「AIツール」検索から個人情報流出 ― 葬祭事業者を襲ったサポート詐欺

愛知県知多市の葬祭事業者エスケーアイマネージメントが8月12日、「AIツール関連サイト」を閲覧した際にサポート詐欺の被害に遭い、顧客の個人情報を含む約4000件のファイルが漏えいした可能性があると発表した。生成AIへの関心の高まりが、そのまま新たな攻撃の呼び水になっている。

発端は「AIツールを調べていただけ」 #

8月7日、同社従業員が業務資料作成のためAIツールを検索・閲覧したところ、突然「ウイルスに感染した」といった偽の警告画面が表示され、記載の番号へ電話するよう誘導された。指示に従って遠隔操作ソフトを導入した結果、攻撃者が業務用PCを操作できる状態になり、顧客の氏名・生年月日・性別・住所・電話番号・メールアドレスなどを含むファイル約4000件が削除され、外部への漏えいも否定できない状態となった。同社は個人情報保護委員会への報告と警察への相談を済ませ、外部機関によるフォレンジック調査を進めている。

マルウェア不要、正規ツールが凶器になる #

サポート詐欺の怖さは、感染ファイルを一切使わない点にある。攻撃者は被害者自身に遠隔操作ソフトをインストールさせるため、セキュリティソフトは「正規のリモートアクセスツール」としてしか検知できない。偽の警告画面は本物のOSエラーそっくりに作り込まれ、電話口の「サポート担当」は流暢な日本語で不安を煽る。技術的な脆弱性ではなく、人間の焦りにつけ込む古典的なソーシャルエンジニアリングが、最新のリモートワーク環境でも通用してしまう典型例だ。

検索行為そのものが攻撃対象に #

今回の起点は、業務でAIツールを調べるという日常的な検索行為だった。生成AI関連ワードは検索ボリュームが急増しており、攻撃者はSEOポイズニングで偽サイトを検索結果の上位に表示させやすい。話題のキーワードを追いかける行為自体がリスクになりつつある。