ChatGPT、Claude、DeepSeek のように知名度の高いAIサービス名が、フィッシングメールや偽ログイン画面、偽アプリ配布の題材として使われやすくなっています。攻撃側にとって都合がよいのは、受信者が「生成AIの新機能かもしれない」「課金更新が必要かもしれない」と急ぎやすく、普段より確認を省きやすいことです。
Microsoftは2026年6月8日のセキュリティブログで、ChatGPT、Claude、DeepSeek、Copilotを名乗るフィッシング、偽インストーラー、検索結果を悪用した偽配布を報告し、いずれもAIサービス側の侵害ではないと説明しています。
AIブランドなりすまし攻撃とは、ChatGPT・Claude・DeepSeekなど知名度の高いAIサービスの名前を使って利用者を急がせ、偽のログイン画面、決済画面、アプリ、拡張機能へ誘導する手口です。AIサービスそのものが侵害されたわけではありません。本物かどうかはメール内のリンクではなく、社内ポータルやブックマークに登録した公式URLから開き直して確かめます。リンクを開いた、入力した、インストールした場合は、どこまで進んだかで初動が変わるため、すぐ情報システム部門へ連絡して認証情報と端末を順に止めます。
要点
- AIブランドなりすまし攻撃はAIサービスの侵害ではなく、知名度の高い名前で利用者を急がせ、偽のログイン画面やアプリへ誘導する手口です。
- 本物かどうかは届いたリンクではなく、社内ポータルやブックマークの公式URL、正規の配布元から開き直して確かめます。
- 開いた、入力した、インストールしたのどこまで進んだかで初動が変わるため、すぐ通報し、認証情報、トークン、端末の順に止めます。
AIブランドなりすまし攻撃とは何か
この攻撃は、生成AIサービスのブランド名を借りて、利用者に「正規の手続きだ」と思わせる手口です。狙いは大きく3つあります。1つ目はメールアドレス、パスワード、MFAコードなどの認証情報。2つ目は端末への不正なアプリ導入やブラウザ拡張の追加。3つ目は共有ファイル、請求情報、社内ポリシー確認などを装って社内情報へ触るきっかけを作ることです。
ここで大事なのは、攻撃対象が「AIを深く使う技術者」だけではないことです。役員、営業、採用、人事、マーケティング、広報のように、AIの導入検討や試用通知を受けやすい職種は全て対象になります。特に、無料トライアル、課金更新、招待メール、利用制限解除、アカウント確認といった文脈は、業務の中で自然に見えるため警戒が下がりやすくなります。
なぜ ChatGPT・Claude・DeepSeek のような名前が悪用されやすいのか
理由は、受信者が知っている名前ほど開かれやすく、AIサービスは新機能、プラン変更、アプリ追加の連絡が多いため、偽の通知が混ざっても不自然に見えにくいからです。
さらに、生成AIはまだ社内ルールが固まりきっていない会社が多く、誰がどのサービスを公式採用しているのかが曖昧になりがちです。シャドーAI対策 が未整備だと、受信者は「この案内は情シス経由だったか」「個人契約で使っているサービスか」を切り分けにくくなります。曖昧さそのものが、なりすましの成功率を押し上げます。
| 悪用されやすい文脈 | 受信者が信じやすい理由 | 企業側の確認ポイント |
|---|---|---|
| 課金更新・請求確認 | 実際に個人契約や部門契約が存在しやすい | 決済通知の送信元ドメインと請求管理フローを固定する |
| 再認証・利用制限解除 | SSO移行やセキュリティ強化の通知に見えやすい | ログイン導線をブックマークと IdP 入口に限定する |
| アプリ・拡張機能の配布 | 新機能体験の文脈で導入ハードルが下がる | 正規ストア以外からの導入を禁止し、検索広告・GitHub経由の配布物は公式サイトからのリンクを確かめる |
| 共有ファイル・招待 | プロンプト集や社内資料共有に見せやすい | 外部共有ルールとプレビュー時の確認手順を定める |
| サポート・審査・異議申立て | アカウント停止や違反警告を装うと急がせやすい | 問い合わせ窓口を正規URLに固定し、メール返信で解決しない |
典型的な攻撃パターンは5つに整理できる
AIブランドなりすまし攻撃は細かく見ると多様ですが、現場の初動としては5つの型に分けると判断しやすくなります。
