CERT-UA偽装フィッシングから学ぶAI時代のなりすまし攻撃対策

「セキュリティ機関を装ったフィッシングメールなんて、見分けられる自信がない…」
「AIで作られた偽サイトって、本物との区別がつくの？」

チップス

ボス！ウクライナのセキュリティ機関CERT-UAを騙ったフィッシングメールが100万通も送られたらしいでしゅ！しかも偽サイトはAIで作られてたって……！

ボス

攻撃者がセキュリティ機関を騙るのは、受信者の信頼を最大限に悪用するためだ。「セキュリティツールをインストールしてください」と言われれば、疑わずに実行してしまう人は少なくない。AIで本物そっくりのサイトまで作れる時代だからな。

セキュリティ機関を装ったフィッシングは、一般的なフィッシングよりも成功率が高くなります。
この記事では、CERT-UA偽装キャンペーンの手口と、組織として備えるべき対策を解説します。

フィッシング対策を強化したい方は、この事例の手口をぜひ把握しておいてください。

CERT-UA偽装フィッシングの手口

2026年3月26〜27日、攻撃グループUAC-0255がウクライナのセキュリティ機関CERT-UAを装ったフィッシングメールを大量送信しました。
メールには「専用セキュリティソフトウェアのインストール」を促す内容が記載されていました。

攻撃の流れ

このキャンペーンの特徴的な手口を整理します。

偽サイトのHTMLソースコードには「With Love, CYBER SERP」というコメントが残されており、攻撃者グループの痕跡が確認されています。
攻撃者側のTelegramアカウントは100万通のメール送信と20万台以上の端末感染を主張しましたが、CERT-UAの調査では感染被害は教育機関職員の個人端末数台にとどまったとされています。

チップス

セキュリティ機関からの連絡って思ったら、信じちゃいそうでしゅ……。ファイル名も「protection_tool」って書いてあったら疑わないでしゅよ……

ボス

そこが攻撃者の狙いだ。「守るためのツール」を装うことで、受信者のセキュリティ意識を逆手に取っている。正規のセキュリティ機関がメールでソフトウェアの直接インストールを指示することは通常ないと覚えておけ。

セキュリティ機関を騙る攻撃への対策

この手口は日本でも十分に起こりえるものです。
JPCERT/CCやIPAを装った偽メールが送られてくる可能性を想定しておく必要があります。

組織で実施すべき対策

フィッシング対策として確認すべきポイントは以下の通りです。

AIで生成された偽サイトは見た目だけでは判別が困難です。
ドメイン名の確認（今回は「cert-ua.tech」で正規の「cert.gov.ua」とは異なる）が最も確実な判別方法です。

まとめ

CERT-UAを騙るフィッシングキャンペーンは、セキュリティ機関への信頼を逆手に取った巧妙な攻撃です。
AIによる偽サイト生成で攻撃の精度が上がり、従来のフィッシング対策だけでは防ぎきれない時代に入っています。

「送信元が信頼できる機関だから安全」という前提を捨て、ドメインの確認と別経路での検証を徹底してください。
詳細はThe Hacker Newsの報道で確認できます。

ボス

攻撃者は「信頼」を武器にする。権威ある機関からのメールほど、冷静に確認する習慣を持て。

チップス

ドメイン確認、習慣にするでしゅ！URLのスペルミスとか、見逃さないようにするでしゅ！

フィッシング対策やセキュリティ教育の知見を活かしたい方へ。
フリーランス案件をご紹介しています。