AIフィッシング詐欺｜不自然な日本語が消えた標的型攻撃の手口と自衛策

「怪しい日本語」のチェックが通用しなくなった現代のメール

これまで長年にわたり、情報セキュリティ研修では「怪しいメールを見抜くための基本」として、不自然な敬語の使い方や機械翻訳特有のぎこちない日本語、おかしなフォントの混在を指摘してきました。多くの人は「自分は注意深く読んでいるから、稚拙な詐欺メールに引っかかるはずがない」と自信を持っていました。

しかし、生成AIの急速な進化はこの常識を完全に覆しました。最新の文章生成AI（大規模言語モデル）は、大手企業の広報資料や公式通知と寸分違わぬ、極めて流暢で丁寧なビジネス日本語を一瞬で作成できます。文面の違和感だけに頼った防犯意識は、もはや通用しません。

ネットの公開情報を読み込み、個人に合わせた偽メッセージを自動で作る手口

AIがもたらした真の脅威は、単に文章が上手になったことだけではありません。「特定の相手を狙い撃ちにする標的型攻撃（スピアフィッシング）の大量自動化」が可能になった点にあります。

かつて特定の企業や個人を狙った詐欺メッセージを作成するには、攻撃者が手作業でSNSや業界ニュースを何日も調査する必要がありました。現在では、標的の役職、進行中のプロジェクト名、同僚の名前などをAIツールに読み込ませるだけで、数千人に対してそれぞれ文脈の異なる説得力抜群の偽メールを自動生成できるようになっています。

昔ながらの迷惑メール（一斉スパム）と人の心理を操る最新詐欺の対比

攻撃の手口の進化を理解するために、過去のスパムメールと現代のAIフィッシングの文脈を比較してみましょう。

• 昔ながらの一斉スパムメール：「お客様のアカウントが停止されました。直ちに以下のリンクから更新手続きを完了させてください。」（誰にでも当てはまる一般的な文言であり、無作為にばらまかれるため無視されやすい。）
• AIによる個別標的型フィッシング：「〇〇様、先日の〇〇展示会では貴重なお話をありがとうございました。ご相談いただいた〇〇プロジェクトの見積書を添付いたしますので、ご確認をお願い申し上げます。」（実在のイベントや業務内容を正確に引用し、警戒心を完全に解いて添付ファイルやリンクを開かせようとする。）

文面の美しさに惑わされず、背後の罠を見破る3つの防衛習慣

文面がどれほど礼儀正しく本物らしく見えても、攻撃者が利用する通信の仕組みや送信元の住所に残る痕跡をチェックすることで被害を確実に防ぐことができます。

• 送信元メールアドレスの所属先（ドメイン名）を末尾まで確認する：画面に表示される差出人名はいくらでも偽装できるため、アドレスの詳細を開き、公式サイトと文字が一字でも違っていないか（例：見慣れた「co.jp」ではなく怪しい海外の末尾になっていないか）を確認します。
• 案内されたWebサイトのアドレス（URL）の正しさを確かめる：メール内のボタンを直接タップせず、あらかじめブックマークしてある公式アプリや公式サイトからログインして手続きを行います。
• 急なお金の要求や口座変更は別の連絡手段で確認する：取引先や上司からの急な振込先変更の依頼が届いた場合は、メールに返信するのではなく、普段から知っている電話番号で直接口頭確認（別ルートでの確認＝アウトオブバンド検証）を取ります。

綺麗な文章だから安全だという思い込みを捨て、重要な手続きほどメールの外側にある確かな連絡手段で確認する姿勢こそが、AI時代の最も堅牢なセキュリティ盾となります。