何が起きているか
米国・カナダ・メキシコ共催の2026 FIFAワールドカップは、16都市104試合という史上最大規模で開催されます。販売開始から15日で1億5000万件超のチケット申込が殺到し、約30倍の超過需要となりました。この「手に入らないチケット」を狙った詐欺が、AIによって質・量ともに過去最大規模に膨らんでいます。
Group-IBの調査では、FIFA公式を装う4300超の不正ドメインが確認され、6つの並行する詐欺スキームと4つの独立した攻撃者グループが特定されました。手口はチケット偽販売、ビザ・入国関連サービスの詐称、虚偽の宿泊予約、偽グッズ販売など多岐にわたります。
なぜ「見抜けない」のか
これまでフィッシング詐欺の典型的な兆候は、不自然な英語、誤字、怪しい送信元アドレスでした。生成AIはこの「人間が違和感を持つポイント」を全て消し去ります。AIは新たな攻撃手法を発明したのではなく、攻撃者の生産性を劇的に引き上げました。個別最適化されたスピアフィッシングメールや、ブランディングまで精巧な偽サイトを、人手では不可能な規模で量産できるようになったのです。
TrendAIのTarek Jammoul氏は「サッカーは楽しく無害に感じられるため、人々の警戒心が下がる。詐欺師にとってこれ以上ない機会だ」と指摘します。Naoris ProtocolのDavid Holtzman氏も「過去2年で詐欺は天文学的に増加し、その主因はAIだ」と語っています。
2022年カタール大会との違い
カタール大会でも偽ストリーミングサイト、データ無料配布を装うアンケート詐欺、有名選手の肖像を悪用した暗号資産詐欺は存在しました。今回はそれらの「カテゴリ」が変わったのではなく、規模が拡大しAIで磨き上げられた形で再来している点が本質的に異なります。
防御側もAIで応戦しており、Metaはグローバル・シグナル・エクスチェンジ(GSE)や不正情報相互交換(FIRE)を通じ、プラットフォーム・セキュリティ企業・法執行機関の連携で対抗しています。
💼 事業会社視点：これは自社にどう効くか
日本の事業会社が取るべき視点
この問題は「サッカーファン個人」の話に見えて、実は日本企業の経営課題に直結します。
第一に、福利厚生・インセンティブ旅行を扱う企業。社員報奨や取引先接待でW杯観戦ツアーを手配する商社・代理店は、購買担当者がAI生成の精巧な偽サイトを掴まされるリスクが極めて高い。経営者は購買・経費精算プロセスに「公式販売チャネル経由か」の検証フローを必ず差し込むべきです。
第二に、ECや決済を担うSaaS事業者。FIFA関連ドメイン1万3000件のうち41件に1件が悪性という比率は、自社ブランドを騙る詐欺ドメインが当たり前に存在する時代の到来を示します。商標監視・ドメインテイクダウン体制を「年次予算項目」として常設化すべき段階です。
第三に、受託開発・コーポレートIT。社員向けセキュリティ教育で「怪しい日本語に注意」と教えてきた研修内容は、もはや陳腐化しています。AI時代は「文面の違和感」ではなく「送信ドメイン・URL・支払い経路」を機械的に検証する習慣に切り替える必要があります。役員自らが研修内容のアップデートを指示する局面です。
