「VibeScamming」とは、攻撃者が自然言語処理AIツールを活用し、最小限の技術的スキルで詐欺インフラを生成、改良、展開する、新たな種類の詐欺手口を指します。 フィッシングキットを手作業で作成する代わりに、希望する内容を平易な言葉で記述するだけで、AIを活用したツールが、説得力のあるログインページやワークフロー、配信コンテンツ、さらにはホスティング用のアセットまで生成してくれます。
ディフェンダーにとっては、それによって問題の性質が変わってきます。 問題はもはや、悪意のあるコードや明らかに偽物のウェブサイトだけにとどまりません。
これは、信頼されている自動化機能や正当な開発者のワークフローを悪用し、手動での対応を凌駕するほどのスピードで展開される、IDを悪用した高度な欺瞞攻撃です。
目次
なぜ今、「VibeScamming」が重要なのか
Lovable：VibeScammingがどのように進化しているかを示す最近の事例
- 「VibeScamming」と従来のフィッシングの違い
- VibeScammingの攻撃チェーンはどのようなものになるのでしょうか
- 防御担当者は、単にページ数だけでなく、露出という観点から考えるべき理由
- VibeScammingのリスクに対するTaniumの見解
- セキュリティチームは「VibeScamming」に対してどのような対策を講じるべきか
- VibeScammingの疑いがある事件発生後の、狩猟に関する実用的な質問
- VibeScammingに関するよくある誤解
- 長期的な安全保障上の影響
- VibeScammingに関するよくある質問
「VibeScamming」とは何ですか？
大まかに言えば、VibeScammingは、 の「vibe coding」（）に対する悪意のある対極にあるものです。 バイブコーディングでは、ユーザーがアプリケーションを説明すると、AIシステムがその作成を支援します。 「VibeScamming」では、この同じ手口が、フィッシング、認証情報の窃取、なりすまし、および詐欺行為へと転用されています。
重要な変化は、アクセシビリティです。 従来のフィッシング攻撃のインフラを構築するには、HTML、JavaScript、ホスティング、リダイレクト、認証情報の取得、および検知回避について、少なくともある程度の実務知識が必要とされてきました。 VibeScammingは、その障壁を低減します。 攻撃者は、プロンプトを次々と試したり、デザインの微調整を依頼したり、ユーザーフローを洗練させたりすることで、本物のユーザーを騙せるほど洗練された、詐欺用のページを作成することができます。
実際には、VibeScammingには次のようなものが含まれます：
- 一般的なビジネスアプリケーションを装った偽のログインポータル
- リダイレクトロジックを備えた認証情報収集ページ
- 特定のターゲット向けに作成されたSMS、メール、またはソーシャルメディア向けの配信文
- 一見正規のプラットフォームを通じてホストされている詐欺用のランディングページ
- 提出された被害者データを審査するための管理者用インターフェース
- リアリズムを高め、明らかな誤りを減らす反復的なプロンプトチェーン
本記事では、「VibeScamming」という用語を、攻撃者がプロンプトを通じてコンテンツ、ページ、ワークフローを迅速に構築・調整する、AIを活用したフィッシングや詐欺の手口を指す用語として使用しています。
[攻撃者が機械並みのスピードで行動する中、この会話は、AI時代の防御において、なぜ敵と同じような考え方で行動し、対応しなければならないのかを示しています]
なぜ今、「VibeScamming」が重要なのか
AIは長年にわたりサイバー犯罪に利用されてきましたが、 およびIBMの「データ侵害のコストに関するレポート（第 2025 版）」 によると、報告されたデータ侵害の平均 16％（およそ 6件に1件）において、攻撃者がAIを利用していたことが判明しました。
最近では、特定のツールのおかげで、構想から実行へと移行することがより容易になりました。 AIを搭載したプラットフォームが、プロンプトを実際に機能するWeb体験に変換できるようになると、攻撃のライフサイクルが短縮されます。
