案には必ず確認を：知らない相手からの面談提案は、公式チャンネル（会社の代表電話など）で確認する
- URLは必ずチェック：Google Meetのリンクであっても、ドメインが「meet.google.com」以外なら偽物
- ログイン前に一呼吸：重要なアカウントにログインする前は、必ずURLバーを確認する習慣を
- 2段階認証コードの扱い注意：SMSで届いたコードは、自分が実際にログインしようとした時以外は絶対に入力しない
フォレンジック調査の現実
現役のCSIRT（Computer Security Incident Response Team）として多くの被害企業を支援してきた経験から言えば、このような攻撃を受けた後の調査は非常に困難です。
APT42のような国家支援型グループは、証拠隠滅の技術も高度で、攻撃の痕跡を綺麗に消去します。また、WebSocketを使ったリアルタイム通信により、従来のログ解析では攻撃の全容が見えないケースが増えています。
実際の調査では、被害に気づいた時点で既に重要なデータが流出済みというケースがほとんどです。だからこそ、事後対応より事前防御が圧倒的に重要なのです。
AIが変える脅威の新時代
今回のAPT42の攻撃は、サイバーセキュリティの転換点と言えるでしょう。従来の「怪しいメールを見分ける」という常識が通用しなくなりました。
Google脅威分析グループの報告によると、APT42の攻撃の60%がイスラエル・米国向けですが、日本も例外ではありません。特に、技術系の企業や研究機関、政府関係者は今後ターゲットになる可能性が高いでしょう。
個人レベルでも、SNSで専門的な情報を発信している方や、業界内で影響力のある方は要注意です。攻撃者は「価値のある情報を持つ人」を狙ってきます。
まとめ：小さな警戒が大きな防御に
専門家でさえ騙される時代だからこそ、一人ひとりの警戒意識が重要です。「自分は狙われない」という思い込みを捨て、日常の小さな疑問を大切にしてください。
「なぜこの人が私に連絡を？」「なぜ急に面談を？」「このリンク、本当に安全？」
こうした疑問を持つ習慣が、AIを使った高度な攻撃から身を守る最初の一歩となります。技術的な対策も重要ですが、人間の「気づき」こそが最強のセキュリティなのです。
一次情報または関連リンク
innovatopia.jp – APT42のAI生成フィッシング攻撃に関する詳細分析
