マイクロソフトは、フィッシング攻撃者がMicrosoft Teamsなどの職場コミュニケーションプラットフォームを標的にする動きを強めていると警告しました。チャットメッセージや音声通話を悪用し、従業員が社内コラボレーションツールに寄せる信頼につけ込む手口です。
初期侵入経路としては依然としてメールが主流ですが、Teamsを利用したソーシャルエンジニアリングやボイスフィッシングは2026年第2四半期に急増しました。
マイクロソフトの脅威インテリジェンスチームによると、悪意のあるTeams通話の試行件数は週単位で、6月末時点で2025年半ばの基準値の約10倍にまで増加しています。
攻撃者はIT担当者になりすまし、「アカウントがロックされる」あるいは「緊急のセキュリティ対応が必要」といった口実を使うケースが一般的です。この動きは企業の防御担当者にとって大きな課題となっています。
従来のフィッシングメールとは異なり、Teams経由のやり取りはセキュアメールゲートウェイを回避できるうえ、信頼できる同僚やヘルプデスク担当者、取引先からの連絡であるかのように見せかけることが可能です。
Teamsを悪用したフィッシング活動は第2四半期を通じて増加し、検出された攻撃件数は3月から4月にかけて19%増加、さらに5月から6月にかけても10%増加しました。
IT技術サポートを装う手口が依然として最も多く見られましたが、攻撃者は「IT Support」や「Help Desk」といった分かりやすい表示名ではなく、汎用的な表示名を使う傾向を強めています。
中でも最も増加率が高かったのがボイスフィッシング（ビッシング）です。悪意のある通話の週平均試行件数は4月から5月にかけて31%、5月から6月にかけて27%増加しました。活動が最も活発だったのは平日のUTC14時から20時の時間帯で、従業員が対応しやすい時間が狙われています。
攻撃者はまた、サポートを連想させるドメイン名から離れる傾向も見せています。マイクロソフトによれば、悪意のあるTeamsアカウントはSaaSやスキャン、更新、インフラ関連の用語を使う頻度が増えており、こうした言葉遣いはClickFix型のソーシャルエンジニアリングと相性が良いとされています。
この種の攻撃では、被害者はでっち上げの技術的問題を解決するためとして、コマンドをコピーして実行したり、偽の更新プログラムをインストールしたりするよう誘導されます。
攻撃者の狙いは、認証情報の窃取やリモートアクセスの獲得、マルウェアの配布であることが多いとされています。
説得力のあるTeamsのチャットや通話は、標的となった従業員に多要素認証プロンプトを承認させたり、認証情報を漏らさせたり、リモート管理ソフトウェアをインストールさせたり、通常のメールセキュリティ対策の目が届かない悪意のあるリンクをクリックさせたりする効果を持ちます。
コラボレーションプラットフォームへの拡大が見られる一方で、マイクロソフトは2026年第2四半期だけで約76億件のメールベースのフィッシング脅威を検出しています。
月間件数は4月の27億件から6月には24億件へと減少しましたが、悪意のあるペイロードの目的としては依然として認証情報の窃取が最多で、ペイロードを伴う攻撃全体の94%から96%を占めました。
この減少は、大規模な中間者型フィッシング・アズ・ア・サービス基盤であるTycoon2FAに対する、マイクロソフトのデジタル犯罪対策ユニット（Digital Crimes Unit）による対処措置を受けたものです。
Tycoon2FA関連のフィッシングメールは6月には120万件まで減少し、対策実施前の平均から92%減という結果になりました。また、CAPTCHA認証を用いたフィッシング全体に占める同基盤の割合も12%まで低下しています。
注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりすることを防ぐため、意図的に無害化表記（例: [.]）としています。再度有効な表記に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内のみで行ってください。
SOCの調査における死角を減らし、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への影響を軽減できます。
翻訳元: https://cyberpress.org/workplace-tools-face-phishing/