それが重要である理由は、次の3つあります：
- 必要なスキルのハードルが低下しました
攻撃者は、説得力のある詐欺ページを作成するために、もはや高度な開発スキルを必要としなくなりました。 彼らには、意図と、何を模倣すべきかという基本的な理解、そしてガードレールの限界を探るのに十分な粘り強さが必要です。
- 反復サイクルの短縮
フィッシング攻撃 は常に進化してきましたが、VibeScamming によって反復サイクルが劇的に短縮されています。 攻撃者は、サイトが停止されたり検知されたりした後でも、迅速にコンテンツのコピーやブランド名の変更、フローの変更、ページの再構築を行うことができます。 - 「信頼の悪用」のさらなる事例
こうした詐欺の多くは、一見すると正当に見えるサービスを通じて作成・運営されている場合があります。 それによって、従来の信頼の指標が弱まる可能性があります。 すっきりとした見た目のドメイン、プロフェッショナルなユーザー体験、そして主流のツールが、必ずしも善意の表れであるとは限りません。
Lovable：VibeScammingがどのように進化しているかを示す最近の事例
そうした力学は、単なる理論上の話ではありません。 これらはすでに野生で観察されています。
で広く引用されているある事例（）において、研究者たちは、テキストプロンプトからフルスタックのWebアプリケーションを生成・展開するように設計されたAI駆動型のアプリ構築プラットフォーム「Lovable」が、プロンプトの繰り返しによる微調整や「ジェイルブレイク」的な手法を通じて、実際のフィッシングインフラストラクチャを生成するように誘導できることを実証しました。
このプラットフォームは、正規の組み込みワークフローを活用し、ピクセル単位で正確ななりすましページを生成し、それらをLovableが管理するサブドメイン上に自動的にホストするとともに、盗まれた認証情報を収集・確認するためのバックエンドロジックも組み込みました。
Lovableの事例から得られた最も重要な教訓は、単一のプラットフォームが暴露されたことではありませんでした。 この事件は、構想、作成、展開が密接に結びついている状況下で、現代のフィッシング攻撃がどのように進化しているかを浮き彫りにしたものでした。
[AIコーディングツールにおける公開ソースの漏洩が、攻撃者の優位性をどのように変えるのか、そして企業が今評価すべき点について解説します]
その場合、パターンは次のようなものでした：
- あるユーザーが、自然言語のプロンプトを用いて、アプリケーションのような機能を利用したいと要望しました。
- 反復的な改良により、なりすましの精度と視覚的なリアリズムが向上しました。
- このプラットフォームでは、標準的な開発ワークフローを通じて、ライブのホスト型ページをデプロイしました。
- それらのページは、一見普通のウェブページに見せかけながら、認証情報を盗み出していました。
- このプロセスは、手作業による開発やカスタムインフラの煩わしさなしに、迅速に繰り返すことが可能です。
だからこそ、「VibeScamming」は単なる「AIがフィッシングページを作成した」という以上のものとして理解されるべきなのです。 これは、技術的な悪用から、信頼された自動化システムの悪用へと向かう、より広範な変化を反映しています。そこでは、手作業で作成されたキットや特注のマルウェアよりも、スピード、洗練度、そして正当性がより重視されるようになっています。
「VibeScamming」と従来のフィッシングの違い
フィッシングの手口はよく知られています。 変化しているのは、運営モデルです。
| 従来のフィッシング | VibeScamming |
|---|---|
| 多くの場合、再利用されたキットや手作業で複製されたページから構成されています | 多くの場合、プロンプトを通じて生成・改良されています |
| より直接的な技術的な設定が必要となります | インフラやコーディングに関する障壁を軽減します |
| 変更には手動での編集が必要になる場合があります | キャンペーンは、対話形式で反復して進めることができます |
| 攻撃者のスキルによって、その質は異なります | プロ並みの仕上がりをより簡単に作成できるようになります |