- 課金更新型：契約更新、請求失敗、カード再登録を装って偽決済画面へ誘導する。
- 再認証型：セキュリティ確認、利用制限解除、SSO再連携を装って偽ログイン画面へ誘導する。
- 偽アプリ配布型：デスクトップアプリ、モバイルアプリ、拡張機能、社内導入ツールを装って不正ファイルを配布する。
- 共有ファイル型：プロンプト集、会議メモ、利用規約変更、管理者資料を装って外部共有へ誘導する。
- 偽サポート型：審査、停止警告、異議申立て、本人確認を装って、メール返信やフォーム入力で情報を抜く。
いずれの型でも共通するのは、「今すぐ」「期限内に」「アクセスが停止される」といった焦らせ方です。リンク先の見た目や本文の日本語品質だけで見抜こうとすると限界があります。AIリスクアセスメントのチェックリスト のように、送信元、認証経路、配布経路、権限要求の4点を機械的に確認する方が再現性があります。
偽サイト・偽アプリ・偽拡張機能を確かめる手順
見た目や日本語の自然さでは見分けきれません。Microsoftが報告した例でも、ChatGPT Plusの支払い更新、Claudeアカウントの「ポリシー違反の異議申し立て」、DeepSeek V4の偽ダウンロードなど、実際にありそうな連絡が使われました。確認は「届いた経路を使わず、公式の入口から開き直す」ことを軸に、次の順で行います。
公式経路で確かめる4つのステップ
- リンクやボタンを押さずに止める：「期限内に」「停止される」「異議申し立て」など急がせる言葉があれば、まず手を止めます。
- 公式の入口から開き直す：社内ポータルに載せた正規URL、ブックマーク、SSOのアプリ一覧からサービスに入り、同じ通知や請求が本当にあるかを確かめます。メールやチャットのリンク、検索広告からは入りません。
- 配布元を確かめる：デスクトップアプリ、CLI、ブラウザ拡張は、社内の配布基盤、正規ストア、管理対象ブラウザの許可リストにあるものだけを使います。GitHubのリポジトリは、検索順位やスター数ではなく、サービスの公式サイトからリンクされているかで判断します。
- 迷ったら転送する：判断できないときは、開かずに情報システム部門の通報窓口へ転送します。
| 届いたもの | 確かめる場所 | やってはいけないこと |
|---|---|---|
| 課金更新・支払い失敗のメール | ブックマークから管理画面を開き、請求情報を見る | メール内のリンクからカード情報を入力する |
| アカウント停止・異議申し立ての通知 | 公式サイトのヘルプセンター、社内の管理者 | 添付PDFのリンクからサインインする |
| 新しいアプリ・プラグインの案内 | 社内の配布基盤、正規ストア、公式サイトのダウンロードページ | 広告や検索上位のリンクからインストーラーを落とす |
| GitHubの「モデル」「ツール」リポジトリ | サービスの公式サイトや公式ドキュメントからのリンク | スター数や検索順位で本物と判断する |
| 共有ファイル・サインインコードの依頼 | 共有した本人に別の手段で確認する | 依頼されたコードをサインイン画面に入力する |
開いた・入力した・インストールした後の初動
どこまで進んだかで、止めるべきものが変わります。どの段階でも、自己判断で済ませず情報システム部門へ連絡し、届いたメールや画面のスクリーンショットを残します。
| 進んだ段階 | 本人がすぐやること | 情報システム部門が確かめること |
|---|---|---|
| リンクを開いただけ | 画面を閉じ、何も入力しない。通報窓口へ転送する | 同じメールが他の社員にも届いていないか確認し、届いていれば削除する |
| IDとパスワードを入力した | 正規の入口からパスワードを変更する | サインイン中のセッションとトークンを無効にし、受信トレイのルールとサインイン履歴を確認する |
| MFAの承認やサインインコードの入力をした | すぐ連絡する（パスワード変更だけでは足りない場合がある） | 発行済みトークンとアプリ連携の許可を取り消し、不審なサインインがないか確認する |
| カード情報を入力した | カード会社へ連絡する | 法人カードなら経理と利用停止の手続きを進める |
