月曜日の朝、経営層や上長の名前で「業務調整」という件名のメールが届いたとします。
一見すると、極秘プロジェクトの打診か緊急の相談のようです。ただ、指示の内容が少し変わっています。電話でも対面でもなく、「新しいLINEグループを作成し、そのQRコードを送ってほしい」というのです。
実際に観測されているメール文面（例）
「自分なら引っかからない」と思うかもしれません。では、差出人が社長や役員の名前で、本文に「至急」と書かれていたらどうでしょうか。
これは単なる迷惑メールではありません。企業が固めたセキュリティ境界を、従業員自身の手を借りて内側から破らせる、高度な標的型攻撃の入り口です。
この手口には、「マルチチャネル攻撃」と「CEO詐欺」という、昨今のサイバー攻撃における2つのトレンドが組み合わさっています。
グローバルで急増する「マルチチャネル攻撃」
攻撃者はなぜ、メールの中で詐欺を完結させず、わざわざ手間をかけてLINEへ移動させようとするのでしょうか。そこには、企業の防衛網を無力化する明確な狙いがあります。
ログ監視の届かない環境への逃避
企業メールであれば、やり取りはすべてサーバーにログとして残り、情報システム部門（情シス）が監査できます。しかし、舞台が個人のスマートフォンやLINEといったコンシューマー向けツールに移った瞬間、企業側は会話の内容を追跡できなくなります。攻撃者が意図的に「シャドーIT」の状態を作り出し、監視の死角へ被害者を引き込んでいるわけです。
セキュリティフィルターの無効化
現在のメールフィルターは優秀です。「振込先を変更してくれ」といった詐欺特有のキーワードや怪しい添付ファイルは、即座に検知・隔離されます。そこで攻撃者は、メールでは当たり障りのない業務連絡だけを送り、検閲のないLINEという「密室」に移ってから、金銭要求やウイルス送付といった本題を切り出す戦法をとります。
QRコードという「画像」の壁
URLリンクをメールに貼れば、フィッシング対策システムがリンク先を解析して警告を出すことがあります。QRコードの「画像」を添付させたり、やり取りさせたりするのは、こうしたテキストベースの解析やURLフィルターをすり抜けるためです。攻撃者は、テクノロジーの隙間を巧みに突いてきます。
古くからある「CEO詐欺（BEC）」が生成AIで加速している
技術的な回避策に加えて、この攻撃の核心は「心理的な罠」にあります。従来のBEC（ビジネスメール詐欺）と決定的に違うのは、生成AIが「違和感」という防御壁を壊してしまった点です。不自然な日本語や微妙なマナー違反といった、私たちが頼りにしてきた検知シグナルは、もう機能しません。
権威性の悪用：AIによる文体模倣と「断れない空気」
「業務調整」「重要」という件名、そして差出人が上層部であること。これらは心理学でいう「権威性（Authority）」を突く古典的な手法です。生成AIはここを大きく強化しました。攻撃者はCEOの過去のインタビュー記事やSNS、公開メールなどをAIに学習させ、その人特有の言い回しや口癖まで再現してきます。
「社長が今すぐ連絡を取りたがっている。しかも電話はできない状況だ」という設定に対して、部下が「怪しいのでやりません」と即答するのは、心理的に簡単なことではありません。そこに、いかにも社長が書きそうな、少し切迫しつつも労いの言葉を含んだ文面が届けば、疑念は使命感に置き換わってしまいます。
「他言無用」による孤立化：AIが作る、もっともらしい理由
「他の方を招待しないでください」という指示は、機密保持のためではありません。被害者が同僚や本物の情シス部門に相談するのを防ぐためです。被害者を孤立させて冷静な判断力を奪うのはBECの常套手段ですが、ここでも生成AIが効いてきます。
被害者が「一度上長に確認します」と返信しようものなら、AIは即座に、「なぜ今、誰にも知られてはいけないのか」を説明する合理的なストーリー（M&Aの極秘交渉、内部監査の特命など）を生成して返してきます。この「説得の自動化」がリアルタイムで繰り出されることで、被害者は誰にも相談できないまま袋小路に追い込まれていきます。
最も巧妙な点：「被害者に作らせる」という逆転の発想（IKEA効果の悪用）