| 検出は、多くの場合、既知のパターンに依存しています | ツールやワークフローが正規のものに見えるため、シグナルが弱くなっている可能性があります |
防御側にとって、これは従来の対策が依然として重要である一方で、それだけでは不十分になりつつあることを意味します。 URLの分析、メールのフィルタリング、およびコンテンツの削除は、依然として有用です。 しかし、攻撃者が迅速に体制を立て直し、正当な開発やホスティングのパターンを悪用できる状況では、対応は、情報漏洩の範囲、身元への影響、およびエンドポイントレベルの証拠の特定に、より迅速に焦点を当てる必要があります。
VibeScammingの攻撃チェーンはどのようなものになるのでしょうか
典型的なVibeScammingの手口は、たとえ攻撃者が比較的経験が浅い場合でも、いくつかの段階を経ることがあります。
標的および口実の選定
攻撃者は、標的がすでに信頼しているブランド、アプリケーション、またはワークフローを選びます。 代表的なテーマとしては、IDプロバイダー、給与計算システム、コラボレーションツール、荷物追跡、あるいは の多要素認証（MFA）の認証画面などが挙げられます。。
[アドバイザリーAIから自律実行への移行が、今日エージェント型ワークフローを運用しているあらゆる企業のリスク評価をいかに変えるのか、その理由をご覧ください]
AIを活用したページ生成
攻撃者は、AI機能を備えたビルダーを利用して、正規のものと同一のログイン画面やサポートページを作成させます。 複数のプロンプトを通じて、表現や色、レイアウト、リダイレクトを微調整する場合があります。
配信コンテンツの制作
その後、AIを活用して、 誘い文句に合わせたテキストメッセージ、Eメール、またはソーシャルメディアのメッセージを生成します。 同じツールチェーンを使って文体や書式を整えることができるため、こうしたキャンペーンは、従来のありふれたフィッシング攻撃よりも洗練された印象を与えることがよくあります。
認証情報の取得とデータの取り扱い
攻撃が成功した場合、被害者は認証情報やその他の 機密データを に送信してしまいます。 オペレーターは、その情報を、後で利用できるよう、簡易な保存機能やダッシュボードに転送することができます。
迅速な適応
フィッシングページが警告対象になったり、削除されたりした場合、攻撃者は多くの場合、すぐにそのページを別のものに置き換えることができます。 2025 年に開催されたACM Web Conferenceで発表された大規模な分析（ ）によると、多くのフィッシングサイトは数時間以内に削除されており、286,000 件以上のURLを対象とした調査では、その存続期間の中央値は5.46 時間であることが判明しました。
個々のページは短期間しか公開されないため、成功するキャンペーンは、単一のページをオンラインに維持することよりも、新しいバージョンを迅速に生成することに重点を置いています。そのため、スピードと反復は、VibeScammingの決定的な運用上の強みとなっています。
防御担当者は、単にページ数だけでなく、露出という観点から考えるべき理由
VibeScammingについて議論する際の落とし穴の一つは、詐欺ページそのものに焦点を絞りすぎてしまうことです。 セキュリティ担当者にとっての真の課題は、より広範なものです。具体的には、どのような身元情報が漏洩したのか、どのエンドポイントが関与していたのか、そしてそれらの認証情報がどこで再利用された可能性があるのか、ということです。
フィッシング攻撃は、最初に盗まれたパスワードだけで終わることはめったにないため、これは特に重要です。 認証情報が盗み出されると、攻撃者は他の企業アカウントやSaaSアカウントに対して、その認証情報を悪用しようとする可能性があります。
攻撃者は、次のようなことを試みる可能性があります：
- SaaSアプリケーションにアクセスする
- 企業内の各アカウントで同じパスワードを再利用する
- 新しいMFA認証方法を登録する
- データのダウンロード
- エンドポイントでの永続化を設定する
- 有効な認証情報を使用して横方向に移動してください
