このブログはバラクーダネットワークスジャパン株式会社と株式会社テンダのコラボレーションによるものです。

「社長から至急の依頼です」
そんなメールが届いたとき、あなたは本当に見抜けるでしょうか。

かつてフィッシングメールは、不自然な日本語や怪しい送信元アドレスが特徴でした。
少し注意して見れば、「何かおかしい」と気付けるケースも少なくありませんでした。

しかし、その常識は今、大きく変わりつつあります。
生成AIの登場によって、攻撃者は流暢な日本語で自然なビジネスメールを作成できるようになりました。
企業のWebサイトやSNS、プレスリリースから情報を収集し、役員名や組織構造、取引先との関係性まで
反映したメールを数秒で生成できます。

つまり、かつては一部の高度な攻撃者だけが行っていた標的型攻撃が、今や誰でも実行できる時代になったのです。
そして、その攻撃の入口として最も利用されているのが、30年以上にわたり企業活動を支えてきた「メール」です。

1. セキュリティ対策は進化した。それでもメールが狙われ続ける理由

多くの企業では、ファイアウォール、EDR、多要素認証などの対策を導入し、セキュリティへの投資を続けています。
それにもかかわらず、情報漏洩や不正送金、アカウント乗っ取りといったインシデントは後を絶ちません。

理由はシンプルです。
攻撃者は最も成功率が高く、最も低コストな侵入口を狙うからです。
技術的な脆弱性を探してシステムへ侵入するよりも、人間を騙して自ら扉を開かせるほうが圧倒的に効率が良いのです。
実際、世界的な調査でもソーシャルエンジニアリングを伴う攻撃の多くはメールから始まっています。
攻撃者が狙っているのはシステムではなく、人です。

2. 日本企業で増加するビジネスメール詐欺（BEC）

近年、日本国内でもビジネスメール詐欺（BEC）の被害が増加しています。
BECとは、経営層や取引先になりすまして担当者を騙し、不正送金や機密情報の窃取を狙う攻撃です。
この攻撃が厄介なのは、必ずしもマルウェアや不審なURLを使用しないことです。

例えば、
• 社長になりすまして送金を依頼する
• 取引先になりすまして請求口座の変更を通知する
• 人事部門になりすまして機密情報の提出を求める

こうしたメールは技術的には「普通のメール」です。
そのため、従来型のスパムフィルターやアンチウイルス製品では検知が難しいケースがあります。
攻撃者はシステムではなく、人間同士の信頼関係を悪用しているのです。

3. 偽社長メールはさらに進化している

以前の偽社長メールは、どこか不自然でした。
日本語がおかしい。 敬語が不自然。 送信元アドレスが怪しい。
こうした違和感が最後の防波堤になっていました。

しかし生成AIによってその防波堤は崩れつつあります。
攻撃者は企業ホームページやFacebook、SNSなどから情報を収集し、役員の話し方や文体まで再現します。
さらに最近では、メールだけで終わりません。

最初はメールで接触し、その後LINEやチャットアプリへ誘導して会話を継続する手口も確認されています。
メールはもはや「攻撃そのもの」ではありません。
メールは攻撃を始めるための入口になっているのです。

4. 生成AIが攻撃者にもたらした“コスト革命”

生成AIは企業の生産性向上に貢献する一方で、攻撃者にも大きな武器を与えました。
以前は日本語の標的型メールを大量に作成するには、言語スキルと時間が必要でした。

しかし現在では、
「製造業の経理担当者向けに、日本企業の社長になりすました緊急送金依頼メールを作成してほしい」
とAIへ指示するだけで、極めて自然なメールが瞬時に生成されます。

結果として、
• 攻撃コストは下がる
• 攻撃件数は増える
• 攻撃品質は向上する
という状況が生まれています。
これまで大企業だけが標的だった高度な攻撃が、中堅・中小企業にも向けられるようになった理由の一つがここにあります。

