AIで1人ずつ違う偽メールを作ると、クリックされる割合が約3倍に。7,700人の大学職員での実験で分かった、ネットに出ている情報の怖さと守り方

・ドイツのベルリン工科大学などの研究者が、AIで1人ずつに合わせた偽メール（フィッシングメール）の効果を、大学の職員約7,700人で確かめた研究を発表した。米国のセキュリティの学会「USENIX Security」の論文

・全員に同じ文面を送る偽メールのクリックの割合は3.9％だったが、AIが1人ずつ合わせて作った偽メールは10.0％で、約3倍（2.74倍）になった

・1通あたりの費用は約0.03ドル。研究者は、メールアドレスとつながってネットに出ている情報を減らすことや、こうした偽メールを社内の訓練に入れることを勧めている

ベルリン工科大学などの研究者は、AIで作る「1人ずつに合わせた偽メール」が、どれくらいだまされやすいかを、大規模な実験で確かめました。

偽メールの中でも、相手の名前や仕事に合わせて文面を作り込む「スピアフィッシング」は、だまされやすい一方、作るのに手間がかかるため、狙いをしぼって使われてきました。AIを使えば、その手間がほとんどかからなくなります。今回の研究は、その怖さを数字で示したものです。

この記事では、論文で分かったことを整理したうえで、ふだんの仕事がどう変わるのかを考えます。

大学の訓練の中で、7,700人に確かめた

まずは、実験のあらましです。

論文によると、実験は大学の偽メールへの備えの訓練の一部として、大学のデータ保護の担当、セキュリティのチーム、事務の部門と相談しながら行われました。

1人ずつ合わせると、クリックが約3倍に

次に、結果です。

・AIが1人ずつ合わせた偽メールは、全員に同じ文面のものより、クリックの割合が2.74倍になった。同じ文面を人が書いても、AIが書いても、この差は変わらなかった

・1通あたりの費用は約0.03ドル。ネットに情報があった3,310人全員に送っても、150ドルほどで済む計算だとしている

・ネットに出ている情報が少ない〜中くらいの人のほうが、クリックの割合が高かった

・研究者が、大学の迷惑メールの仕組みに同じ偽メールを試したところ、怪しいと判定されたのは3,949通のうち1通だけだった

研究者が勧める守り方

ここで、研究者が勧めていることを見ておきます。

・メールアドレスとつながって、ネットに公開されている情報を減らす

・1人ずつ合わせた偽メールを、社内の訓練に入れる

・偽メールは人の書いた文章にとても近いので、迷惑メールの仕組みだけで見分けるのは難しい

仕事はどう変わるか：「怪しい日本語」で偽メールを見分ける時代が終わる

ここからは、論文の結果をもとにした僕の見方です。

今回の研究で変わるのは、偽メールの「見分け方」だと考えています。

これまで、偽メールは「日本語がおかしい」「自分と関係のない内容」で見分けられることが多くありました。AIで1人ずつ合わせた偽メールは、自分の仕事や所属に合わせた自然な文面で届きます。しかも費用はほとんどかかりません。文面の自然さで見分けるのではなく、「メールのリンクからパスワードを入れない」「お金や情報を求めるメールは、別の方法で相手に確かめる」といった、行動の決まりで守る必要があります。

同じ週には、AIで自動化したサイバー攻撃をMicrosoftが警告しています。攻める側のAIの使い方が、急に広がっています。

自分のサイトやSNSにメールアドレスを載せている個人事業主にとっても、取引先を名乗るメールで支払い先の変更やログインを求められたら、メール以外の方法で相手に確かめる習慣が、いちばんの守りになります。

あわせて、知っておきたいこともあります。

・実験は、大学の訓練の一部として、関係する部門と相談して行われたもの

・迷惑メールの仕組みは、AIの偽メールをほとんど止められなかった。仕組みだけに頼らない

・ネットに載せる連絡先は、問い合わせのフォームにするなど、メールアドレスそのものを出さない工夫も考えられる

まとめ：AIで1人ずつ作った偽メールは、クリックが約3倍。見分けるより、確かめる決まりで守る

ベルリン工科大学などの研究では、AIで1人ずつ合わせた偽メールのクリックの割合が10.0％と、全員に同じ文面の3.9％の約3倍になりました。費用は1通0.03ドルほどで、迷惑メールの仕組みもほとんど止められませんでした。

偽メールが、だれにでも安く、自然な文面で届く時代になり、文面で見分けることが難しくなってきた、というのがいちばん大きな変化です。

まずは、メールのリンクからパスワードを入れない、お金や情報を求められたら別の方法で確かめる、という2つの決まりを、自分とまわりで決めておくのがよさそうです。

出典

・Czybik, S., Kouam, A. J., Heubl, P., Nold, J. M., Rieck, K.「A Large-Scale Study of Personalized Phishing using Large Language Models」（USENIX Security ’26） https://www.usenix.org/conference/usenixsecurity26/presentation/czybik

キラ

X

ブログ「Spesial Life」を運営しているキラと申します。 当ブログでは、たった一度の人生を豊かに彩るための情報を発信しています。 目まぐるしく変化する現代社会の中で、思うような人生を送ることができずに困っていることはありませんか？ 僕自身、大学卒業後、サラリーマンとして生きていくなかで、想像していた人生とはかけ離れた不満だらけの日々を送っていました。 それがある本と出会い、考え方と行動を変えることで、自分が望むような人生が手に入ることを知ったんです。 それ以来、自分自身の考え方と行動を変えることを実践して、人生を素晴らしいものへと変えている真っ最中です。 このブログでは僕自身の実体験を踏まえた人生を変える情報や考え方を発信しています。 あなたにとって素晴らしい人生が手に入るよう、一緒に行動していきましょう！