AI エージェントによるビジネス・メール侵害：Barracuda が PoC を提供

Barracuda Networks Shows How AI Agents Can Compromise Business Email

2026/08/04 SecurityBoulevard —Barracuda Networks が公表したのは、Microsoft Copilot 形式の人工知能 (AI) アシスタントを介して、メール・システムを侵害する PoC である。これは、機密性の高い情報へのアクセスを可能にするだけでなく、不審に思われることなくメッセージを作成し、別の標的へ送信することも可能にするものである。

Barracuda Networks の Director of AI and Automation for the Office である Merium Khalid は、かつては相応の専門知識を必要としたメール・システムへのサイバー攻撃が、いまでは容易に実行可能になったと述べている。

たとえば、脅威アクターはプロンプトを使用して組織構造を把握し、価値のあるピボットとなり得る情報を含む進行中の会話を把握できる。さらに、サインイン通知をすべて Deleted Items フォルダへ転送する受信トレイ・ルールを作成し、異常なサインインに関する通知がエンドユーザーに届かないようにすることも可能だ。

それにより、従業員から CEO に対して、承認を求める請求書へのリンクを含むメールを送信することが可能になる。承認されると、AI エージェントは CEO のコミュニケーション・スタイルを模倣し、財務部門へメールを転送する。このメッセージは CEO の実際のメール・ボックスから送信され、既存の認証チェックをすべて通過し、実際に進行中の取引に言及し、CEO の通常の口調と一致している。

そのため、従来型のメール・セキュリティ・プラットフォームが検知できる要素はない。この PoC では、CEO のメール・ボックスに転送ルールを追加し、銀行口座変更を確認する財務チームからの返信が検出されないようにしている。

最後に、攻撃者は Copilot を使用して、この詐欺に関連するメッセージを迅速に特定し、手動レビューが完了する前に削除する。

Barracuda Networks が作成したメール攻撃を再現する PoC について、同社の Khalid は、メール・システムに組み込まれた AI ツールを悪用する類似の攻撃が存在する可能性があると述べている。この種の攻撃が、いまでは瞬時に実行され得ることに注目する必要がある。そのため、組織にとって重要なのは、メール・ワークフロー内で何らかの緊急停止スイッチを発動できる仕組みを用意することであると、同氏は付け加えている。

同時に、組織にとって必要なのは、エンドユーザーがこの種の攻撃を適切に認識できるよう訓練するとともに、あらゆる種類の異常なアクティビティを示すメッセージを継続的に監視することであると、Khalid は指摘している。

AI ツールやエージェント自体が、すでに乗っ取られているわけではない。しかし、AI の時代に同様のビジネス・メール侵害が発生する可能性は高い。Khalid は、AI アシスタントが実質的に知識のある内部者として機能し、攻撃者による機密性の高い情報の特定、組織内の関係性の把握、特権ユーザーの標的化、不正な取引の実行を効率的に支援すると指摘している。

AI エージェントによって容易に侵害されない、代替的なワークフロー管理の方法が見つかることが理想である。そうでなければ、置き換えが困難な既存ワークフローに対して、AI エージェントを安全に組み込む方法を見つけることが、いまの課題である。しかし残念ながら、組織が既存のメール・セキュリティへの取り組みを見直す前に、避けるべきことについて、厳しい教訓を得る可能性が高い。

訳者後書：Microsoft Copilot などの AI アシスタントが社内システムに組み込まれたことで、知識のある内部者のように悪用されるリスクが高まっています。この背景には、複雑な操作を対話形式で迅速に実行できる利便性が、裏目に出て攻撃者の作業効率を飛躍的に向上させてしまう点があります。これにより、不審な転送ルールの作成や文脈に沿った詐欺メールの発信が容易になり、従来のセキュリティ対策をすり抜けて財務被害などを引き起こす恐れがあります。被害を防ぐためにも、異常な挙動を抑え込む緊急停止メカニズムの整備や、ワークフロー全体での継続的なモニタリング体制の構築を推進することが大切です。