生成AIで高度化する攻撃メール

昨今の急激な生成AIの進化には目を見張るものがあります。
簡単な質疑応答からコーディング、翻訳、資料作成まで、その用途は多岐にわたり、新しい可能性を我々に提供してくれます。

一方で、誰もが使える便利な技術には同時に悪用されるリスクについても考える必要があります。
例えば標的型攻撃メールです。標的型攻撃メールとは情報窃取等を目的として特定の組織に送られるウイルスメールのことで民間企業や独立行政法人、官公庁などが主なターゲットとされています。

攻撃メールの多くが日本国外のIPアドレスから発信されており、これまで日本は日本語という難解で独自の言語の壁に守られていたため、攻撃の難易度が高いとされていました。不自然な日本語や明らかに自動翻訳を用いたであろう不審なメールを目にしたこともあるのではないでしょうか。
現在の生成AIは非常に高度な文章生成、翻訳機能を有しており、この言語の防御壁を脅かしています。日本語を話せない外国語話者が母国語で簡単なテーマを投げ、日本語で出力するように指示をするだけでネイティブと遜色ない自然な言い回し、自然な文章を生成することが可能となります。そのため、今後日本を標的とする攻撃の増加や、内容の巧妙化による被害の拡大が予想されます。

生成AIを利用したNECでの攻撃メール訓練

CISO統括オフィスでは、社員のセキュリティアウェアネス向上を目的として攻撃メール訓練を例年実施しておりますが、生成AIにより高度化した攻撃が今後増加すると予測される背景を踏まえ、今年度は生成AIで作成したメールを訓練に用いることで、攻撃者の手法の変化を想定したより実践的な訓練を実施しました。

訓練の結果、生成AIでメールを作成した今年度訓練と手動で作成していた昨年度訓練の開封率にあまり遜色がない結果となりました。また訓練時にメール作成にかかる工数を90％ほど削減出来たことから、攻撃者の負担が軽減され、より脅威が増すと考えられます。
これらの脅威に対抗するため、継続的な訓練の結果をサイバーセキュリティダッシュボード上に公開しており、URLクリックとファイル実行率、エスカレーション率の推移や、組織ごとの訓練結果とランキングを掲載することで社員一人一人の危機意識の醸成を図っています。

またCISO統括オフィスでは、生成AIを攻撃側の視点で用いるだけでなく、受信したメールに不審な点がないかを診断するメール判定機能など防御側の視点でも活用しており、今後も様々な取り組みを展開していく予定です。

Sophisticated Phishing Emails Enhanced by Generative AI

The recent rapid evolution of generative AI is remarkable. From simple Q&A tasks to coding, translation, and document creation, its applications are diverse, offering us new possibilities.

However, we must also consider the risk of misuse of this convenient technology, accessible to everyone. One such risk is spear phishing emails. Spear phishing emails are virus-laden messages sent to specific organizations to steal information, primarily targeting private companies, independent administrative agencies, and government offices.

Many of these phishing emails originate from IP addresses outside Japan. In the past, Japan has been protected by the barrier of the Japanese language, which is complex and unique, making attacks difficult. You might have seen suspicious emails with unnatural Japanese or clearly produced by automated translation.
Today's generative AI has highly advanced text generation and translation capabilities, threatening this linguistic defense barrier. Non-Japanese speakers can simply input a basic theme in their native language and instruct the AI to output it in Japanese, producing natural expressions and fluent text comparable to a native speaker. This suggests an increase in attacks targeting Japan and a rise in sophisticated phishing attempts, leading to greater damage.

Phishing Email Training at NEC Using Generative AI

The CISO Office at NEC conducts annual phishing email training to improve employee security awareness. Given the anticipated increase in sophisticated attacks due to generative AI, this year, we used AI-generated emails in our training to simulate evolving attacker methods, making the training more realistic.

The results showed that the open rates of this year's AI-generated emails were not significantly different from last year's manually created emails. Additionally, we managed to reduce the email creation workload by about 90% during the training, indicating that attackers could also lower their effort, thus increasing the threat level.
To counter these threats, we continuously publish the results of our training on the cybersecurity dashboard. This includes tracking URL clicks, file execution rates, escalation rates, and displaying training results and rankings by organization, fostering a sense of awareness and vigilance among employees.

Additionally, the CISO Office at NEC is utilizing generative AI not only from the attacker's perspective but also from the defender's viewpoint. This includes features like email assessment to diagnose any suspicious elements in received emails. We plan to continue developing various initiatives in this regard.

NECの社内セキュリティの取り組み

URL：https://jpn.nec.com/ciso/index.html