チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
「セキュリティ機関を装ったフィッシングメールなんて、見分けられる自信がない…」
「AIで作られた偽サイトって、本物との区別がつくの？」
チップスボス！ウクライナのセキュリティ機関CERT-UAを騙ったフィッシングメールが100万通も送られたらしいでしゅ！しかも偽サイトはAIで作られてたって……！
ボス攻撃者がセキュリティ機関を騙るのは、受信者の信頼を最大限に悪用するためだ。「セキュリティツールをインストールしてください」と言われれば、疑わずに実行してしまう人は少なくない。AIで本物そっくりのサイトまで作れる時代だからな。
セキュリティ機関を装ったフィッシングは、一般的なフィッシングよりも成功率が高くなります。
この記事では、CERT-UA偽装キャンペーンの手口と、組織として備えるべき対策を解説します。
フィッシング対策を強化したい方は、この事例の手口をぜひ把握しておいてください。
2026年3月26〜27日、攻撃グループUAC-0255がウクライナのセキュリティ機関CERT-UAを装ったフィッシングメールを大量送信しました。
メールには「専用セキュリティソフトウェアのインストール」を促す内容が記載されていました。
このキャンペーンの特徴的な手口を整理します。
偽サイトのHTMLソースコードには「With Love, CYBER SERP」というコメントが残されており、攻撃者グループの痕跡が確認されています。
攻撃者側のTelegramアカウントは100万通のメール送信と20万台以上の端末感染を主張しましたが、CERT-UAの調査では感染被害は教育機関職員の個人端末数台にとどまったとされています。
チップスセキュリティ機関からの連絡って思ったら、信じちゃいそうでしゅ……。ファイル名も「protection_tool」って書いてあったら疑わないでしゅよ……
ボスそこが攻撃者の狙いだ。「守るためのツール」を装うことで、受信者のセキュリティ意識を逆手に取っている。正規のセキュリティ機関がメールでソフトウェアの直接インストールを指示することは通常ないと覚えておけ。
この手口は日本でも十分に起こりえるものです。
JPCERT/CCやIPAを装った偽メールが送られてくる可能性を想定しておく必要があります。
フィッシング対策として確認すべきポイントは以下の通りです。
AIで生成された偽サイトは見た目だけでは判別が困難です。
ドメイン名の確認（今回は「cert-ua.tech」で正規の「cert.gov.ua」とは異なる）が最も確実な判別方法です。
CERT-UAを騙るフィッシングキャンペーンは、セキュリティ機関への信頼を逆手に取った巧妙な攻撃です。
AIによる偽サイト生成で攻撃の精度が上がり、従来のフィッシング対策だけでは防ぎきれない時代に入っています。
「送信元が信頼できる機関だから安全」という前提を捨て、ドメインの確認と別経路での検証を徹底してください。
詳細はThe Hacker Newsの報道で確認できます。
ボス攻撃者は「信頼」を武器にする。権威ある機関からのメールほど、冷静に確認する習慣を持て。
チップスドメイン確認、習慣にするでしゅ！URLのスペルミスとか、見逃さないようにするでしゅ！
フィッシング対策やセキュリティ教育の知見を活かしたい方へ。
フリーランス案件をご紹介しています。
