CrowdStrikeセキュリティレポート：生成AIがソーシャルエンジニアリング攻撃を強化

CrowdStrikeの2025年版グローバル脅威レポートによると、2024年にはフィッシングは以前ほど一般的ではなくなりました。脅威アクターは、ボイスフィッシング（ビッシング）、コールバックフィッシング、ヘルプデスクへのソーシャルエンジニアリング攻撃といったソーシャルエンジニアリングの手法を用いて正規のアカウントにアクセスする傾向にあります。

サイバーセキュリティ技術のCrowdStrikeが「進取的な敵対者」と呼ぶ時代の真っ只中にあります。サービスとしてのマルウェアや犯罪エコシステムが、かつての単独の脅威アクターのイメージに取って代わりつつあります。攻撃者は、かつてはマルウェアを選んでいたような場所で、正規のリモート管理・監視ツールを利用するようになっています。

脅威アクターは生成AIを悪用する

脅威アクターは、フィッシングメールの作成やその他のソーシャルエンジニアリング攻撃を実行するために生成AIを利用しています。CrowdStrikeは、脅威アクターが生成AIを以下の目的で使用していることを発見しました。

• 北朝鮮が行っているような採用活動において、架空の LinkedIn プロフィールを作成します。
• ディープフェイクのビデオや音声のクローンを作成し、詐欺を働きます。
• ソーシャルメディアで偽情報を拡散する。
• スパムメールキャンペーンを作成します。
• コードとシェル コマンドを記述します。
• エクスプロイトを書きます。

一部の脅威アクターは、LLM 自体、特に Amazon Bedrock でホストされているモデルへのアクセスを取得しようとしました。

クラウドストライクは中国と北朝鮮に関連する国家主体を強調した

中国は依然として要注意の国家であり、2025年には中国と関連のある新たなグループが出現し、サイバースパイ活動は150%増加すると予想されています。金融サービス、メディア、製造業、エンジニアリングといった標的型攻撃の標的となる業界では、最大300%の増加が見られました。CrowdStrikeによると、中国の攻撃者は2023年と比較して2024年に攻撃のテンポを速めると予想されています。

北朝鮮の脅威アクターは、資金集めを目的としたIT労働者詐欺など、注目を集める活動を実行しました。

脅威アクターは、正当な行動のように見える侵入ポイントを好む

CrowdStrike によれば、攻撃の 79% にはマルウェアは必要なく、代わりに、個人情報やアクセスを盗む攻撃では、正当なアカウントを使用して標的を侵害するとのこと。

2024 年に攻撃者がクラウド侵入を開始するための主な手段は有効なアカウントでした。実際、今年上半期のクラウド インシデントの 35% は有効なアカウントが最初の攻撃ベクトルでした。

インタラクティブ侵入とは、攻撃者がユーザーを模倣したり、ソーシャルエンジニアリングを駆使して、正当なキーボード入力を装う攻撃手法であり、増加傾向にあります。攻撃者は、ITヘルプデスクのスタッフを装ったり（多くの場合、Microsoftを装います）、偽の料金や延滞金を要求したりするなど、電話を介したソーシャルエンジニアリングによって正規ユーザーを騙す可能性があります。

CrowdStrike は、ヘルプデスクのソーシャル エンジニアリングを防ぐために次のことを推奨しています。

• セルフサービス パスワード リセットを要求するために電話をかける従業員に対して、政府発行の ID によるビデオ認証を要求します。
• ヘルプデスクの従業員に対して、営業時間外にパスワードや MFA のリセット要求の電話を受ける際や、短期間に大量の要求を受けた場合には注意するようトレーニングします。
• アカウントの侵害を防ぐために、FIDO2 などの非プッシュベースの認証要素を使用します。
• 複数のユーザーが MFA に同じデバイスまたは電話番号を登録していないか監視します。

参照: 2024 年 12 月に CrowdStrike が調査したセキュリティ研究者および実務者のうち、生成 AI を積極的に使用していたのはわずか 6% でした。

情報漏洩は諸刃の剣となる可能性がある。一部の攻撃者は「公開されている脆弱性研究（開示情報、技術ブログ、概念実証（POC）エクスプロイトなど）を研究し、悪意のある活動に役立てている」とCrowdStrikeは記している。

昨年は、ランサムウェア作成者やその他の脅威アクターに侵害されたアクセスを販売することに特化したアクセスブローカーが増加しました。広告されたアクセス数は2023年と比較して約50%増加しました。

組織を安全に保つためのヒント

CrowdStrike は、組織は次のことを実行する必要があると述べています。

• アイデンティティ システム全体がフィッシング耐性のある MFA ソリューションでカバーされていることを確認してください。
• クラウドはコア インフラストラクチャであることを忘れず、そのように保護してください。
• 最新の検出および対応戦略を展開します。
• 重要なシステムを定期的にパッチ適用またはアップグレードします。

こちらもご覧ください

• CrowdStrike vs Splunk：あなたに最適なSIEMソリューションはどちらですか？
• 15億ドル規模のBybitハッキングは史上最大の仮想通貨強盗になる可能性
• 2024年の世界サイバー攻撃の94%はデータ窃盗が原因、ランサムウェア対策は「ますます複雑化」
• サイバーセキュリティ：さらに読むべき記事