Microsoftが追った「経営者なりすまし」メール100万通超

Microsoftは、2026年8月3日から5日に経営者を装う詐欺メールが100万通超送信されたキャンペーンを観測しました。偽の年間契約請求書を使い、経理の支払担当部門に5万ドル近いACH送金を促す手口です。テンプレートにはAI支援による作成と整合する特徴がありましたが、AIがどこまで生成したかは確定していません。

役員の承認から請求書まで、信頼材料を重ねる

メールは、標的企業のCEOなど役員の表示名、返信先の名義と署名、ServiceNowを装った年間サブスクリプション請求書、役員同士の偽の転送会話をひとつの筋書きに組み込んでいました。請求書に記載された送金先は攻撃者側のもので、サンプルによって金融機関が異なるため、標的ごとに変わる可能性がありました。

Microsoftは、ServiceNowを含む正規組織が侵害されたり、関与したりした証拠はないとしています。使われたのは攻撃者が管理する基盤、偽造された通信、見た目を似せたドメインでした。大量のHTMLコメント、構造化されたセクション名、均一なテンプレート構成はAI支援を示す手掛かりですが、それだけで生成範囲までは判断できません。

滑らかな文章より、情報同士の食い違いを見る

不自然さは、表示名と送信元アドレスの不一致、転送したはずの会話に通常のヘッダーがないこと、送信者をCCに入れないよう求める文言、スレッドの配置のずれ、請求書の送信者と承認者をめぐる矛盾に現れていました。

文法が整っていることや、プロらしいブランド表示だけでは、AI生成や詐欺の証明にはなりません。送信元、類似ドメイン、会話履歴、支払い指示を組み合わせて確かめることが大切です。

メールに返信せず、知っている連絡先から確かめる

CISAは、不審な依頼を受けた場合、メール本文やリンク先に書かれた情報を使わず、もともと把握している連絡先から組織へ直接確認するよう案内しています。個人情報や金融情報をメールで送らず、情報が漏れた可能性がある場合は金融機関へすぐ連絡することも勧めています。

Microsoftは、メール認証、なりすまし対策、メールフロー制御、Zero-hour Auto Purge、フィッシング対策ツールを組み合わせた防御を推奨しています。CISAもフィッシング対策機能と多要素認証の利用を挙げており、技術的な防御と別経路での確認を併用する形です。