【AI詐欺解読2】詐欺グループはなぜ「今、荷物を受け取った」と知るのか　漏えい個人情報が作る人物像

ネット通販で買い物をしたり、荷物を受け取ったり、配送状況を確認したりした直後に、物流会社やECサイト、カスタマーサポートを名乗るSMSや電話が届いたことはないだろうか。相手はすべての個人情報を知っているわけではない。それでも、こちらの生活状況と合う情報の断片を示されると、一瞬で警戒心が緩んでしまう。

これは、テクノロジー詐欺を支える地下の分業構造の中で、見落とされがちな重要な部分だ。詐欺グループは、必ずしも身分証番号や銀行口座情報をすべて手に入れる必要はない。氏名、電話番号、ECサイトの購買履歴、荷物の受け取り情報、よく使うプラットフォーム、直近の取引記録。こうした断片的な情報だけでも、いかにも本物らしい偽のカスタマーサポートや偽の物流通知を作ることができる。

個人情報漏えいの本当の怖さは、情報が一度にすべて流出することだけではない。異なる場所から漏れた小さな情報が、何度も複製され、つなぎ合わされ、付加価値を付けられて転売されることで、特定の相手を狙うための名簿へ変わっていくことにある。詐欺グループが、自分や利用しているサービスしか知らないはずの情報を口にした瞬間、詐欺はまるで自分に向けられた正規のサービス通知のように見えてしまう。

​デジタル技術コンサルティング会社「Leadbest Consulting」の共同創業者兼最高デジタル責任者（CDO）、王志清氏は、情報セキュリティやダークウェブ上の取引実態を長年研究してきた。王氏によると、ダークウェブやデータの闇市場では、台湾人の個人情報も珍しくないという。

近年の変化は、単一のデータベースが流出するという単純なものではない。以前は、特定の政府機関、ECサイト、会員システム、データベースなどから情報がまとまって流出するケースが中心だった。しかし現在は、異なる場所から得られたデータが整理され直すケースが増えている。身分証番号、性別、登録住所、携帯電話番号、通信キャリア、ECサイトの利用履歴、消費記録などが、少しずつ同じ人物の輪郭に追加されていく。

王氏はこれを、単なるデータの積み重ねではなく、一人の人間の「スケッチ」を描く作業だと表現する。情報源が増えれば増えるほど、詐欺グループはその人物の生活の動き、消費習慣、人間関係やSNS上のつながり、狙われやすい弱点を把握しやすくなる。
（関連記事： 【AI詐欺解読1】買い物、LINE、画面共有が入口に　AIで進化する詐欺産業の正体 ｜ 関連記事をもっと読む ）

これまで個人情報漏えいは、単発の事件として扱われることが多かった。企業が発表し、利用者がパスワードを変更すれば、問題は一段落したように見える。しかし地下市場では、データは時間がたっても消えるわけではない。転売され、重複を取り除かれ、別の情報と結合され、不足する項目が補われ、再分類されて、新たなデータパッケージとして再び流通する。漏えいした個人情報は、使い捨てのごみではなく、繰り返し加工される「原料」になっている。

​一般的には、ダークウェブは氏名、電話番号、クレジットカード情報、アカウントやパスワードが売買される闇市場だと考えられがちだ。しかし実際には、データを商品化する市場に近い。

王氏によると、ダークウェブ上では個人情報やクレジットカード情報のほか、ハッキングツール、システムの脆弱性、攻撃プログラム、さらには特定の標的を指定した懸賞型の依頼まで取引されている。クレジットカード情報の場合、氏名、カード番号、セキュリティコード（CVV）、有効期限だけでなく、国別、利用時のリスク、決済成功率などによって分類されることもある。

つまり、闇市場で売られているのは、単なる「データの羅列」ではない。整理され、タグ付けされ、すぐに悪用しやすい形にされた情報だ。データが詳しいほど、価格と利用価値は高くなる。情報が新しいほど、詐欺攻撃の入口として使いやすくなる。

さらに、データ取引は一度きりの売買にとどまらない。王氏によると、異なる情報源のデータを再びまとめ、更新版として販売する者もいれば、データを検索サービスとして提供する者もいる。一般のインターネット上に、パスワード漏えいの有無を確認できるサービスがあるように、ダークウェブ上にも、より高度なアカウント情報や個人情報を検索できるサービスが存在する可能性がある。料金を支払えば、より多くの機微情報を調べられるという仕組みだ。