ドメインのブロックやメッセージの削除のみに焦点を当てた対応モデルでは、より根本的な問題を見落としてしまいます。 詐欺が判明した時点で、組織はその影響を迅速に把握し、確信を持って行動する必要があります。
VibeScammingのリスクに対するTaniumの見解
VibeScammingは、身元情報や信頼関係に基づく新たな種類の悪用手法であり、正当なツールが攻撃チェーンの一部として利用されることで、従来のページやドメインに基づくシグナルの信頼性が低下し、防御側の不確実性が高まっています。
この傾向は、特定のプラットフォームに起因する事象というよりは、「VibeScamming」というパターンとして捉えるのが最も適切です。
その区別は、運用上重要な意味を持ちます。 防御側が問題を主に「悪質なページ」や「悪質なドメイン」として捉えると、対応策は境界制御に集中しがちです。 対照的に、VibeScammingを「身元や信頼に基づく悪用」と捉える場合、対応の範囲は自然と広がり、ユーザーへの影響、認証リスク、エンドポイントのコンテキスト、およびスコープの特定速度などが含まれることになります。
この脅威が運用上の重大な問題となる理由は、生成される詐欺ページの質だけでなく、生産性向上のために設計されたツールが悪用されることで、キャンペーンの反復、展開、調整がどれほど迅速かつ大規模に行われるかという点にもあります。
課題は、個々の詐欺ページをブロックすることから、影響を受けたID、関与したエンドポイント、および認証情報の再利用の可能性など、大規模な実際の被害状況を把握することへと移行しています。 こうした変化に伴い、組織はAIガバナンスと監督体制を見直すことを余儀なくされています。これには、組織全体の環境においてAIツールをどのように把握・監視・規制するかといった点も含まれており、これは のAIコンプライアンスにおいて、ますます重要な課題となっています。。
攻撃者が のAI駆動型自動化機能 を利用して、手動による検知手法を凌駕しているため、対応の有効性はページ単位の削除に依存する度合いが低くなり、不確実性をいかに迅速に解消できるかにかかっているのです。 これらの事象は、単発的なウェブ上の現象ではなく、アイデンティティへの影響、影響範囲、および再利用の観点から理解すべき、急速に広がる情報漏洩事案です（単に悪意のあるページやドメインが存在するというだけではありません）。
そして、その見直しが、対応の順序付けにどのような影響を及ぼすかという点に、直接的な影響を及ぼします。
不確実性が高まった場合、インシデント対応にはどのような変化が生じるのでしょうか
フィッシング攻撃が迅速に再構築・再開されるようになった現在、対応において最も困難な点の一つは、もはやインフラの遮断ではなく、確実な対応を行うために、実際の被害状況を迅速に把握することとなっています。
その現実により、回答すべき質問の順番が変わってきます。 個々のページやドメインから始めるのではなく、効果的な対応としては、次のような手順を踏むことがますます一般的になっています：
- 影響を受ける可能性のあるIDを特定する
- どのエンドポイントが関与していたかを特定してください
- 認証情報の再利用の兆候を調査する
- 不確実性を迅速に低減し、確信を持って対応策を決定できるようにする
AIを活用した詐欺の手口によって攻撃者の実行期間が短縮されるにつれ、この一連のプロセスはますます重要になってきています。 攻撃者がインフラを迅速に構築・再展開できる状況下では、防御側は、遅かったり、断片的であったり、ページごとに処理するワークフローを待つことなく、実際のリスクを把握する手段を必要としています。
セキュリティチームは「VibeScamming」に対してどのような対策を講じるべきか
VibeScammingは、既存のフィッシング対策の有効性を損なうものではありません。 スピード、状況把握、連携の面で、その水準を引き上げます。
ID管理を強化する
こうした攻撃の多くは認証情報を直接標的としているため、ID防御は依然として極めて重要です：
- 実用的な範囲で、フィッシング攻撃に強い認証を徹底してください
- MFA登録およびリセットのワークフローを確認する
- 不可能な移動、不審なデバイスへのアクセス、および権限の変更を監視します
- パスワードの再利用リスクおよび休眠アカウントの監査
