OpenAIのメールシステム悪用、フィッシング攻撃で企業機密情報の漏洩リスク

OpenAI公式メールを悪用した巧妙なフィッシング攻撃を確認

OpenAIのメールシステムを悪用したフィッシング攻撃が確認され、企業の従業員を標的とする新たな手口として警戒が強まっている。英国のセキュリティ企業Push Securityは、「Push Security Inc.」を名乗るChatGPTの組織招待メールを受信したことを受けて調査を実施した。その結果、この招待は攻撃者が作成した偽の組織から送信されたものであることが判明し、今回の手口の深刻さが明らかになった。招待メールはOpenAIの公式メールアドレスから送信されていたため、一般的なフィッシングメールと比べて正当な通知と見分けることが難しく、受信者が不審に思わず対応してしまう可能性がある。

OpenAI公式機能を悪用、偽組織への招待で機密情報の窃取を狙う

この招待メールは、OpenAIの正規の組織招待機能を悪用して送信されており、すべてのメール認証を通過したため、多くのメールセキュリティシステムでも検知・ブロックが困難だった。Push Securityは招待を受け入れた後、攻撃者が偽装した最高経営責任者（CEO）のアカウントや決済情報があらかじめ登録されていることを確認した。この偽の企業向けChatGPT環境は、従業員を誘導して業務で扱うソースコードや社内文書、顧客情報などの機密情報を入力させ、それらを窃取することを目的として構築されたものと分析されている.

正規サービスを悪用した攻撃に警戒、企業はAI利用に伴う対策強化が急務

今回の事例は、従来のフィッシングメールとは異なり、信頼性の高い正規サービスの機能を悪用した新たな攻撃手法として注目されている。セキュリティ担当者は、不審な組織からの招待を受けた際には、送信元メールアドレスやドメインが正規のものであるかを十分に確認する必要がある。また、企業は従業員による生成AIサービスの利用状況を定期的に把握するとともに、こうした攻撃手法を想定したセキュリティ教育を強化することが求められる。今後さらに巧妙化することが予想されるフィッシング攻撃への対策として、企業全体でのセキュリティ意識向上と継続的な対策の実施が不可欠だ。