| ファイルを開いた・アプリや拡張機能を入れた | 端末をネットワークから外して連絡する | 端末を隔離して調べ、その端末で使っていたアカウントの認証情報を順に変更する |
企業で止めるなら、メール判定より導線設計を先に固める
多くの会社は、注意喚起メールを出して終わりになりがちです。しかし本当に効くのは、「本物ならここからしか入らない」という正規導線を先に固定することです。たとえば ChatGPT や Claude の利用を認めるなら、社内ポータルに正規URLを掲載し、サインインはそこかブックマーク、または IdP 連携経由に限定します。メール内リンクやチャット内リンクから直接ログインさせない運用にすると、偽導線の多くを無効化できます。
同じ考え方はアプリ配布にも使えます。PC向けは MDM やソフトウェア配布基盤、モバイル向けは正規ストア経由、ブラウザ拡張は管理対象ブラウザの許可リストに限定する、といった具合です。AI利用を許可するかどうかより先に、「許可するならどこから導入し、どこから認証するか」を固定する方が事故を減らします。
| 防止策 | やること | 効果 |
|---|---|---|
| 公式ドメイン固定 | 社内ポータルに正規URLを掲載し、ブックマークを配布する | メール本文のリンク確認に依存しにくくなる |
| SSO と MFA | IdP経由の認証を標準にし、管理者や重要アカウントはパスキーなどフィッシングに強いMFAにする | 偽ログイン画面での流出時も被害を狭めやすい |
| 正規配布経路 | アプリ、拡張機能、CLI の配布元を固定する | 偽インストーラーの侵入余地を減らす |
| 通報導線 | 怪しい通知を情シスへ転送する窓口を用意する | 単発の注意喚起より検知サイクルが回りやすい |
| 周知テンプレート | 本物と偽物の見分け方を定型文で共有する | 部署ごとの説明ぶれを減らせる |
社内周知は「禁止事項」だけでなく判断手順を配る
周知文は「怪しいメールに注意してください」だけでは弱く、受信者がその場で何を確認すればよいかまで書く必要があります。おすすめは、1枚の定型文に次の4点を入れることです。(1) 利用を認めているAIサービス名、(2) 正規URLと正規アプリ配布元、(3) ログイン導線の原則、(4) 不審な連絡を受けたときの転送先です。
たとえば、次のような社内文面にすると運用しやすくなります。「ChatGPT、Claude、DeepSeek などの利用案内は、社内ポータルに掲載した正規URL以外からログインしない。課金更新、アカウント確認、アプリ更新の依頼がメールやチャットで来ても、本文リンクは開かず、必ずポータルまたはブックマークから確認する。不審な通知は情報システム部門へ転送する。」このレベルまで固定すると、部署ごとの判断ぶれを抑えやすくなります。
AIの利用を許すサービスと正規の入口は、生成AI利用ルールに書いておくと、周知文と規程の内容がずれにくくなります。
よくある質問
AIブランドなりすまし攻撃とは何ですか？
知名度の高いAIサービス名を使って、正規の通知やログイン手続きに見せかけ、認証情報や端末権限を取る攻撃です。AIサービス自体が侵害されたわけではなく、ブランドの知名度をおとりに使う点が特徴です。
ChatGPT や Claude を装うフィッシングは何を狙いますか？
主にログイン情報、MFA 情報、決済情報、端末へのアプリ導入、社内共有ファイルへの初回アクセスです。単独で終わるより、認証情報流出と不正アプリ導入が組み合わさる方が被害が大きくなります。
検索上位に出てきたAIツールのダウンロードページは信用できますか？
検索順位だけでは判断できません。Microsoftは、2026年4月に作られたDeepSeek V4の偽リポジトリが、検索結果でBingの1位、Googleでも上位に表示され、情報窃取マルウェアを配布した例を報告しています。サービスの公式サイトからたどれる配布元か、社内で許可された配布基盤かを確かめてください。
偽のログイン画面にパスワードを入れてしまったら、パスワードを変えれば十分ですか？
十分とは限りません。中間者型のフィッシングでは、サインイン後のトークンが盗まれる場合があります。パスワード変更に加えて、情報システム部門がセッションやトークンを無効にし、受信トレイのルールやサインイン履歴を確認します。
