サイバー犯罪者によるAIの利用を背景に、フィッシングやサイバーを利用した詐欺が憂慮すべき速さで増加しています。
サイバーセキュリティは、脅威の検知をユーザーに頼るのではなく、デジタルインフラに安全性を組み込む、より体系的なアプローチへと上流に移行する必要があります。
Paladin Global Institute、Microsoft、Institute for Security and Technologyの3人のリーダーは、協調的な取り組みの必要性を強調しています。
サイバー犯罪が急速に進化するなか、人工知能を利用したフィッシングや詐欺は、今や世界経済に年間1兆ドル超の損失をもたらしています。この驚くべき数字は、より体系的で協調的な対応の必要性を浮き彫りにしています。
世界経済フォーラムのサイバー犯罪対策パートナーシップは、Institute for Security and Technology（IST）と連携し、「Systemic Defence」プロジェクトを推進しています。同プロジェクトでは、複数のステークホルダーが参加する体系的なアプローチによって責任を上流へ移し、フィッシングやサイバーを利用した詐欺への防御を強化する方法を探っています。
2025年5月のRSA Conferenceでは、Paladin Global Institute、Microsoft、IST、世界経済フォーラムのリーダーが一堂に会し、この取り組みについて議論しました。
エンドユーザーの行動だけに頼るのではなく、より安全で信頼できるサイバー空間を実現するための体系的なアプローチについて検討しました。取り組みを上流へ移すことで、デジタル環境を先回りして強化し、犯罪者による悪用を可能にする技術的な脆弱性を軽減することを目指しています。
フィッシングやサイバーを利用した詐欺の増加と、それを食い止めるためにできることを掘り下げるため、参加した専門家に話を聞きました。寄せられた意見を紹介します。
政府は、インフラを担う事業者がユーザーにとっての「初期設定で安全」を実現するよう、どのようなインセンティブを設けられるでしょうか。
Kemba Walden、会長、Paladin Global Institute
政府は市場の力を戦略的に再形成し、リスクを低減するうえで最も適した立場にある者にサイバーセキュリティの責任を担わせ、脆弱な立場にある人々にしわ寄せが及ばないようにしながら、イノベーションと競争を維持する必要があります。米国政府が年間7,600億ドルに上る調達力を持つことを考えると、デジタルセキュリティを大規模に再形成する戦略的な機会があると考えます。
これは抽象的な戦略ではなく、市場の現実に即したものです。連邦政府機関が初期設定で安全かつ設計段階からセキュアな技術を求めれば、デジタルエコシステム全体に波及効果が生まれます。クラウドインフラからID管理システムに至る重要な環境でこうした技術が実地検証されれば、セキュリティ機能は高価な追加オプションではなく、標準的に備わっているべきものとなります。
政府は市場の力を戦略的に再形成し、リスクを低減するうえで最も適した立場にある者にサイバーセキュリティの責任を担わせ、脆弱な立場にある人々にしわ寄せが及ばないようにする必要があります。
Kemba Walden、会長、Paladin Global Institute
安全でセキュアなインフラの実現には、責任の賦課とインセンティブの付与の両方を含む、現実的なアプローチが必要です。政府は、セキュリティが不十分なソフトウェア製品についてソフトウェア提供者に責任を負わせる一方、重要技術にセキュリティを組み込むための助成金を設け、政府調達を活用して説明責任を高めることもできます。
この仕組みでは、安全なドメインネームシステム、フィッシング耐性のある多要素認証、リアルタイムの不正検知など、基本的な保護策を組み込む提供者に報いるべきです。これらは最先端の革新ではなく、機能するデジタル社会に不可欠な基準です。
「セキュアなインフラ」に関する明確で業界主導の基準は、技術的に妥当であり、運用上も実現可能であることが重要です。政府は業界と連携し、これらの基準が技術的に妥当なだけでなく、調和が取れ、デジタルエコシステムにシームレスに統合されるようにしなければなりません。
フィッシングやサイバーを利用した詐欺を阻止する現在の取り組みは、なぜ失敗しているのでしょうか。また、流れを変えるうえでテクノロジー企業はどのような役割を果たせるでしょうか。
Kelly Bissell、セキュリティ・不正対策担当コーポレートバイスプレジデント、Microsoft
サイバーセキュリティに何十億ドルも費やしているにもかかわらず、フィッシングやサイバーを利用した詐欺はなくなるどころか、勢いを増しています。なぜでしょうか。対策の根本に欠陥があるからです。ファイアウォールやフィルターを構築してきましたが、最も悪用されやすい脆弱性、すなわち人間の性質を過小評価してきました。
攻撃者を上回る革新を起こすか、出し抜かれるか。サイバー犯罪者がAIを使うなら、私たちも徹底的に使うべきです。
Kelly Bissell、セキュリティ・不正対策担当コーポレートバイスプレジデント、Microsoft
サイバー犯罪者は、機械をハッキングできるなら人の心を操ればよく、機械をハッキングする必要はありません。信頼、切迫感、恐怖につけ込み、その手口は恐ろしいほど巧妙になっています。AIが生成したメール、ディープフェイク音声、なりすましサイトにより、今日のフィッシング攻撃は本物とほとんど見分けがつきません。ユーザーは「警戒を怠らないように」と言われますが、絶え間ない警告によって、本当の脅威も背景の雑音に埋もれてしまいます。
私たちの防御は後手に回っています。侵害の後に修正パッチを適用し、詐欺の後にブラックリストへ登録し、ユーザーがクリックした後に訓練を行います。一方、犯罪者は機敏で匿名性が高く、国際協力の弱さや時代遅れの法律に後押しされています。
