AI悪用の詐欺はクリック率4倍超、事業守る備え急げとA.T.カーニーが提言

A.T. カーニー株式会社は、論考「サイバーリスクは経営課題に――AIと量子技術の進展が迫るレジリエンス強化」を公開した。AIを活用したサイバー攻撃の加速や、将来の量子技術による暗号基盤の変化、規制当局による事業継続性の実証要求を踏まえ、サイバーリスクを経営課題として捉えて事業を継続する備えを進めるよう提言している。

同論考が引用した世界経済フォーラムの見通しによると、リーダーの94％がAIを2026年におけるサイバー分野の最大の変化要因と捉え、87％がAIを利用した脆弱性を最も急速に拡大するリスクとみている。AIが生成したフィッシングのクリック率は約54％に達し、従来型の約12％と比較して4倍超となった。これまで専門知識や人手を要した攻撃活動が迅速かつ大規模に実行可能となっている。一方で防御側でのAI活用も進んでおり、Mozillaが「Claude Mythos」をセキュリティ工程に導入し、Firefoxの1度のリリースで271件のバグを修正した事例も紹介された。

量子コンピューターが現行の公開鍵暗号を解読できるようになる時点は「Qデー」と呼ばれる。到来時期の正確な予測は困難であるものの、大企業の暗号基盤を置き換えるには年単位の準備を要する。暗号化データを現時点で収集しておき将来復号する手法が存在するため、論考では5年から20年にわたり機密性を維持すべき顧客情報や知的財産はすでに対策の対象であると指摘した。米国国立標準技術研究所（NIST）が最初の耐量子暗号標準を確定したほか、英国国家サイバーセキュリティセンターは2028年までの対象洗い出し、2031年までの優先システム移行、2035年までの移行完了という道筋を示している。

事業継続性を求める規制の強化も進む。欧州では2025年1月からデジタル・オペレーショナル・レジリエンス法（DORA）が適用され、金融機関は外部委託先に障害が起きても重要サービスを継続・復旧できる証明を求められる。さらに改正ネットワーク・情報システム指令（NIS2）ではサイバーリスクに対する取締役会の直接責任が定められた。A.T. カーニーは経営層に対し、重要サービスの特定と復旧優先順位の決定、クラウドやAI基盤を含む外部依存の集中リスク把握、耐量子化への移行着手、保護と管理の証拠整備という4つの行動を提言した。