ChatGPT等を騙る詐欺急増、MSが攻撃手法を公開

Microsoftは、ChatGPTやClaude、DeepSeekなどの有名AIブランドの名前を騙ったフィッシング攻撃や不正広告（マルバタイジング：不正なWeb広告を介してウイルスなどの悪意あるプログラムを配布する手法）の急増を警告し、その具体的な手口の分析結果を公開しました。攻撃者はAIに対する社会的な関心の高さを利用し、ユーザーを騙すソーシャルエンジニアリングの素材としてAIブランドを悪用しています。

Microsoftの分析によると、複数の具体的な手口が確認されています。

ChatGPTを騙るフィッシングメールでは、支払い方法の更新を求めてユーザーを偽サイトへ誘導し、クレジットカード情報を盗み取ります。南アフリカで4,500通が検出されたほか、1日に最大10万通が送信されたキャンペーンも確認されました。また、Claudeを騙る事例では利用規約違反への異議申し立てを名目とし、偽のPDFから Cloudflare の認証を装った画面を経て、最終的にMicrosoftのサインイン画面を模した偽ページで中間者（AiTM：通信の間に割り込んで情報を盗むサイバー攻撃）攻撃を行い、認証トークンを窃取したと見られています。

無料動画サイトなどの広告をクリックしたユーザーを偽のダウンロードページへ誘導し、プログラムなどを保管するリポジトリであるGitHubから情報窃取マルウェアをダウンロードさせる不正広告攻撃も確認され、6万6,000台以上のデバイスが標的となりました。さらに、DeepSeekの新型モデル発表に便乗し、公式公開前に偽のリポジトリを作成してマルウェアを配布する手口も発生しています。

Microsoftは、これらはAIブランド名が悪用された事例であり、各AIサービスプロバイダー自体が侵害されたわけではないと強調しています。しかし、AIに対する関心が高まり続ける中、今後も同様の手口が増加すると予想されます。

編集部注：AIサービスを利用する際は、表示されるドメインやリンク先が公式サイトのものであるか細心の注意を払う必要があります。組織においては、MFA（多要素認証：複数の方法を組み合わせる認証の仕組み）やフィッシング耐性のある認証の導入、不審なメールを自動隔離する機能の有効化など、検出と対応の強化が急務です。