10件中8件のフィッシングメールがAI生成コンテンツを含むようになった。Kaseyaが2026年に発表した最新セキュリティレポートによると、その比率は83%に達し、フィッシング攻撃は大量配信の煩わしさから精密な詐欺ツールへ進化したと指摘している。2026年3月17日にKaseyaが公開したこのレポートは、2025年にINKYプラットフォームで処理された45億件以上のメールを分析対象としており、生成AIがビジネス環境のセキュリティ脅威をどう変えたかについて、これまでで最も詳細な調査の一つとなっている。
メール配信の到達率とドメイン評価に依存するメール担当者やビジネスオーナーにとって、これは遠い問題ではない。攻撃者が顧客へのリーチに使用するブランドやプラットフォームになりすまし、それが受信者を騙すほど巧妙であれば、被害は直接あなたのメール配信可能性、ドメイン信用度、そして顧客のエンゲージメント意欲に影響する。
急速な変化を示す数字
Kaseyaが指摘する業界研究によれば、フィッシングメールの83%が何らかの形でAIコンテンツを使用しており、ビジネスメール詐欺(BEC)攻撃の40%は生成AIが関与している。さらに重要な点として、AI生成フィッシングメールのクリック率は54%に達し、従来の悪意あるメールの12%を大きく上回っている。
このレポートはまた、ランサムウェアによる損失が79%減少した一方で、フィッシング被害の経済的コストが275%増加し、年間187億ドルから700億ドルに跳ね上がったことを強調している。フィッシングはFBIに寄せられたサイバー犯罪相談の26%を占めるまでになった。
2025年にINKYが処理した45億件のメールのうち、281のユニークなブランドがなりすまし対象となり、AI生成レイアウトにより攻撃者は大手金融機関や小売ブランドのビジュアル言語をより精密に再現できるようになった。
この規模の問題は、メール施策を管理する誰もが無視できない。あなたのブランドがなりすまし対象に含まれている場合、購読者は長年かけて構築した信頼を損なわせる巧妙な偽メールを受け取っている可能性がある。
従来の警告サインが機能しなくなった理由
Kaseyaのセキュリティスイート担当上級副社長、Dave Baggett氏は率直に述べている。「この1年で、AI生成フィッシングは当たり前になった。攻撃者は今、規模を確保しながら極めて説得力のあるメッセージを生成できる。つまり、セキュリティツールが長年頼ってきた従来の警告サイン、文法の誤り、疑わしいドメイン、明らかに不自然なリンクは消え去ろうとしている。防御側は今、指標ではなく意図とコンテキストを評価する必要がある」
大規模言語モデルは、説得力のあるフィッシングキャンペーンに必要な時間を16時間からわずか5分に短縮した。IBM X-Forceの調査はこの効率化をさらに明確に示している。AIは経験豊富な人間のオペレーターが要する16時間に対し、わずか5分で極めて説得力のあるフィッシングメールを生成できる。これは192倍の効率改善だ。
実務的な結果として、「タイポを探せば大丈夫」というアドバイスはもう通用しない。攻撃者は信頼できるプラットフォームと基盤に依存するようになり、従来の検出シグナルの信頼性は低下している。
信頼できるインフラが攻撃面へと変わった
Kaseyaレポートの最も注目すべき発見の一つは、攻撃がどこから仕掛けられているかだ。フィッシングメール送信に使用される上位5つの正規プラットフォームは、DocuSign、PayPal、Microsoft、Google Drive、Salesforceだ。攻撃者はもはや明らかに疑わしいドメインを登録しない。彼らは企業が毎日使用しているのと同じSaaS基盤を通じて悪意あるメッセージを送付している。
レポートはまた、ペイロードなしフィッシングがますます一般的になっていることを発見した。ブランドなりすましメールは悪意あるリンクと添付ファイルを完全に削除している。代わりに攻撃者は電話番号を記載し、返信をするよう相手を騙すか、QRコードを含める。「これらの手法は検出可能な指標を減らしながら、ユーザーの判断力への依存を高める」とレポートは指摘している。
QRコード型フィッシング(クイッシング)は、Abnormal Securityによれば2023年から2025年の間に400%増加した。
マーケター向けに言えば、これは直接的な運用上の課題をもたらす。DocuSignやGoogle Driveから送信されるトランザクションメール、請求書、オンボーディングフローを使用している場合、受信者はあなたが依存する同じツールへの不信感を強化されている。
メール防御におけるAI軍拡競争
Kaseyaのレポートは、AIが攻撃側を助けるだけではないことを指摘している。Kaseyaは2025年を通じて、INKYプラットフォームの生成AI駆動検出モデル、意図ベースのラベリング、マルチラベル分類、コンピュータビジョンベースのコンテキスト理解を拡張し、これらの脅威に対処した。
レポートは「メールセキュリティの次の段階はフィルタリング単体では定義されず、メッセージを総合的に分析し、戦術の進化に継続的に適応するAIシステムによって定義される」と予測している。
この予測はメール施策の担当者に直接の影響を与える。DMARC、DKIM、SPFといった認証プロトコルは依然として不可欠だが、これらはドメインレベルのなりすまし対策であり、現在起きているコンテンツレベルの高度な脅威には対応していない。ブロックリストや単純なパターンマッチングなどの静的フィルタはより効果が低く、防御側はログイン異常や異常なリクエストに焦点を当てた行動ベースの検出が必要だ。
あなたのメール施策にもたらす影響
メールマーケティングとメールセキュリティの重なりはもはや理論的な問題ではない。フィッシング攻撃があなたのブランドになりすましば、ドメイン評価が低下する。受信者があなたも使用するプラットフォーム経由で騙されば、メールクライアントはより厳しくフィルタリングする。BEC攻撃があなたのチームを狙えば、内部コミュニケーションが破綻する。
これらの脅威は特に小規模および中規模企業を標的としており、ランサムウェア攻撃の82%がそのセグメントの組織を狙っている。SMBの成長チームとマーケティング部門はしばしば専用のセキュリティサポートなしにメール責任を担当しており、認識が防衛の最初の行動線となる。
実務的な出発点はセキュリティと配信可能性の両方で同じだ。DMARC実装によって送信ドメインを保護し、あなたに代わってメールを送信するSaaS プラットフォームを監査し、メッセージがどれだけ洗練されて見えようとも、異常な返信リクエストやメール内のQRコードを高リスク扱いする。