この手口で最も巧妙なのは、攻撃者が招待URLを送るのではなく、被害者自身にグループを作らせ、オーナーにさせる点です。
通常なら、知らない人からURLが送られてくれば警戒します（受動的）。しかしこの手口では、被害者が自分の手を動かしてグループを作ります（能動的）。
これは行動経済学でいう「IKEA効果」（自分が労力をかけたものに高い価値や愛着を感じる心理）や「主導権の錯覚」を悪用したものです。「自分が作成し、自分が招待したグループ」という事実が、「ここは自分が管理している安全な場所だ」という誤った認識を強めてしまう。あえてこの一手間を被害者にかけさせることで、攻撃者は警戒心を解除させているのです。
LINEグループに入った後、何が起きるか
指示どおりQRコードを返信し、自称CEOがLINEグループに参加した瞬間、そこは企業の監視が届かない場所になります。想定されるシナリオは次のとおりです。
金銭の要求（ギフトカード詐欺）
「今すぐ取引先への贈答用にApple Gift Cardが必要だ。後で精算するから購入して番号を送れ」といった指示です。最も古典的な手口ですが、LINE上なら画像の送信も簡単で、直感的に従わせやすくなります。
フィッシングサイトへの誘導
「緊急で確認してほしい資料がある」として、クラウドストレージ（BoxやGoogle Drive等）を模した偽サイトのURLが送られてきます。ID・パスワードを入力してしまえば、社内アカウントが乗っ取られます。
マルウェア感染
「修正パッチ」や「新しい業務アプリ」と称して不正なファイル（AndroidのAPKファイル等）をインストールさせられ、スマートフォン内の情報を丸ごと抜き取られる恐れがあります。
今後想定されるマルチチャネル攻撃のシナリオ
とはいえ、業務でLINEを使う場面が少ない企業も多く、メッセージアプリへの誘導は相手を選ぶ攻撃でもありました。グローバルでは、攻撃者がこの障壁を避けるために「電話」や「SMS」へ誘導する攻撃も活発化しています。
今後とくに警戒すべきなのは、SMSと音声を組み合わせたハイブリッド型の攻撃です。
フェーズ1（着火）: 「給与振込口座に不備があります」「緊急セキュリティ通知」といったSMSが届く。
フェーズ2（信頼の偽装）: リンクを開くと本物そっくりの偽サイトが表示され、画面には「至急、担当部署へ電話してください」と番号が示される。
フェーズ3（音声による制圧）: 電話をかけると、AIで生成された自動音声、あるいはリアルタイムボイスチェンジャーを使う攻撃者が流暢な日本語で応対し、認証情報の入力や送金を指示する。
テキストの時代から、音声の時代へ。「文字」は疑えても「声」は疑わないという人間の心理的な弱点を突くこの手法は、LINE誘導型と比べても、成功率と被害額の面ではるかに大きなリスクを孕んでいます。2025年以降、防御側は「音声トラフィックの信頼性をどう担保するか」という新しい難題にも向き合うことになるはずです。
次世代型の攻撃への対策として求められること
何より急がれるのは、従業員教育の抜本的な見直しです。「怪しいURLを見分ける」「不自然な日本語に気をつける」といった従来型の教育は、生成AIの登場で通用しなくなりました。いまの攻撃メールや音声は、完璧な日本語とビジネスマナーで構成されています。
これからの教育で鍛えるべきは、デジタルデータの真贋を見抜くスキルではなく、攻撃者が仕掛ける心理的な罠（ソーシャルエンジニアリング）に気づく感覚です。
権威への健全な疑い。社長や上司からの指示であっても、通常の手順を外れている場合（電話でギフトカードを要求する、個人のLINEへ誘導するなど）は、一度立ち止まって疑う勇気を持つこと。
心理的な切迫感への耐性。「至急」「今すぐ」という言葉で思考を止めさせる手口を理解し、相手が急かせば急かすほど、意図的に時間を置いて確認する冷静さを養うこと。
確認を賞賛する文化。「社長を疑うなんて失礼だ」という組織風土こそが最大の脆弱性です。「確認のために電話を切る」行為が、無礼ではなく会社を守る忠誠心ある行動として賞賛される文化（Zero Trust Culture）を育てる必要があります。
