ChatGPT などの AI ツールが BEC を助長：いちばん恐ろしい武器は言葉

AI tools like ChatGPT expected to fuel BEC attacks

2023/04/17 HelpNetSecurity — Armorblox の調査によると、過去１年間に観測された全ての BEC 攻撃のうちの 57%が、無防備な従業員に攻撃を仕掛けるための主要な攻撃ベクターとして、言葉に依存していたという。その他の注目すべき傾向は、ベンダーへの侵害と詐欺が、新たな攻撃ベクターとして台頭していることや、セキュリティ・チームが毎週 27時間もの時間を、グレーメールの処理に浪費していることだ。

攻撃対象は技術系企業

Armorblox のレポートは、58,000 以上の顧客テナントで収集されたデータに基づいている。同社は毎月 40億通以上のＥメールを分析し、80万件の脅威を阻止している。SMB は、ベンダー詐欺やサプライチェーンのＥメール攻撃に対して特に脆弱だ。ベンダー詐欺攻撃の半数以上が、技術系の企業をターゲットにしている (53％) 。

脅威アクターは依然として、ビジネス上の機密情報を盗み出すために、正規のビジネス・ワークフローに侵入している。最も侵害されたのはＥメール通知を含むビジネス・ワークフローで、2021年から大幅に増加した。攻撃の 52％は、ユーザーのログイン認証情報などの機密性の高いユーザー・データの侵害だ。

BEC 攻撃では、依然として言葉が主な攻撃ベクターとなっている

BEC 攻撃は進化し続けている。2022年にレガシーなセキュリティ・ソリューションを回避した BEC 攻撃の 77% は、依然として言葉が主要な攻撃ベクターとなっている。ビジネス・コミュニケーションにＥメールが広く使用される中で、アカウント侵害攻撃の半数が中小企業を標的としており (58％) 、持続的かつ一般的な脅威であることが証明されている。

BEC 攻撃の 20%はグレーメールや不要な勧誘を伴うものであり、受信トレイにあるグレーメールを手動で分類／削除するために、セキュリティ・チームが１人あたり週に 27時間を費やしていることが分かった。2022年の全攻撃のうち、56% がレガシー・セキュリティ・フィルタをバイパスいる。また、フィッシング攻撃は、前年の 63% に対して、70％に増加している。

2023年には、ユーザーのメールボックスに BEC が殺到すると予想される

さらに、給与／支払い／請求書詐欺などの金融詐欺攻撃は 2022年に 72%増加し、銀行の混乱が話題になる中で、2023年も増加し続けると予想されている。

2023年には、ChatGPT などのツールにより、組織のユーザーのメールボックスに届く BEC メールが大幅に増加すると予想される。ハイブリッドな働き方が増える中で、在宅勤務の従業員を狙うキャンペーンが増加する可能性がある。

Armorblox の CEO である DJ Sampath は、「58,000 以上の組織で構成される顧客ベースで分析した脅威に基づいて、重要なビジネス・ワークフローを標的とするＥメール攻撃の半数以上が、機密性の高いユーザー・データの流出を目的としていることが分かった。このような攻撃では、脅威アクターが正規のビジネス・コミュニケーションに侵入し、支払い請求に新しいルーティング番号を割り当てるなど、重要なビジネス情報を変更することがよくある」と述べている。

彼は、「これらの攻撃では、信頼できる SaaS アプリケーション／ベンダー／VIP などに成りすますために、主要な攻撃ベクターとして言葉が使用される。そのため、企業として必要になるのは、ディープラーニング・アルゴリズム／機械学習モデル／データサイエンス・アプローチ／自然言語ベースの技術などの幅広いセットを使用して、通信の内容とコンテキストを理解することだ。さらに、これらの標的型攻撃を阻止する最新の API ベースの保護ソリューションにおいて、ネイティブ／レガシーのセキュリティ層を強化する必要性が高まっている」と締め括っている。

セキュアなシステムの構築／運用を目指してきた人々の、心を折るような勢いでフィッシングと BEC が蔓延しています。そこに ChatGPT などの AI ツールが加わり、言葉の武器化というトレンドが進んでいきそうな気配です。ビジネスに携わる人々は、さまざまな経験則に基づいて、日々の作業をこなしています。言葉という武器は、そこに直撃するものなので、とても厄介です。よろしければ、ChatGPT で検索を、ご利用ください。