このモデルによって、個人情報の闇市場は「名簿を売る」段階から、「検索できる能力を売る」段階へ移りつつある。買い手は自分でデータを統合する必要がない。特定の条件を入力するだけで、標的に関する情報の断片を手に入れられる可能性がある。

​多くの人は、身分証番号、銀行口座、クレジットカード情報などが漏えいして初めて重大なリスクになると考えがちだ。しかし詐欺の視点から見れば、本当に危険なのは、必ずしも完全な情報ではない。いまの生活状況と合っているように見える断片的な情報である。

王氏は、ECサイトの取引データを例に挙げる。詐欺グループがこうした情報を手に入れた場合、完全な個人情報を持っていなくても、最近何を買ったか、どのプラットフォームを使ったか、どの経路で荷物を受け取ったかを知り、本人に連絡できれば、攻撃を仕掛けるには十分だという。近年よく見られる偽の物流通知、偽のカスタマーサポート、コンビニ受け取りをめぐる少額荷物詐欺なども、こうした断片的な情報を使って信頼性を高めるケースがある。
（関連記事： 【AI詐欺解読1】買い物、LINE、画面共有が入口に　AIで進化する詐欺産業の正体 ｜ 関連記事をもっと読む ）

多くの被害者が後になって「相手が自分の情報を知っていたので本物だと思った」と話すのは、このためだ。詐欺グループが利用しているのは、「一部は本当である」という事実が生む信頼の錯覚である。メッセージの一部が正しければ、人はほかの部分も正しいのだろうと補ってしまう。

例えば、偽の物流SMSに「荷物に異常があります」とだけ書かれていれば、警戒する人は多い。だが、相手が最近の荷物の存在、受け取り店舗、利用したプラットフォーム名を知っていれば、リンクをクリックしたり、LINEを追加したり、個人情報を入力したりする可能性は高まる。詐欺は、完全な作り話だけで人をだますのではない。実際のデータと偽の状況を組み合わせ、判断する時間を奪うことで成立する。

​個人情報の漏えいは、それだけでも危険だ。そこにAIが加わることで、漏えいデータを悪用するハードルはさらに下がっている。

以前は、大量の漏えいデータを使える名簿に整理するには、データマイニング、プログラム作成、データの整理、分析の能力が必要だった。詐欺グループがデータの中から親族や友人の関係、職場でのつながり、消費習慣、投資への関心を見つけるには、一定の技術が求められた。しかし現在は、生成AIがデータ整理、分析方法の提案、プログラムの作成を支援し、データを複数の詐欺シナリオへ落とし込むことも容易になっている。

王氏は、従来のデータマイニングでも、一人の人間関係を可視化し、誰とつながりがあるのか、誰と特に近いのかを調べたうえで、詐欺の筋書きを作ることは可能だったと指摘する。現在はAIの支援によって、攻撃者が高度なデータ分析の専門知識をすべて持っている必要はなくなっている。目的を説明すれば、AIが分析の考え方やプログラム作成を助ける可能性があり、悪用のハードルは大きく下がる。

つまり、漏えいした名簿は、単なる「電話番号リスト」にとどまらない。「人物のプロファイル」へ加工され得る。高齢者とみられる人、頻繁にネット通販を利用する人、投資に関心がある人、高収入の可能性がある人、住宅ローンや自動車ローンを抱える人、SNSで日常生活をよく公開している人。こうした情報がタグ付けされ、それぞれに合った詐欺の話術が作られる可能性がある。

データとAIが結びつくことで、詐欺は手当たり次第にばらまくものから、より対象を絞った攻撃へと変わりつつある。

​個人情報は、もはや文字データだけを指すものではない。AI時代には、音声、映像、公の場での発言、SNS上の投稿や行動履歴も、詐欺の素材になり得る。

近年、著名人をかたる投資詐欺、医師を装って医薬品を売り込む詐欺、金融専門家を名乗って金融商品を勧める手口が相次いでいる。背景には、著名人、ニュースキャスター、医師、金融の専門家などは公開の場に出る機会が多く、映像や音声の素材を入手しやすいという事情がある。こうした素材がディープフェイクの作成に使われれば、本人が本当に商品や投資を勧めているように見えてしまう。
（関連記事： 【AI詐欺解読1】買い物、LINE、画面共有が入口に　AIで進化する詐欺産業の正体 ｜ 関連記事をもっと読む ）

