その「取引先からのメール」を、文章の正しさで信頼していませんか。
詐欺メールや標的型攻撃といえば、かつては「見ればわかるもの」でした。不自然な日本語、妙な敬語の使い方、文脈がちぐはぐな文面——そういった手がかりを頼りに、受信した側が判断できた時代があったのは確かです。
ところが、その判断基準が今、根本から崩れています。
生成AIの登場によって、攻撃者が作る文章の質が格段に上がりました。正確な日本語はもちろん、取引先の会社名や担当者名、直近のやり取りを踏まえたような文脈まで、自然に組み込んだメールが生成できるようになっています。受け取った側が「この書き方はうちとの関係をよくわかっている」と感じたとしても、それはAIが公開情報や流出データをもとに組み立てた文章である可能性があります。
標的型攻撃とは、不特定多数にばらまくフィッシングとは異なり、特定の組織や個人を狙って仕掛けてくる手口です。以前はある程度の手間とコストがかかる攻撃でしたが、生成AIによってその障壁が大きく下がりました。結果として、大企業だけでなく中小企業も、個人事業主も、対象になりうる状況になっています。
「うちは狙われない」という判断は、規模や知名度をもとにしたものだと思います。しかし攻撃者の視点は違います。取引情報・口座情報・従業員の連絡先、そういったデータが手に入るなら、会社の規模は関係ありません。むしろ、セキュリティ体制が手薄になりやすい中小企業は、狙いやすいターゲットとして見られることがあります。
文章の正確さが信頼の根拠にならなくなった今、必要なのは「まず疑う」という習慣と、それを組織として支える社内ルールです。個人の注意力だけに頼る仕組みは、一人が疲れたとき・急いでいるときに崩れます。どんな連絡が来たときにどう確認するか、という基準を社内で共有しておくことが、現実的な備えになります。
何から手をつければいいかわからない、社内ルールを整えたいがどう進めるかわからない——そういったご相談も承っています。まずはお気軽にお問い合わせください。