AI生成フィッシング、クリック率54%で人間の熟練攻撃者と同水準に

セキュリティ企業 Hoxhunt が公表した最新の「Phishing Trends Report」によれば、不特定多数にばらまく従来型フィッシングメールのクリック率が平均 12% なのに対し、生成 AI で自動作成したフィッシングメールは 54% という結果が出た。これは人間の熟練した攻撃者が手作業で仕込んだ標的型メールと統計的に同水準であり、AI と人間が共同で仕上げたメールに至っては 56% に達したという。

「文面の質」がボトルネックだった時代の終わり #

これまでフィッシングの成功率を左右してきたのは、文面の自然さと文脈適合度だった。不自然な日本語、一般的すぎる宛名、業務と無関係な文脈——こうした違和感が受信者の警戒心を呼び起こし、クリック率を押し下げていた。生成 AI はこのボトルネックを解消した。標的の SNS 投稿や公開情報から役職・取引先・進行中のプロジェクトを拾い上げ、上司や取引先になりすました自然な日本語メールを大量かつ低コストで量産できる。同レポートは、AI 支援型フィッシングの検知件数が 2025 年 11 月から 12 月のわずか 1 カ月で 14 倍に急増したとも報告しており、攻撃者側の「量」と「質」が同時に跳ね上がったことを示している。

見抜く側も AI 頼みにできない理由 #

厄介なのは、この変化が「怪しいメールを見抜く訓練」の前提を壊す点だ。多くの企業の耐性訓練は、不自然な文面のパターンを覚えさせることに主眼を置いてきたが、AI 生成メールにはその手がかりがない。文面のクオリティチェックではなく、送信元ドメインの正当性・URL の実体・多要素認証を経由しない要求への警戒といった、文面以外のシグナルに基づく判断へ訓練の重心を移す必要がある。組織側の対策としては、なりすまし対象になりうる役職者の情報公開範囲の見直し、添付ファイルやリンクを開く前のドメイン検証を習慣化するトレーニング、そして技術的には DMARC/DKIM の厳格運用や異常ログインの検知強化が引き続き有効な打ち手となる。AI が攻撃側の「効率」を底上げした以上、防御側も精神論ではなく仕組みでカバーする段階に来ている。