セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

FBIのInternet Crime Complaint Center IC3 が公表した2025年年次報告書によると、2025年に受理した苦情件数は1,008,597件、被害総額は208億7,700万ドル 約3兆3,403億円 に達しました。被害額は2024年から26%増え、平均被害額は20,699ドル( 約331万円) でした。FBIは、投資詐欺が引き続き最大の損失源であり、これに BEC詐欺 とサポート詐欺が続いたと整理しています。 暗号資産詐欺が最大の損失源 2025年のIC3報告で最も重いテーマは暗号資産です。暗号資産に関連する苦情は181,565件で、2024年比21%増、損失額は113億6,666万ドル 約1兆8,187億円 で、2024年比22%増でした。平均被害額は62,604ドル 約1,002万円 で、10万ドル超の損失を出した申告者は18,589人にのぼります。 中でも暗号資産投資詐欺は61,559件、72億2,800万ドル 約1兆1,565億円 の損失が報告されており、件数は2024年比48%増、損失は25%増でした。 FBIの分析によれば、これらの巨大な詐欺キャンペーンの多くは単独のハッカーによる犯行ではなく、東南アジアに拠点を置く巨大な国際犯罪シンジケートによって実行されています。彼らは人身売買の被害者を強制労働させ、組織的な詐欺オペレーションを展開している実態が明らかになっています。攻撃者はテキストメッセージ、SNS、マッチングアプリを通じて標的と接触し、長期間にわたって信頼関係を築き上げ、最終的に偽の投資プラットフォームへと誘導して資金を搾取します。 さらに、FBIは暗号資産に関わる「リカバリー（被害回復）詐欺」の急増にも警告を発しています。これは、過去に詐欺被害に遭った人物に対し、政府機関の職員や架空の法律事務所を装って「失われた資金を取り戻す」と持ちかけ、税金や手数料の名目でさらなる資金を搾取する極めて悪質な手口であり、2025年だけで10,516件、約14億ドル（約2,240億円）の被害が生じています。 関連：米財務省、ミャンマーのカレン国民軍とその指導者をサイバー詐欺関与で制裁対象に-詐欺拠点「KKパーク」に関与 高齢者被害の深刻化 人口動態別のデータを分析すると、サイバー犯罪の被害が特定の脆弱な層、すなわち60歳以上の高齢者に著しく集中していることが分かります。 2025年、60歳以上の層からの苦情件数は201,266件に上り、前年から37%増加しました。さらに衝撃的なのはその被害額であり、77億4,800万ドル（約1兆2,396億円）という数字は、前年比で59%という劇的な悪化を示しています。高齢者層だけで、12,444人がそれぞれ10万ドル以上の損失を報告しています。 高齢者が特に狙われているのが、投資詐欺（約35億1,900万ドル）に次いで、テック／サポート詐欺（約10億4,000万ドル）や、政府機関のなりすまし詐欺（約4億1,300万ドル）です。これらの詐欺の多くは、インドなどに拠点を置く違法な国際コールセンターによって実行されています。 例えば、FBIはインドの中央捜査局（CBI）と連携し、「Operation Chakra」と呼ばれる共同作戦を通じて、米国市民から4,870万ドル（約77億9,200万円）以上を搾取した巨大なサイバー犯罪ネットワークを解体しました。この作戦では、麻薬取締局（DEA）や社会保障局（SSA）を騙るコールセンターが急襲され、現金やデバイスが押収されています。 また、詐欺師が被害者の自宅に直接クーリエ（運び屋）を派遣し、現金や貴金属を回収させる「ゴールド・クーリエ詐欺」も約725件発生しており、被害額は3億1,180万ドル（約498億円）に達するなど、サイバー空間と物理空間が交錯する手口も高齢者を脅かしています。 AI関連犯罪も被害拡大 IC3はAIに関連する苦情を22,364件受信し、その被害総額は8億9,300万ドル（約1,428億円）を超えたと報告しています。 重要なポイントとして、「AIという全く新しい独立した犯罪ジャンルが生まれた」のではなく、「AIが既存の犯罪の手口を極めて巧妙にし、実行スピードを劇的に高めるツール（脅威マルチプライヤー）として機能している」という事です。 FBIは具体的なAIの悪用シナリオとして以下の事例を挙げています。 ビジネスメール詐欺（BEC）への応用: 攻撃者はAIチャットジェネレーターを利用し、企業のCEOや役員の文体やニュアンスを完璧に模倣した説得力のある送金指示メールを瞬時に作成しています。