エンドポイント・コンテキストへの対応を改善する
たとえ最初の誘引がWebベースであったとしても、効果的な調査には、関連付けられたID、電子メール／Web、ブラウザ、SaaS、および のエンドポイント可視性が不可欠です。。 各チームは、どのユーザーが不審なURLにアクセスしたかを特定できる必要があります。
管理対象のデバイスについては、エンドポイントやブラウザのテレメトリが役立つ場合があります。管理対象外のデバイスについては、ID、プロキシ、CASB、MDM、またはその他の利用可能なアクセスログを活用してください。
その他の質問としては、次のようなものがあります：
- その後、新たなセッションは確立されましたか？
- そのユーザーは、その後のダウンロードやスクリプトを実行しましたか？
- ユーザーが認証情報を送信した、悪意のあるOAuthの同意を与えた、あるいはセッションクッキーやトークンが盗まれたという証拠はありましたか？ ローカルの認証情報ストアからの盗難が疑われる場合は、ブラウザの侵害や情報窃取ツールの活動について、別途調査を行ってください。
[AIがすでにセキュリティチームの業務効率化、不要な情報の削減、成果の向上に貢献している実際の活用事例をご覧ください]
単一の検知層への依存度を低減する
電子メールの管理、Webフィルタリング、ブラウザの保護、IDテレメトリ、エンドポイントテレメトリ、およびインシデント対応は、すべて相互に補完し合う必要があります。 この詐欺は、ある経路から侵入し、別の経路を通じて成功する可能性があります。
ユーザーには、あからさまな詐欺ではなく、巧妙な詐欺への対処法を指導してください
啓発活動は、さらに発展していくべきです。 ユーザーは、文法的に正しく、見た目が説得力があり、慣れ親しんだ作業の流れに沿った詐欺に、ますます直面するようになっています。 トレーニングでは、単に「誤字を見つける」ことだけでなく、確認の習慣を身につけることに重点を置くべきです。
VibeScammingの疑いがある事案が発生した後の、実務的な対応に関する質問
キャンペーンが発見された場合、チームはアーティファクトの検証から、環境全体にわたる検討へと迅速に移行すべきです。
| 調査対象地域 | 確認すべき事項 |
|---|---|
| アイデンティティ | どのアカウントで認証情報の入力、パスワードのリセット、または不審なログイン活動が行われましたか？ |
| エンドポイント | どのデバイスがそのURLにアクセスし、その後のブラウザの動作が見られ、あるいは不審なプロセスを開始したのでしょうか？ |
| 認証 | MFAの新規登録や、トークンの異常、あるいはセッションパターンの異常などはありましたか？ |
| 横方向の動き | そのアカウントは、普段使用しないシステム、共有フォルダ、またはアプリケーションにアクセスしましたか？ |
| 封じ込め | 影響を受けた認証情報はリセットされ、セッションは取り消され、高リスクのデバイスは選別されましたか？ |
こここそが、成熟した業務と単なるチェックリスト通りの対応との違いが表れるところです。 チームがユーザー、デバイス、およびIDのコンテキストを迅速に結びつけることができれば、そのインシデントが詐欺ページで止まったのか、それともより広範な侵害へと発展したのかを、より早く判断できるようになります。
VibeScammingに関するよくある誤解
「単なるフィッシングの手口に新しい名前をつけただけですよ」
そうとも限りません。 根本的な目的は依然としてフィッシングである可能性がありますが、攻撃者のワークフローは実質的に異なります。 VibeScammingは、AIを活用した制作、反復、および運用規模の拡大に重点を置いています。
「ガードレールを強化すれば、問題は解決するでしょう」
セキュリティ対策は重要ですが、防御側は、執拗な攻撃者がAIシステムや関連するワークフローへの攻撃を継続すると想定すべきです。 問題は、プロンプトの悪用だけではありません。 これは、チェーンの複数の箇所で、信頼されていた自動化機能が悪用されているということです。
のバイブコーディングのリスク（ ）が企業全体に及ぼす影響を懸念しているチームは、正当なAIワークフローがいかに迅速に悪用され得るかを認識すべきです。
