出典：VentureBeat
詳細を読む
分散勤務が広がるなか、攻撃者は従業員のスマートフォンに偽アプリを入れ、企業のクラウドや社内システムへ侵入しようとしています。VentureBeatの寄稿記事は、生成AIがアプリの解析や改変、従業員をだます手口を効率化していると指摘します。
偽アプリは正規の業務ツールや通信アプリに似せて作られ、シングルサインオンの認証情報や多要素認証トークンを盗むほか、企業データを抜き取る可能性があります。利用者には通常のアプリと同じように見えるため、ネットワークの境界防御だけでは発見しにくい侵入口になります。
記事によると、攻撃者は正規アプリを逆解析し、認証の仕組みやサーバーとの通信を調べます。生成AIはコードの理解や改変用スクリプトの作成を助け、情報を盗む機能を加えたアプリを組み立てるハードルを下げています。
さらに、偽の経営幹部の音声やSMSを組み合わせ、緊急の更新を装ってアプリをインストールさせる手口も想定されています。記事は、モバイル端末を信頼できない環境で動く業務機器として扱う必要性を訴えています。
対策として、企業管理端末と私物端末の登録を徹底し、アプリの導入先を承認済みカタログに絞る方法が挙げられます。自社アプリには改ざん検知を組み込み、端末の継続監視を行うことも重要です。
認証ではSMSやプッシュ通知に依存せず、FIDO2/WebAuthnなどの耐フィッシング方式や端末の健全性確認を組み合わせます。従業員には不審なQRコードや緊急のソフト導入依頼を別経路で確認する手順を周知し、技術と運用の両面で備える必要があります。