AI時代、人間が気をつけるだけでは守れない。耐フィッシングMFAへの転換（【前編】Yubico Japan 大友淳一コマーシャル営業部部長）

生成AIの普及により、フィッシングメールや偽サイトは、自然な文章と精巧な画面を短時間で作れるようになりました。さらに、AIエージェントによる自動化が進めば、攻撃者は人手やコストを抑えながら、大量の標的に攻撃を仕掛けることができます。企業のサイバー防衛は、従業員が怪しいメールを見抜くことだけに依存できない段階に入っています。

今回のゲストは、ユーザー認証を手がけるYubicoで、日本・韓国のコマーシャル営業を統括するセールスディレクター、大友淳一さんです。Yubicoは2007年にスウェーデンで創業し、その後、米国のシリコンバレーへ拠点を移しながら事業を拡大してきました。

前編では、生成AIとAIエージェントによってサイバー犯罪がどのように巧妙化・自動化しているのかを整理します。そのうえで、従業員教育の必要性と限界、ワンタイムパスワードを使った従来型の多要素認証がフィッシングに破られる仕組み、FIDO2やWebAuthn、パスキーを支える公開鍵暗号方式について、身近な例を交えながら解説します。

＜ゲスト・プロフィール＞
大友 淳一（おおとも・じゅんいち） Yubico Japanコマーシャル営業部 部長
IT業界で10年のエンジニア経験と18年の営業経験を持ち、インフラ、アプリケーション、ITセキュリティ分野に幅広い知識を有する。新製品立ち上げの指揮、戦略的パートナーとの協業による市場開拓に強みを持ち、日本および韓国におけるYubicoのセールスリーダーとして事業拡大をけん引している。 Yubico入社以前は、Gemalto、CA Technologies、Symantec、Veritasなどのテクノロジー企業でセールスリーダーや管理職を歴任。

■□ 収録後記 □■
印象に残ったのは、「怪しいメールを見抜く」という判断自体が、個人の経験や職種、そのときの心理状態に左右されるという指摘です。差出人が上司や経営者に見えたり、急いでいるときに対応を求められたりすれば、普段は慎重な人でも判断を誤る可能性があります。AIが文章だけでなく、声や映像まで再現するようになれば、人の注意力だけに頼る防衛はさらに難しくなります。

一方で、強固な認証も「絶対に破られない」ということではありません。重要なのは、攻撃に必要な時間やコストを大きくし、犯罪者にとって狙いにくい環境をつくることです。従業員教育を続けながら、人が判断を誤っても被害につながりにくい仕組みを整える。その両方が、AI時代のセキュリティには求められています。

（JCGR編集部）