主要なクラウド事業者、AIモデルの開発企業、サイバーセキュリティ機関は、AIによって攻撃のコストが下がり、その規模と巧妙さが増したと公に警告しています。標的型フィッシング、音声や映像によるなりすまし、脆弱なパスワードの高速な推測、自動化されたエージェントが指揮する侵入などです。ここで、技術的に明確にしておくべき点が2つあります。
- AIは最新の暗号を破るのではなく、人的要因を突きます。AES-256やこのページで説明している方式を破れるかどうかは、攻撃者の知能ではなく、現時点では存在しない数学的な能力にかかっています。AIを悪用した実際の攻撃は、巧妙なメール、偽装されたビデオ通話、使い回されたパスワードから侵入します。そのためOMBの防御は、フィッシングに強い認証、別チャネルによる確認、異常検知を優先しています。
- 技術水準は進化し、OMBもそれに合わせて進化します。すでに公開されている耐量子暗号を含め、NISTの標準に従っており、業界での採用に合わせて、必要なコンポーネントを移行していきます。OMBの契約上の約束は、対策を最新の技術水準に保ち、暦ではなく脅威のペースに合わせて更新することです。
別チャネル確認プロトコル。認証情報、銀行口座、情報の送信先の変更を求める指示は、メール、メッセージ、電話のいずれで受け取った場合でも、事前に合意した別のチャネルで権限を持つ担当者に確認するまでは実行しません。お客様やOMBから送られたように見える場合も同様です。お客様にも、逆の立場で同じ注意をお願いしています。