ニュース
AI検索が偽サポート窓口を表示、374社標的の新手口「Dark Sourcery」
自社の電話番号やサポート窓口を、AIチャットボットが正しく答えてくれると信じてよいのでしょうか。セキュリティ企業の調査により、その前提を崩す新手口が明らかになりました。顧客対応窓口を持つ企業ほど、他人事では済まされない内容です。
何が起きたか
Vigilance Securityは、ChatGPTやGemini、Google検索のAIによる概要といった「AIを用いた検索」を狙った新手口のサイバー攻撃「Dark Sourcery」を明らかにしました。
攻撃者は、企業の公式サポートを装った偽の電話番号やメールアドレス、ログインページを、投稿やPDF、レビュー、サポートページの形でインターネット上に大量に投稿しています。ユーザーがAIチャットボットに企業の連絡先を尋ねると、こうした偽造コンテンツをもとにAIが偽の連絡先を回答してしまう事例が確認されました。実際に偽の連絡先へ問い合わせた結果、支払い情報やクレジットカード情報をだまし取られたという苦情も報告されているといいます。
Vigilance Securityの調査によると、少なくとも374社がこの攻撃の対象になっており、デルタ航空やルフトハンザドイツ航空、カタール航空、JPモルガン・チェース銀行、バンク・オブ・アメリカ、Airbnb、TripAdvisorなどが含まれます。研究担当のアリエル・サイモン氏はセキュリティメディアのDark Readingに対し、権威の高い機関の情報と、ソーシャルメディアやフォーラムなど世論を反映する情報源を組み合わせることで、AIの回答をゆがめることに成功したとの見方を語りました。
背景・解説
「AIによる概要」とは、検索結果の要約をAIが自動生成して表示する機能のことです。従来の検索エンジン最適化(SEO)は検索結果の上位に自社サイトを表示させる技術でしたが、Dark Sourceryはその発想をAIの回答そのものに応用した手口です。
サイモン氏によると、AIは情報源を確認する際、大学や政府機関のような権威ある機関からの情報をより信頼する傾向があります。攻撃者はこの性質を悪用し、権威性の高い情報源を装ったコンテンツと、レビューサイトなど一般ユーザーの声を模したコンテンツをあわせて投稿することで、AIに偽情報を事実として取り込ませています。Dark Readingはこの手口を「SEOポイズニングに似ている」と分析しました。ユーザーが情報の出どころとなったページを一度も確認しないまま、AIが提示した偽の番号や住所に連絡してしまう点に、この攻撃の悪質さがあります。
2026年8月に公表されたExploding Topicsの調査では、AIチャットボットの利用者の91％が、提示された回答を検証していないことも示されています。
仕事や業務への影響 — AI Topicaの見方
顧客からの問い合わせ窓口を持つ企業ほど、自社になりすました偽の連絡先に注意を払う必要があります。例えば、従業員80人ほどのカード決済代行会社でコールセンターを統括する担当者であれば、月に一度は自社名と「サポート」「電話番号」といった語でAIチャットボットに質問し、表示される連絡先が正しいかどうかを確かめるべきです。
Dark Sourceryは大手航空会社や大手銀行を標的にしていますが、374社という対象の広さを踏まえると、中堅・中小企業のサポート窓口が同じ手口で偽装される事態も起こり得ます。社内の経理担当者や購買担当者がAIチャットボットに取引先の連絡先を尋ね、その回答をそのまま信じて振込先や支払い方法を変更してしまえば、金銭的な被害に直結します。例えば、経理担当者が2人しかいない中小企業で、取引先からの入金確認の電話番号をAIに尋ね、表示された番号にそのまま折り返した場合、偽の窓口に誘導されるリスクは十分にあります。
企業側にできる対応は限られていますが、公式サイトの連絡先ページを整備し、検索結果やAIの回答と食い違いがないか定期的に見比べることは有効です。従業員向けには、AIが示した連絡先を鵜呑みにせず、必ず公式サイトや請求書に記載された番号と照合するルールを周知するだけで、被害の多くは防げます。
不確かな点・注意
Dark Sourceryは記事作成時点でも継続中とされ、攻撃の全容はまだ解明されていません。ChatGPTやGeminiがどの程度の割合で偽の連絡先を表示しているか、具体的な数値は示されていないのです。
被害総額や、374社以外に対象が広がっているかどうかも、出典からは明らかになっていません。対策として示されているのは「AIの回答を鵜呑みにしない」という基本的な心構えにとどまり、企業が講じるべき具体的な技術対策は語られていません。読者自身も、AIが示した連絡先を使う前に、公式サイトなど別経路で裏取りをすべきです。