さらに、音声クローン技術を用いて電話越しに送金を直接指示するケースも確認されており、企業はAIが関与するBECによって3,000万ドル（約4,800億円）以上の損失を被っています。 投資クラブ詐欺とディープフェイク: 投資詐欺においては、著名な起業家やセレブリティの顔と声をAIで合成したディープフェイク動画がSNSの広告やビデオ通話で多用されています。これにより、被害者は詐欺であることを見抜くのが極めて困難になり、AIが関与した投資詐欺の被害額は6億3,200万ドル（約1,011億円）に達しています。 緊急事態詐欺（ディストレス詐欺）: 家族や親しい友人の声をAIでクローン化し、「事故に遭った」「誘拐された」と装って身代金や緊急の送金を要求する手口です。この手口単体で、2025年には500万ドル（約8億円）以上の被害が発生しています。 雇用詐欺を通じた企業ネットワークへの潜入: これは企業のセキュリティ担当者にとって最も恐るべきトレンドです。リモート面接の際、音声スプーフィングやディープフェイク技術を用いて身元を偽装する攻撃者が急増しています。FBIは、カメラ上の人物の唇の動きと、実際に話している音声が完全に同期していない（咳やくしゃみの音が視覚情報とずれる等）事案を多数確認しています。この手口の目的は、単なる給与の詐取ではなく、北朝鮮（DPRK）のIT労働者などが正規の従業員として企業の内部ネットワークに侵入し、独自の機密データを窃取したり、兵器開発プログラムの資金を調達したりすることにあります。 ランサムウェアと重要インフラ ランサムウェアの件数自体は、被害額全体から見ると詐欺より目立ちません。IC3が2025年に受理したランサムウェア関連苦情は3,600件超、損失額は3,232万ドル超 約51.7億円 でした。ただしFBIは、この数字には事業停止、時間損失、賃金損失、復旧サービス費用などが通常含まれず、実被害は報告額よりはるかに大きいと注意を促しています。 報告書では、2025年に63の新しいランサムウェア亜種が確認され、 Akira、Qilin、INC/Lynx/Sinobi、BianLian、Play、RansomHub、LockBit、Dragonforce、SAFEPAY、Medusa が上位亜種として挙げられました。 影響が大きかった重要インフラ分野は Critical Manufacturing、Healthcare and Public Health、Government Facilities で、重要インフラへのランサムウェア被害は依然として高水準です。 FBIが強調した前向きな成果 一方で報告書は、捜査機関側の成果も強調しています。IC3 Recovery Asset Team の Financial Fraud Kill Chain では、2025年に3,900件の事案に対応し、11億6,391万ドル 約1,862億円 の詐取未遂額に対して6億7,901万ドル 約1,086億円 を凍結し、58%の成功率を記録しました。国内案件だけでも5億700万ドル 約811億円、国際案件で1億7,197万ドル 約275億円 を凍結しています。 また、暗号資産投資詐欺対策の Operation Level Up では、2025年に3,780人の被害者へ注意喚起を行い、推定2億2,587万ドル 約361億円 の被害回避につなげたとしています。FBIは、2024年の立ち上げ以降、累計で5億ドル超 約800億円 の潜在損失削減につながったと説明しています。 情報システム部門が学ぶべき点 このレポートから情シスが学ぶべき点は明確です。 第一に、企業の金銭被害は純粋なマルウェアやランサムウェアだけでなく、BEC、投資詐欺、政府機関なりすまし、サポート詐欺のような対人操作型の犯罪によって大きく発生していることです。技術対策だけではなく、経理、財務、営業、役員層まで含めた運用対策が必要です。 第二に、暗号資産、AI、高齢者被害という3つの軸が2025年の大きな特徴です。 暗号資産詐欺は最大損失源であり、AIは既存詐欺の効率を高め、高齢者は依然として最大の被害層でした。企業としては、送金承認フロー、外部連絡の本人確認、なりすまし対策、暗号資産関連取引の監視、教育対象の拡張が欠かせません。 第三に、ランサムウェアは報告件数や報告被害額だけでは危険度を測れないということです。 FBI自身が、事業停止や復旧費用が十分反映されていないと明記しています。経営判断としては、ランサムウェアを被害額ランキングだけで軽視せず、重要インフラやサプライチェーンへの波及も含めて評価する必要があります。

ブログ