標的型攻撃メール・フィッシング ― 多要素認証をも抜ける手口へ

フィッシングは最も長く続く侵入手法です。DBIR 2026でも侵入経路の16%を占めて横ばいで、加えて「プリテキスティング」(架空の前提を作り込む詐欺話法)が6%に拡大し、ランサムウェア・恐喝への入り口になっています。日本では2026年上半期のフィッシング報告が約73万件に上り、報道ベースではその約45%の配送サーバーが中国域に置かれていました。

手口は「偽画面でパスワードを入力させる」単純なものから、多要素認証(MFA)をも突破する中間者攻撃型(AiTM)へ進化しています。AiTM では攻撃者のサーバーが本物のログイン画面の「代理」になり、ユーザーが MFA を完了してもそのセッション(Cookie)ごと奪われてしまいます。

日本の事案データでは、フィッシングを起点とする漏洩は件数自体は多くありませんが、1件が財務・決済権限に直結するビジネスメール詐欺(BEC)や、その後の不正アクセスに発展するケースで深刻度が高くなります。

日本の報告約73万件のうち約45%の配送サーバーが中国域という警察庁の分析が示す通り、配送基盤は国外に分散しています。また、AI の文章生成によって、かつて「日本語が不自然で見抜けた」詐欺メールが自然な文面になり、判別は難しくなる一方です。

技術対策の最有力は「フィッシングに耐性のある認証」への移行です。FIDO2 / パスキーは偽サイトに対して認証情報を送らない設計のため、AiTM 型を含む多くのフィッシングを原理的に無力化します。あわせて送金・契約変更の業務ルール(多承認・電話確認)を整えることが、BEC 対策の要になります。