投稿者 投稿日: カテゴリー AIニュース
AIスピアフィッシングとは、AIが標的の情報を集めて個人向けに作り込むなりすましメール攻撃のことです。
本記事は、EC支援19年・5,000社超の実績を持ち、AI導入支援は2023年から提供する株式会社オルセル（うるチカラ運営）が解説します。元Googleのセキュリティ担当者が創業したメールセキュリティの新興企業AegisAIが、2026年7月23日にシリーズAで3,600万ドルを調達しました。狙いは、AIが標的一人ひとりに合わせて自然な文面を作り込む「AIスピアフィッシング」への対抗です。AegisAI自身の調査では、観測したフィッシングのうちAIが生成したものの割合が1年で約5倍に高まったとされ、取引先や事務局を装うメールを日々受け取るEC事業者にとっても、他人事ではない変化が起きています。
AegisAIが3,600万ドル調達、AIスピアフィッシングという新しい脅威
今回の出来事を一言でいえば、AIによるなりすましメール対策の新興企業に、大型の資金が集まったということです。TechCrunchによると、AegisAIのシリーズAはBattery Venturesが主導し、既存投資家のAccelとFoundation Capitalも参加、累計調達額は4,900万ドルに達しました。共同創業者のCy KhormaeeとRyan Luoは、GoogleでreCAPTCHAやSafe Browsingといった防御技術を手がけてきた人物です。
脅威の中身も従来と質が変わっています。攻撃者はまずAIに標的の情報をウェブから集めさせ、その人が信頼している同僚や取引先を割り出し、その人物になりすました文面を大量に生成します。専門メディアのSiliconANGLEは、こうした作り込みが「コーヒー1杯ほどの費用」で可能になっていると伝えています。AegisAIは、過去のパターンを探す従来型フィルターに対し、メール1通ごとの意図と送信者の正体を読み解くAIエージェントで、文法的に完璧な攻撃も見抜くと説明しています。
数字も無視できません。AegisAI自身の調査（2万件超の悪性メールを分析）では、同社が観測したフィッシングのうちAIが生成したものの割合は、2025年初頭の2.8%から年末には13.9%へと約5倍に上昇したとしています（同社発表のため第三者検証は非公開・要確認）。さらにAIが書いた攻撃は人が書いたものの約2倍の割合で受信箱に到達し、すり抜けたうちの約73%はメール認証を通過していた、つまり乗っ取られた本物のアカウントから送られていたとされます。Khormaeeは「人の信頼にはパッチを当てられません。攻撃がAIなら、防御もAIでなければなりません」と述べています。公的な数字としても、FBIのIC3年次報告は2025年の被害申告が過去最高の208億ドル、うちビジネスメール詐欺（BEC）が116.4億ドルに上ったと記録しています。
日本のEC事業者にとっての論点
この話が日本のEC事業者に関係するのは、EC運営の現場こそメール詐欺の格好の標的だからです。楽天市場やAmazon、Shopify、Yahoo!ショッピングを運営していれば、取引先からの請求書、モール事務局を名乗る規約変更や警告の通知、物流や決済に関する連絡が日々メールで届きます。これらはいずれも「なりすましやすく、かつ相手が急いで対応してしまう」典型的な入り口です。
見逃せない変化は、AIが自然な日本語を書けるようになったことです。これまで不審なメールを見分ける手がかりだった「不自然な日本語」や「妙な言い回し」は、もう通用しなくなりつつあります。差出人の名前や口調が取引先そっくりで、進行中の案件にまで触れてくるメールが届けば、担当者が信じてしまうのは自然なことです。すり抜けたメールの約73%が認証を通過していたという事実は、正規のアカウントが乗っ取られれば技術的なチェックだけでは止められないことを示しています。
もう一つの論点は、従業員教育だけでは守り切れないという点です。AegisAIが「人の信頼にはパッチを当てられない」と表現したように、どれだけ注意を促しても、精巧ななりすましを人の目だけで100%見抜くのは困難です。だからこそ、個人の注意力に頼るのではなく、口座変更は必ず別経路で確認する、重要な操作は多要素認証で守るといった、仕組みで守る発想への切り替えが欠かせません。過去にもAIを悪用したフィッシングや大規模なAI詐欺が問題になってきましたが、今回はその攻撃がさらに個別化・高速化した局面といえます。
EC事業者が備える3つの初動
まず取り組むべきは、高価なツールの導入ではなく、いますぐ無料〜標準機能でできる守りを固めることです。次の3つを初動として整理します。
1つ目は、アカウントと自社ドメインの守りを固めることです。楽天RMS、Amazonセラーセントラル、Shopify管理画面、Yahoo!ショッピングの管理画面には、担当者全員に多要素認証（MFA）を必須化します。あわせて、自社の送信ドメインにSPF・DKIM・DMARCといったメール認証を設定し、自社を装ったなりすましメールが顧客に届きにくい状態を作ります。乗っ取られたアカウントからの攻撃が多い以上、入口の防御は最優先です。
2つ目は、お金と権限が動く依頼に「別経路での確認」をルール化することです。振込先や銀行口座の変更依頼、いつもと違う高額の発注、支払いの前倒し依頼などは、メールの返信ではなく、登録済みの電話番号など別の経路で必ず本人確認してから実行します。これはビジネスメール詐欺（BEC）への最も効果的な歯止めであり、認証情報を共有させない運用とセットで機能します。
3つ目は、スタッフ研修とメール運用の型を更新することです。「モール事務局・配送業者・取引先を名乗る警告や依頼のメール」は、本文中のリンクを踏まず、必ず公式アプリや管理画面のブックマークから開いて真偽を確かめる運用を明文化します。研修の観点も、「日本語が不自然かどうか」を探す従来型から、「この依頼は文脈として妥当か」「この経路で来るのが自然か」を疑う型へ切り替えることが重要です。なお、AegisAIは主に英語圏の法人向けメールセキュリティであり、日本の中小EC事業者がすぐ導入する製品ではありません。まずは上記のような足元の防御から始めるのが現実的です。
まとめ
AIによるなりすましメールは、費用も手間も下がった一方で、精巧さと到達率を大きく高めています。AegisAIへの大型出資は、この脅威が投資家にとっても「防がなければ事業が止まるリスク」と見なされ始めた証拠です。日本のEC事業者にとっての初動は、高価なツール選びではなく、多要素認証と別経路確認、そして運用ルールの明文化という、いますぐ着手できる守りを固めることだといえます。
参考文献
- AegisAI, founded by former Google security execs, lands $36M to stop AI-driven spear phishing（TechCrunch）
- AegisAI banks $36M as AI spear-phishing surges fivefold in a year（SiliconANGLE）
- AegisAI Raises $36 Million Series A Led by Battery Ventures（PR Newswire）
- 2025 Internet Crime Report（FBI IC3）
※うるチカラでは、生成AIの導入支援から運用最適化まで、貴社のEC事業に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://uruchikara.jp/contact/
引用元: TechCrunch
【監修】齋藤竹紘（株式会社オルセル代表 / 19年・5,000社のEC支援実績）
株式会社オルセル代表取締役 / うるチカラ編集長。19年・5,000社以上のEC支援実績を持ち、楽天市場・Amazon・Yahoo!ショッピング・Shopify・Shopee越境ECの実装ノウハウを保有。AI×ECに関する書籍を3冊執筆。「現場で使えるAI実装」を一次情報として発信しています。
この記事を読んだ人は、こんな記事も読んでいます
