サイバーセキュリティにおける AI は「両刃の剣」である：専門家

ドゥニ・ヴィルヌーヴ氏は 15 年間サイバーセキュリティの分野で働いてきましたが、彼が遭遇した脅威が最近ほど個人的なものであると感じたことはほとんどありません。

同氏の勤務先であるテクノロジー企業キンドリル社の従業員らに、ログイン資格情報を詐欺師に引き渡すよう誘導する目的で、CEO マーティン・シュレーダー氏の偽ビデオが送信された。

ビルヌーブさんはまた、小さなエンジニアリング会社を経営する友人が、妻に自分の声に似たボイスメールを残して、自分が困っているので急いで保釈金を払ってほしいと偽り伝え、餌食にされたのを目撃している。

「『なんてことだ』と思いました。この人は私の良き友人なので、これは非常に衝撃的でした」と Kyndryl Canada のサイバーセキュリティとレジリエンス実践リーダーの Villeneuve 氏は振り返ります。

この攻撃は人工知能ベースのソフトウェアによって可能になりましたが、このソフトウェアは近年さらに手頃な価格で利用しやすく、さらに高度なものになりました。

しかし、サイバーセキュリティの脅威にもかかわらず、ビルヌーブ氏は、多くのテクノロジー業界と同様に、AI をすべて悪いものとして組み立てないよう注意している。

サイバー攻撃者との戦いにおいて、AI は害を及ぼすのと同じくらい役立つと彼らは考えています。

「それは両刃の剣だ」とビルヌーブは説明した。

AI が進歩するにつれて、企業の防御を突破するための、より大規模で革新的な方法が常に存在すると専門家は感じていますが、それらの防御もテクノロジーによって強化されています。

サイバーセキュリティ企業フォーティネット・カナダのエンジニアリング担当地域副社長、ピーター・スメトニー氏は「最終的には、AIは攻撃者よりも防御者にとってはるかに良いものだ」と語った。

彼の推論は、一部の企業が直面している膨大な数の攻撃と、それらに対処したり防御したりするために必要なリソースにあります。

EY Canada がカナダの 60 組織を対象に実施した 2023 年の調査では、5 社中 4 社が過去 1 年間に少なくとも 25 件のサイバーセキュリティ インシデントを経験していることがわかりました。インディゴ・ブック＆ミュージック、ロンドン・ドラッグ、ジャイアント・タイガーはいずれも、注目を集める事件の被害者となっている。

すべてのサイバー攻撃が成功するわけではないが、多くの企業が毎日何千件ものシステム侵入の試みを目撃しているとスメトニー氏は述べた。

AI により、それらの処理がより効率的になります。

「チームには 4 ～ 5 人しかいないかもしれないし、手動で処理できるアラートも限られていますが、これによりチームは集中でき、どれを優先すべきかがわかります」とスメトニー氏は言います。

AI がなければ、アナリストは各攻撃がインターネット プロトコル アドレスに関連付けられているかどうかを手動で確認する必要があります。インターネット プロトコル アドレスは、インターネットに接続されているすべてのデバイスに割り当てられる一意の識別子であり、攻撃の発信元を追跡するのに役立ちます。

アナリストは、アドレスの背後にある人物がすでに会社に知られているかどうか、またその攻撃の範囲も調査します。

AI を使用すると、アナリストは簡単な言語を使用してソフトウェアにクエリを実行し、攻撃者とその IP アドレスに関するあらゆる情報 (攻撃者がシステムに侵入できた場所や実行したアクションなど) を迅速にコンパイルして表示できるようになります。

「本当に、本当に多くの時間を節約し、正しい方向に導くことができるので、重要なことに集中できるようになります」とスメトニー氏は語った。

しかし、攻撃者も同じツールを武器に持っています。

IBMの世界的諜報機関X-Forceのチーフアーキテクト、ダスティン・ヘイウッド氏は、悪意のある者は誰でもAIを利用して、複数の侵害からのデータを収集し、標的のプロフィールをつなぎ合わせることができると述べた。

たとえば、誰かが子供向け商品をトイザらスやウォルマートで頻繁に買い物していることがデータからわかる場合、攻撃者には誰かが最近子供を産んだことがわかる可能性があります。

攻撃者は、不足している情報を埋めるために「豚の解体」として知られる手法に頼ることもあります。

「ボットに誰かと会話させ、生成 AI などを使って信頼関係を築き始めさせます」とヘイウッド氏は言う。 「彼らは彼らに親切で信頼されていると感じさせ、その後…情報を抽出し始めるでしょう。」

攻撃者が財務詳細、社会保険番号、またはアカウントにアクセスするのに十分な個人情報を入手すると、そのデータはクレジット カードの不正申請に使用されたり、他の犯罪者に販売されたりする可能性があります。

誰かがやっていないことを行ったり発言したりするクリップであるディープフェイクを作成するのに十分な素材がある場合、潜在的な被害は雪だるま式にさらに大きくなります。ヴィルヌーヴの友人が妻にメッセージを残していると思われる例は、この戦術の一例である。

小規模なターゲットの場合、AI が多くの面倒な作業を行うため、攻撃者は価値の高い被害者に注意を向けることができます。

「ボットオペレーターに一度に20人に話しかけさせることができる」とヘイウッド氏は言う。 「以前は、第三国で携帯電話を打ち続ける人々の農場でした。」

また、見るとすぐに、ダークウェブで販売されている個人データを含む誰かに関する情報を即座に引き出す拡張現実メガネを使用している人々や、個人情報を抽出する AI チャットボットの「脱獄」に取り組んでいる人々のことも聞いたという。入力しました。

攻撃の進化により、彼は AI が「ゲームを変えつつある」と確信しました。

「90年代には、Webサイトに侵入して改ざんを行っていたのは10代、子供、大学生だった」と同氏は語った。 「そして最近では、企業がコンピュータを暗号化するランサムウェアに移行しました。」

現在、焦点は誰かのアイデンティティを引き継ぐことに移っており、ヘイウッド氏によると、AIがさらに加速している「本当に大きなビジネス」だという。

カナダ詐欺防止センターは、同国が今年上半期に詐欺の被害者を数えると1万5941人を数え、これらの事件で2億8400万ドルが失われたと発表した。前年には4万1988人の犠牲者が発生し、5億6900万ドルが失われた。

ヘイウッド氏、スメトニー氏、ビルヌーブ氏は、攻撃者との戦いは無駄ではなく、企業も真剣に取り組んでいると感じている。

彼らの雇用主は、銀行や大手小売店などの企業向けに演習を実施し、自社が攻撃を受けた場合にどのような状況になるかをシミュレーションし、脅威に対処し、ソフトウェアの脆弱性を特定してパッチを適用するためのスタッフの準備を支援しています。

ヘイウッド氏は、サイバーセキュリティ侵害は企業に平均600万ドルの損害を与え、その結果、株価の低迷、売上の減少、顧客との関係の崩壊を招く可能性があるため、企業に行動を起こさせるのは難しいことではない、と述べた。

同氏は、「信頼は数秒で得られるが、事実上瞬時に失われる」ため、攻撃を阻止するためにできることは何でもする価値があると付け加えた。

カナダ通信社によるこのレポートは、2024 年 10 月 20 日に初めて発行されました。