サイバー犯罪は低コストで、国境を越えて広がり、大きな利益を生みます。では、何ができるでしょうか。コミュニティとして取り組むべき7つの対策を紹介します。
ユーザーを責めるのをやめ、貴重な資産として訓練する： ユーザーは最も弱い環ではなく、最も活用されていない防御手段です。画一的な訓練をやめ、現実に即した臨場感のある、役割別のシミュレーションを導入すべきです。ミスを罰するのではなく、警戒が自然に身につく文化を築きましょう。
ハッカーがAIを使うなら、私たちも使う： 徹底的に。サイバー犯罪者はAIを使って、完璧なフィッシングを作り、人間になりすまします。なぜ旧式の検知システムに頼るのでしょうか。火には火をもって対抗し、学習して適応し、リアルタイムで動作するAIを導入しましょう。脅威の封じ込めを自動化してください。一ミリ秒も無駄にできません。
サイバー犯罪は世界規模、私たちの防御もそうあるべき： ハッカーにとって国境は意味をなしません。それなのに、なぜ断片化した国家レベルの政策で対抗し続けているのでしょうか。リアルタイムの越境情報共有と、犯罪者が管轄の抜け穴に隠れることを不可能にする統一された法的枠組みが必要です。世界的な連携を築かなければ、いたちごっこを続け、負けるだけです。
誰も信頼せず、すべてを検証する： 暗黙の信頼の時代は終わりました。すべてのデバイス、ユーザー、アクセス要求を、登録時だけでなく継続的に検証しなければなりません。ゼロトラストは流行語ではなく、最低限備えるべき基準です。また、旧式のシステムも排除しなければなりません。パッチを適用できないなら、責任問題につながります。
サイバー犯罪を割に合わなくする： サイバー犯罪が蔓延するのは、低コストで簡単に実行でき、大きな利益を得られるからです。この構図を逆転させましょう。ブロックチェーンのフォレンジックを使い、盗まれた資金を追跡して凍結します。フィッシングキット、ボットネット、ダークウェブ市場を、物理的な脅威に対処するのと同じ強さで壊滅させましょう。
チームで闘い始める： サイバーセキュリティは個人競技ではなく、チームで取り組むものです。一社が攻撃を受ければ、エコシステム全体が危険にさらされます。情報を囲い込むのはやめ、Global Anti-Scam Allianceなどのフォーラムで共有しましょう。リアルタイムの脅威情報、共有された侵害指標、協調的な防御が必要です。沈黙は攻撃者を助け、共有は攻撃者を阻止します。
攻撃者を上回る革新を起こすか、出し抜かれるか： サイバー犯罪者は適応をやめません。私たちも歩みを止めてはなりません。セキュリティ運用センターにAIを組み込み、機械学習とデータサイエンスを拡大して検知能力を高め、設計段階からセキュリティを組み込むことで変革を進めましょう。脅威の進化に追いつくツールのため、AIと研究開発に積極的に投資してください。
フィッシングやサイバーを利用した詐欺を防ぐため、インフラレベルで必要だと思う重要な変化を一つ挙げるとしたら何でしょうか。
Steve Kelly、最高信頼責任者、Institute for Security and Technology
FBIの特別捜査官となり、サイバー捜査に携わる前は、交通分野で働く登録プロフェッショナルエンジニアでした。
インターネットが本質的に安全でなく、それによって横行する犯罪が可能になっていることを考えていたとき、以前の職業との共通点が思い浮かびました。道路は本質的に安全になるよう設計・建設されていますが、インターネットはそうではありません。
道路の幾何構造、標識、路面標示といった直感的に理解できる設計要素は、運転者の期待に沿い、予想外の事態を避ける助けになります。危険な障害物のない、逸脱を許容する道路脇の設計はミスの影響を軽減します。また、都市部で歩行者を重視した開発を行えば、自動車と歩行者や自転車利用者との致命的な衝突の機会を減らせます。
では、ユーザーの安全を守り、悪意ある者が利益を得られないようにするため、基本的な工学原則をインターネットの中核インフラにどう取り入れればよいでしょうか。
あまりにも多くのものが懸かり、あまりにも多くの罪のない人々が被害に遭っている今、傍観しているわけにはいきません。
Steve Kelly、最高信頼責任者、Institute for Security and Technology
パネル討論では、ドメインネームシステム（DNS）に信頼性と安全性をもたらす重要性、決済エコシステムを活用する機会、そして政府主導のデジタルID施策などのアイデンティティ関連の取り組みが重要な役割を果たす可能性について議論しました。
あまりにも多くのものが懸かり、あまりにも多くの罪のない人々が被害に遭っている今、傍観しているわけにはいきません。計算尺を取り出し、ヘルメットをかぶりましょう。インターネットの中核インフラを設計段階からセキュアにする時期は、とっくに過ぎています。
結論として、サイバーを利用した詐欺やフィッシングの規模と影響の拡大は、依然として世界的に重要な課題です。世界経済フォーラムのサイバー犯罪対策パートナーシップは、ユーザーの負担を軽減し、より協調的で上流からの防御へと移行する体系的な解決策を推進し、人々をオンラインでより適切に保護することに取り組んでいます。
世界経済フォーラムは、世界的なサイバーセキュリティの課題にどう取り組んでいるのでしょうか。
サイバーセキュリティ・センターは、リーダーが一堂に会し、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。相互接続が進むデジタル世界において、理解と信頼を築くことに注力しています。
セクターを越えた連携と知見の共有を可能にすることで、同センターはパートナーがサイバー・レジリエンスを強化し、集団での対応が求められる課題に取り組むことを支援します。
