The Hacker Newsは2026年10月27日(現地時間)、「AI-Generated Fake Login Pages Are Making Account Takeovers Easier」において、企業アカウントを狙うフィッシング攻撃の脅威が高まっているとして注意を喚起した。

これは生成AIが作り出す説得力のある偽ログインページや、多要素認証(MFA: Multi-Factor Authentication)を突破する攻撃手法への対策強化を促す内容だ。認証済みのセッション情報を窃取する手口も拡大しており、従来のセキュリティ対策だけでは防ぎきれないケースがあるとしている。

生成AIで偽ログイン画面が巧妙化、攻撃の規模も拡大

認証情報を狙う攻撃の基本的な手法は、AI登場以前から大きく変わっていない。被害者を正規サイトに似せたログインページに誘導し、ユーザー名やパスワードを盗み取るというものだ。ただし、生成AIの登場によって偽サイトの品質が向上し、大量に作成することも容易になった。

従来のフィッシングサイトには、翻訳ミスや不自然な文法、解像度の低い企業ロゴなど、偽物と見抜く手掛かりが存在した。しかし、生成AIを利用すれば、自然な文章に加え、正規サイトに似せた画面構成や入力フォーム、認証時の案内なども作成しやすくなる。

攻撃者は企業のブランド表示や認証手順を模倣した偽のIT通知を送り、従業員を不正なログインページへ誘導する。誘導先には、正規URLと綴りがわずかに異なるドメインやUnicode文字を悪用した偽ドメインなどが利用される。精巧な画面と標的に合わせたメッセージが組み合わさることで、攻撃を見抜くことが一段と難しくなる。

Verizonが公開した「2026 Data Breach Investigations Report」によると、AIを利用した初期侵入手法の分析では、フィッシングが44%と最も多く、脆弱性の悪用が32%、認証情報の悪用が21%と続いた。攻撃者がAIを既存の攻撃手法に活用している実態がうかがえる。

MFAでも防げない？ セッション情報を盗む攻撃手法

偽ログインページが盗む情報は、ユーザー名とパスワードに限らない。複数段階の認証手順を模倣し、多要素認証に用いるコードを収集する手口もある。攻撃者はコードの有効期限が切れる前に利用し、企業アカウントやアプリケーションへの不正アクセスを試みる。

より高度な攻撃では、中間者攻撃(MITM: Man-in-the-middle attack)と呼ばれる手法が使われる。攻撃者が用意した不正サーバを、ユーザーと正規サービスの間に介在させ、認証要求をリアルタイムで中継する仕組みだ。ユーザーが正規サービスの認証を完了すると、攻撃者はセッションCookieや認証トークンを取得し、不正アクセスに利用する可能性がある。

セッション情報を奪われると、攻撃者はパスワード入力や追加のMFA認証を経ずに、認証済みアカウントへアクセスできる場合がある。安全な認証手順を採用したとしても、認証後のセッションが盗まれるとアカウントの乗っ取りを許すことになる。

偽ログイン画面による被害を防ぐための対策

企業は、認証方式の強化、偽サイトの検知、不正アクセスの監視、アカウント侵害時の被害抑制を組み合わせることで、認証情報の窃取リスクを低減できる。

まず、フィッシング耐性を備えた多要素認証やパスキーを導入する。FIDO2セキュリティキーやパスキーは、正規のWebサイトのドメインと結び付いた暗号技術を用いるため、偽サイトを用いた攻撃への耐性を高められる。

Webブラウザ上のセキュリティ対策も有効だ。類似ドメイン、ブランドのなりすまし、不審なURLの特徴を検知するツールを導入し、認証情報を入力する前に警告を表示する。AIを活用した検知技術も、認証情報を盗むサイトの識別に役立つ。

さらに、ログイン履歴とセッションの挙動を継続的に監視する。通常とは異なる場所からのサインイン、未知の端末、不審なセッション活動などを調べれば、アカウント侵害の兆候を早期に把握できる。最小権限の原則を徹底し、不要な管理者権限を削減することも被害の抑制につながる。必要なときだけ権限を付与する方式を採用すれば、高い権限が悪用される時間も短縮できる。

フィッシングが疑われる場合の対応手順も整備する必要がある。従業員による報告方法を明確にし、侵害されたセッションの無効化、パスワードの変更、不正アクセスの調査を速やかに実施できる体制を構築する。