「ホスティングが正規のものに見えれば、そのページはおそらく安全でしょう」
その前提は、次第に信頼性を失いつつあります。 正当なツールや一見普通に見える導入パターンも、攻撃経路の一部となり得ます。 これは、技術的な問題であるのと同様に、根本的にはソーシャルエンジニアリングの問題でもあります。
長期的な安全保障上の影響
VibeScammingから得られるより深い教訓は、企業の信頼モデルが試練にさらされているということです。 セキュリティチームは長年にわたり、ユーザーに対し、不審な文法や奇妙なレイアウト、あるいは明らかに悪意のあるインフラストラクチャに注意を払うよう指導してきました。 AIは、そうした視覚的・言語的な隔たりを縮めます。 一方で、正当なプラットフォームであっても、意図せずして悪意のあるワークフローに信憑性を与えてしまう可能性があります。
つまり、防御側は、攻撃者が容易に偽装できない要素を優先的に考慮する必要があります：
- エンドポイントのリアルタイムの状態
- 本人確認済みアカウントの活動
- セッションおよび認証に関する異常
- 環境全体にわたる曝露の範囲の特定
- セキュリティ部門とIT運用部門を横断した、迅速かつ連携のとれた対応
「VibeScamming」は、単に流行りの用語に過ぎないため、重要ではありません。 これは、AIが攻撃者の経済的状況にどのような変化をもたらすかを反映しているという点で重要です。 説得力のある詐欺を仕掛けることが、より簡単になり、より安価になり、より迅速になるにつれ、防御側も同様に迅速にその影響を検証し、不確実性を低減する方法が必要となります。 のサイバー衛生管理 をより強固に確立しておくことは、認証情報やセッションが漏洩した場合の被害範囲を縮小するのにも役立ちます。
VibeScammingに関するよくある質問
VibeScammingは、AIの機能と ソーシャルエンジニアリングが交差する領域に位置しており、現代の企業にとって、急速に広がりつつあり、しばしば誤解されがちな脅威となっています。
攻撃者の手口が進化し、正当なツールが悪用されるようになるにつれ、セキュリティチームはしばしば、ノイズの中から有用な情報を振り分ける作業を余儀なくされています。
以下に、企業のセキュリティチームからよく寄せられる、VibeScammingに関する質問と、その考え方についてご紹介します。
VibeScammingはフィッシングと同じものですか？
VibeScammingは、AIを活用したフィッシングやオンライン詐欺の進化形として理解するのが最も適切です。 これにはフィッシングだけでなく、プロンプトに基づいてページや配信コンテンツ、詐欺のワークフローを迅速に作成することも含まれます。
なぜVibeScammingは防御するのが難しいのでしょうか？
これは、攻撃者に求められるスキルを低下させ、キャンペーンの質を高め、一見正当に見えるツールやワークフローを通じて迅速な反復を可能にするからです。
VibeScammingには、必ずマルウェアが関与しているのでしょうか？
いいえ。多くのVibeScammingキャンペーンは、マルウェアを一切使用せずに、認証情報の盗用、セッションの乗っ取り、なりすまし、または詐欺に焦点を当てています。
企業にとって最大のリスクは何でしょうか？
多くの組織にとって、ID情報の漏洩は依然として主要な懸念事項となっています。これは、認証情報が盗まれると、アカウントの乗っ取りや、企業システムへのより広範なアクセスが可能になってしまうためです。
インシデント対応担当者は、まず何を優先すべきでしょうか？
初期のブロック措置を講じた後、対応担当者は、どのIDやエンドポイントが侵害されたか、認証情報が再利用されていたか、また不審なセッションやその後の活動が発生していたかを迅速に特定する必要があります。
AIを活用した詐欺の手口は、構築が容易になり、正当なワークフローとの見分けがつきにくくなっているため、対応の質は、チームが各IDやエンドポイントにわたるリスクの状況をどれだけ迅速に把握できるかにますます左右されるようになっています。 から無料デモをご予約いただき、Taniumがチームが自信を持って行動できるようどのように支援するかをご確認ください。
