AI時代のフィッシング対策：防御をすり抜ける「1通」をどう防ぐ？ Cloudflare メールセキュリティとPhishNetの活用術
https://developers.cloudflare.com/cloudflare-one/email-security/settings/phish-submissions/
生成AIの登場により、私たちの業務効率は飛躍的に向上しました。しかし、それは攻撃者にとっても同じです。不自然な日本語や怪しいレイアウトのフィッシングメールは過去のものとなり、現在ではAIによって生成された極めて自然で、巧妙な文面のメールが企業の受信トレイを狙っています。
特に経営層や経理担当者を狙った BEC（ビジネスメール詐欺） は、取引先やCEOになりすまし、既存のセキュリティフィルターをすり抜けてくるケースが後を絶ちません。どんなに高度な防御システムを導入しても、100%防ぐことは難しいのが現実です。
では、防御壁をすり抜けてしまった「すり抜けメール（False Negative）」に対し、私たちはどう対処すべきでしょうか？
今回は、Cloudflareのメールセキュリティ機能の一つである、フィッシングレポート機能「PhishNet」を活用した、対応策をご紹介します。
「おかしい」と思ったら即報告：PhishNetアドオン
Cloudflareが提供する「PhishNet」は、Microsoft 365のOutlook と Google Workspace に統合できるアドオン機能です 。 導入されると、各メール画面の右上にCloudflareのロゴが出現し、ユーザーは不審なメールをワンクリックで報告できるようになります 。
報告の種類は以下の3つに分類されており、ユーザーが直感的に判断できるようになっています 。
・Spam（スパム）： 受信したくないランダムな迷惑メール 。
・Bulk（バルク）： マーケティングメールなど、もう受け取りたくない大量配信メール 。
・Phish（フィッシング）： 詐欺、ハッキング、悪意があると疑われるメールはここで報告します 。
この「Phish」として認識されたメールが、システムが検知できなかった脅威（フォルスネガティブ）の可能性が高いものです 。
専門チームによる「人」の目がAIを進化させる
セキュリティ担当者が最も頭を悩ませるのは、「ユーザーから報告されたメールが本当に危険なのか、単なる誤解なのか」の判断や継続する運用の負荷です。
PhishNetを通じて報告されたメールは、単に隔離されるだけではありません。Cloudflareの専門チームによって検閲・対応が行われます 。
・現場の気づき： ユーザーが「怪しい」と感じて報告。
・専門家の分析： 専門チームが内容を精査。
・エンジンの進化： 分析結果が学習エンジンにフィードバックされ、同様の脅威に対する検知精度が向上。
このサイクルが回ることで、AIによる防御システムはより賢くなり、誤検知（False Positive）を減らしつつ、未知の脅威への対応力を高めていくことができるのです。
導入のベストプラクティス：まずは「目利き」ができる層から
PhishNetの導入は、Microsoft 365、Google Workspace の管理者権限を用いて行いますが、組織全体に一律で展開する必要はありません 。
いきなり全社員に展開すると、誤操作による報告や、判断がつかないメールの報告が殺到する可能性があります。そのため、以下のような段階的な展開が推奨されています。
・BECのリスクが高いユーザーに絞る： 役員や経理担当など、標的になりやすい層 。
・管理側の人間で運用する： メールの真偽をある程度判断できるIT部門やセキュリティ担当者 。
「取捨選択が難しいユーザーに展開しない」ことで、ノイズを減らし、本当に脅威となる「フォルスネガティブ」を正確に汲み上げることが運用の鍵となります 。
まとめ
現在、急速に進化をする AIによる攻撃の高度化に対抗するには、ツールによる自動防御だけでなく、エンドユーザーの「違和感」を吸い上げ、それを専門家の知見で検証し、システムに還流させるエコシステムも必要です。
CloudflareのPhishNetは、Outlook や Google という日常のツールを通じて、この高度なセキュリティサイクルをシンプルに実現します。すり抜けてくる脅威へのセキュリティパートナーとして、このレポート機能の活用を検討してみてはいかがでしょうか。