さらに、詐欺グループがある人物の親族関係や交友関係、SNS上の情報を把握していれば、声と人間関係を組み合わせ、より狙いを絞った親族詐欺を作ることも可能になる。こうした高コストの攻撃は、現時点では必ずしも詐欺グループの主流ではないかもしれない。しかし技術的なハードルは下がりつつあり、リスクは高まっている。

だからこそ、個人情報の保護は「身分証番号を漏らさない」という段階にとどめてはならない。AI詐欺の時代には、公開された映像、音声、SNS投稿、勤務先に関する情報、家族とのやり取りも、詐欺のパズルを構成する一片になり得る。

​詐欺グループが把握する情報が電話番号だけでなく、消費履歴、SNS上の人間関係、家族とのやり取り、日常生活の場面にまで及ぶようになれば、従来の注意喚起も見直す必要がある。

これまで市民には、「知らないリンクを押さない」「ワンタイムパスワード（OTP）を教えない」「知らない相手に送金しない」といった対策が呼びかけられてきた。こうした原則はいまも重要だ。しかし、より複雑な精密詐欺に対しては、それだけでは不十分になりつつある。詐欺メッセージは、見知らぬ相手から届くとは限らない。乗っ取られた親族や友人のアカウントから送られてくる可能性もある。リンクのクリックが最初の一歩とも限らない。先にLINEの追加、画面共有の許可、グループへの参加を求め、カスタマーサポート、物流業者、投資アシスタントを装いながら、少しずつ信頼を得ようとする手口も増えている。

​セキュリティソフト大手のトレンドマイクロは、AI時代に消費者が直面するデジタル脅威について、単なる技術的な攻撃ではなく、情報や判断力、信頼そのものを操るものへ変化していると指摘している。防御の範囲も、個人の端末に限らず、家庭全体へ広げる必要があるという。​

この視点は重要だ。一人の個人情報が漏れた場合、影響を受けるのは本人だけとは限らない。詐欺グループは、その人のアカウントを悪用して友人をだますかもしれない。声を合成して家族をだますかもしれない。高齢者、子ども、社会に出たばかりの若者は、デジタル詐欺を見抜く力が十分でない場合があり、次の標的になりやすい。

防詐欺対策は、もはや個人の情報セキュリティだけの問題ではない。家庭全体の情報セキュリティでもある。パスワードを使い回していないか、SNSアカウントで二段階認証を有効にしているか、見知らぬカスタマーサポートから画面共有を求められることが高リスクだと家族が知っているか。親族を名乗る人物から急にお金を求められたとき、高齢の家族が確認できるか。こうした点が、家庭全体の防御力を左右する。

​漏えいした名簿、ダークウェブ上のデータパッケージ、AIによるデータ分析、精密な詐欺。地下市場における個人情報の役割は、単なる連絡先情報から、詐欺の産業チェーン全体を支える「原料」へと変わっている。

詐欺グループは、あなたの人生のすべてを知る必要はない。信用させるのに十分ないくつかの断片を知っていればよい。荷物を受け取ったばかり、確定申告を終えたばかり、物件を内見したばかり、チケットを買ったばかり、特定のコミュニティに参加したばかり、特定のプラットフォームで買い物をしたばかり。こうした情報は、適切な筋書きに組み込まれれば、攻撃の入口になり得る。

ここに、テクノロジー詐欺の防ぎにくさがある。それは完全に見知らぬうそではない。実在するデータの一部を切り取り、偽の状況として再包装したものだからだ。

一般の人にとって、個人情報の漏えいは、迷惑SMSやセールス電話、偽のカスタマーサポートからの連絡が増える程度に見えるかもしれない。しかし詐欺の産業チェーンにとって、こうした情報は標的リストであり、誘導の入口であり、話術に説得力を持たせる根拠でもある。そして、次の精密な詐欺を仕掛ける出発点になる。

世界を、台湾から読む⇒風傳媒日本語版 X：@stormmedia_jp​

編集：柄澤南 （関連記事： 【AI詐欺解読1】買い物、LINE、画面共有が入口に　AIで進化する詐欺産業の正体 ｜ 関連記事をもっと読む ）