5. 「人が気を付ける」だけでは限界がある

もちろん、セキュリティ教育は重要です。
しかし、人間が常に正しい判断を下せるわけではありません。
攻撃メールには共通点があります。

• 至急対応をお願いします
• 本日中に処理が必要です
• この案件は機密扱いです

こうした言葉は、相手に考える時間を与えないために使われています。
忙しい業務の中で何百通ものメールを処理する担当者が、毎回完璧に見抜くことは現実的ではありません。
だからこそ今求められているのは、「人間の注意力に頼るセキュリティから、人間を支援するセキュリティへの転換」です。

6. メールセキュリティは「ゲートウェイ型」＋「API型」の時代へ

長年、メールセキュリティの主役はセキュアメールゲートウェイ（SEG）でした。
メールを受信する前にチェックし、スパムやマルウェアをブロックする仕組みです。
現在でも重要な防御層ですが、クラウドメールが主流となった今、それだけでは十分とは言えません。

そこで注目されているのが、Microsoft 365やGoogle WorkspaceとAPIで直接連携する方式です。
API型のソリューションでは、
• 配信済みメールの再検査
• 内部メールの監視
• アカウント乗っ取りの兆候検知
• 検知後のメール自動削除
などが可能になります。

ゲートウェイが「入口の門番」なら、API型は「建物の中を巡回する警備員」です。
どちらか一方ではなく、両方を組み合わせることで防御力は大きく向上します。

7. AIはメールの“内容”ではなく“異常”を見る

最新のメールセキュリティが注目するのは、メール本文だけではありません。
重要なのは、そのコミュニケーションが普段と違うかどうかです。

例えば、
• 普段やり取りのない相手から突然届いた依頼
• 深夜に海外から送信された役員メール
• いつもと異なる文体や表現
• これまで存在しなかった請求依頼

こうした違和感をAIが学習し、異常として検知します。
添付ファイルもリンクもないBEC攻撃を発見するには、この行動分析が不可欠になっています。

8. なぜ今、可視化が重要なのか

セキュリティ担当者にとって難しいのは、「守られていること」を証明することです。
攻撃が止められればニュースにはなりません。
しかし経営層は投資対効果を知りたいと考えています。

そのため近年では、
• 誰が最も狙われているのか
• どのような攻撃が増えているのか
• なぜ危険と判断したのか

をダッシュボードで可視化し、リスクを説明できることが重要視されています。
特にAIがどのような理由で脅威と判断したのかを説明できる「説明可能性」は、今後ますます重要になるでしょう。

9. Microsoft 365だけで十分なのか

Microsoft 365を利用している企業から、
「Microsoft Defenderがあるのでメールセキュリティは大丈夫では？」
という声を聞くことがあります。

Defenderは非常に優れたソリューションですが、すべての攻撃を防げるわけではありません。
特にBECやなりすまし攻撃、内部メールを悪用した攻撃などは、多層的な対策が求められます。
重要なのは製品の優劣ではなく、一つの仕組みに依存しないことです。
メールにおいても、多層防御の考え方は変わりません。

10. なぜ今、可視化が重要なのか

メールは今も企業活動の中心にあります。
だからこそ攻撃者もメールを使い続けます。
そして生成AIによって、その攻撃はより自然に、より大量に、より低コストで実行できるようになりました。
もはや、「見れば分かる」 「社員教育で防げる」 「Microsoft 365を使っているから安心」と言い切れる時代ではありません。

重要なのは、攻撃を完全になくすことではなく、
• 早く見つける
• 素早く封じ込める
• 被害を最小化する
という考え方です。

そのためには、ゲートウェイによる入口対策だけでなく、API連携による継続監視や
AIによる行動分析を組み合わせた多層防御が不可欠になっています。

攻撃者は今日も、本物そっくりのメールを送り続けています。
そのメールを「誰かが気付くだろう」に任せるのか、それとも技術の力で守るのか。
今こそ、自社のメールセキュリティを見直すタイミングなのかもしれません。

Barracuda Networks社は記事の中でご紹介したAPI型、ゲートウェイ型どちらの製品も
持ち合わせておりますので、是非ご興味ございましたらお問い合わせください。

関連URL

・バックアップとアーカイブ（Barracuda）
 https://mssp.tenda.co.jp/office365/barracuda/
・「Microsoft 365」の記事一覧 https://mssp.tenda.co.jp/blog/office365