2026-11-02
ハッカーがChatGPTやClaudeを偽装しパスワードを狙う
ハッカーが信頼されるAIボットを偽装し、企業のウェブサイトからパスワードやAPIキー、クラウド認証情報を探る攻撃キャンペーンが確認されました。この攻撃者は、ChatGPTやClaude、Perplexityなど約32のボットのアイデンティティを使い分け、金融サービスや小売、通信、エネルギー、ソフトウェア業界をターゲットにしました。攻撃者は、無作為に存在しないパスをリクエストし、応答を返すウェブサイトを特定した後、機密情報が含まれる可能性のあるファイルを探しました。ほとんどのリクエストはブロックされましたが、攻撃の手法は企業にとって重要な警告を示しています。
メトリクス
このニュースのスケール度合い
6.5
/10
インパクト
7.0
/10
予想外またはユニーク度
7.0
/10
脅威に備える準備が必要な期間が時間的にどれだけ近いか
8.0
/10
このニュースで行動が起きる／起こすべき度合い
8.5
/10
主なポイント
- ✓ 攻撃者は、信頼されるAIボットを偽装して企業のウェブサイトをスキャンし、機密情報を探しています。
- ✓ この攻撃キャンペーンは、金融サービスや小売など多くの業界をターゲットにしており、特にアクセス制御の脆弱性を突いています。
社会的影響
- ! この攻撃は、企業のセキュリティ意識を高める必要性を示しています。
- ! AIボットの偽装による攻撃は、信頼性のあるサービスを利用する際のリスクを増大させています。
編集長の意見
この攻撃キャンペーンは、AI技術の進化とともに新たな脅威が生まれていることを示しています。攻撃者は、信頼されるAIボットを利用することで、企業のセキュリティを巧妙に回避しようとしています。特に、企業がAIボットを利用する際には、そのアイデンティティの確認が重要です。攻撃者は、無作為に存在しないパスをリクエストすることで、どのウェブサイトが応答するかを確認し、機密情報を探る手法を取っています。このような手法は、従来のセキュリティ対策では検知が難しいため、企業は行動ベースの検知システムを導入する必要があります。また、企業はウェブアクセス可能な場所から機密情報を削除し、公開されたステージングや管理システムを見直すことが求められます。今後、AI技術が進化する中で、攻撃者も新たな手法を開発する可能性が高いため、企業は常に最新の脅威に対する対策を講じる必要があります。さらに、AIボットの利用が増える中で、信頼性のあるサービスを見極めるための基準を設けることが重要です。
背景情報
- i 攻撃者は、ChatGPTやClaudeなどのAIボットを偽装し、企業のウェブサイトからパスワードやAPIキーを探る手法を用いています。この手法は、AIボットの信頼性を悪用し、企業のセキュリティを脅かすものです。
- i 攻撃者は、約32の異なるボットのアイデンティティを使用し、特定のファイルを狙ってリクエストを行いました。これにより、企業のセキュリティ対策の隙間を突くことが可能となっています。