ディープフェイクを悪用した攻撃｜科目A-1（応用情報技術者） 令和6年 秋期午前試験 問39

• ア：AI技術によって加工したCEOの音声を使用して従業員に電話をかけ，指定した銀行口座に送金するよう指示した。
• イ：企業のPCをランサムウェアに感染させ，暗号化したデータを復号するための鍵と引き換えに，指定した方法で暗号資産を送付するよう指示した。
• ウ：企業の秘密情報を含むデータを不正に取得したと誤認させる電子メールを従業員に送付し，不正に取得したデータを公開しないことと引き換えに，指定した方法で暗号資産を送付するよう指示した。
• エ：ディープウェブにて入手した認証情報でCEOの電子メールアカウントに不正にログインして偽りの電子メールを従業員に送付し，指定した銀行口座に送金するよう指示した。

解説

ディープフェイクとは、AIを使って実在する人物の顔や声などを本物のように合成・加工する技術です。これを悪用すると、本人になりすまして指示を出すといった攻撃が可能になります。

選択肢アでは、AI技術によってCEOの音声を加工し、その偽の音声を使って従業員に送金を指示しています。これはディープフェイクを悪用した典型的な攻撃です。

したがって、アが適切です。

❌他選択肢が誤りの理由
イ：企業のPCをランサムウェアに感染させ，暗号化したデータを復号するための鍵と引き換えに，指定した方法で暗号資産を送付するよう指示した。
⇒ランサムウェアによる身代金要求の説明です。AIで人物の顔や声を偽造するディープフェイクとは異なります。

---

ウ：企業の秘密情報を含むデータを不正に取得したと誤認させる電子メールを従業員に送付し，不正に取得したデータを公開しないことと引き換えに，指定した方法で暗号資産を送付するよう指示した。
⇒脅迫によって金銭を要求する攻撃の説明です。ディープフェイクを利用した攻撃ではありません。

---

エ：ディープウェブにて入手した認証情報でCEOの電子メールアカウントに不正にログインして偽りの電子メールを従業員に送付し，指定した銀行口座に送金するよう指示した。
⇒不正に入手した認証情報を使ったアカウント乗っ取りやBECに該当する攻撃です。CEOの音声や映像をAIで偽造しているわけではないため、ディープフェイクではありません。

---

TSUNAGARU-ADVICE

まず押さえたいこと

ディープフェイクは、AIを使って実在する人物の顔や声などを本物らしく偽装する技術です。攻撃では、経営者や取引先になりすました音声・映像を使い、送金や機密情報の提供を指示する手口が代表的です。

迷ったときの判断軸

ポイントは、単なるなりすましではなくAIで生成・加工した音声や映像が使われているかです。ランサムウェアによる脅迫、虚偽メールによる恐喝、盗んだ認証情報を使ったメールアカウントの乗っ取りは、それぞれ別の攻撃手法として区別します。

科目Bにつなげるために

特に情報処理安全確保支援士試験合格を目指す方は、ディープフェイクをソーシャルエンジニアリングやBECと組み合わせて悪用される脅威として理解しましょう。本人確認を声や映像だけに依存せず、別経路での確認や多要素認証を組み合わせる対策にもつながります。