最も一般的なフィッシング手法の一部が減少傾向にありますが、それは攻撃者が諦めたからではありません。
従来型のフィッシング手法は、Tycoon2FAというフィッシング・アズ・ア・サービス(PHaaS)プラットフォームが摘発されたことを受けて減少していると、Microsoftが新たなレポート「Email threat landscape: Q2 2026 trends and insights」の中で明らかにしました。
同社はこのレポートの中で、「同プラットフォームに関連するフィッシングの量は、摘発前の平均から92%減少しました。QRコードフィッシングとCAPTCHA制限付きフィッシングはいずれも、3月のピーク時から減少しています」と記しています。
今回のテイクダウンにより、複数のフィッシング分野で活動が減少し、攻撃者は新たな配信手法への移行を迫られました。
この変化に乗じる形で、いくつか注目すべきフィッシングキャンペーンが登場しました。その一つが、3時間足らずで42,000の組織に到達した自動化ビジネスメール詐欺(BEC)キャンペーンです。また、入れ子構造のメール(EML)ファイルやカレンダー招待、Microsoftの認証リダイレクトを悪用してマルウェアを配信する多段階フィッシングキャンペーンも確認されています。
フィッシング攻撃に対抗するため、Microsoftは既知の悪性URLや件名を含むメールをブロックすること、パスワードレス認証方式を有効にすること、あるいはパスワードを依然として必要とするアカウントについてはMFAへの移行を推奨しています。
Tycoon2FAの摘発で攻撃者は新たな手法を模索
Tycoon2FAの摘発により、運営者はインフラの一部を放棄せざるを得なくなり、ホスティング、ドメイン登録、配信手法の見直しを迫られました。
Microsoftは、「3月に15%、4月にさらに22%減少した後、Tycoon2FA関連のフィッシング量は5月に74%急減してわずか150万通となり、6月にはさらに20%減少して120万通となりました。これは少なくとも過去1年間で観測された中で最も低い月間量です」と述べています。
この減少傾向は、QRコード誘導や偽の CAPTCHAページにも及んでいます。この2つのフィッシング手法では、Tycoon2FAが6月時点の業界全体の活動に占める割合はそれぞれ12%と14%でした。これは、同プラットフォームの利用者が代替インフラへの移行を果たせていないことを示しています。
しかし、ハッカーというヒドラの首を一つ切り落としても、他の場所で新たな手口が台頭するだけでした。
その適応の一例が、Microsoft Teamsをソーシャルエンジニアリングの経路として悪用する手法です。攻撃者は会話を成立させて信頼関係を築いた上で、認証情報の窃取や悪性ペイロードの配信を試みています。Microsoftは、「Teamsを介したフィッシングの量は第2四半期を通じて着実に増加しており、検出された攻撃の平均数は3月から4月にかけて19%上昇し、5月にはほぼ横ばい(+1%)となった後、6月にはさらに10%増加しました」と述べています。
Microsoftはまた、スクリプト化されたメール、Amazon Simple Email Service(SES)、エンゲージメントトラッキングを駆使して67,000人以上のユーザーに到達した高度に自動化されたBECキャンペーンも観測しました。これとは別に、Teamsのアーカイブ録画やICSカレンダー招待などMicrosoftの信頼された認証フローやクラウドサービスを悪用し、正規のインフラの裏にマルウェア配信を隠す形で107,000人のユーザーを標的にしたフィッシングキャンペーンも確認しています。
フィッシングの手口は変化しても、防御の基本は変わらない
QRコードとCAPTCHAを利用したフィッシング攻撃が第2四半期に大きく減少する一方で、ビジネスメール詐欺(BEC)は3月から4月にかけて121%急増し、その後5月に再び減少しました。
QRコードフィッシングは、3月のピーク時の1,870万件から、2026年6月には830万件まで減少しました。同様に、CAPTCHA制限付きフィッシングも3月の1,200万件から6月には220万件まで減少しています。
BEC攻撃は3月に900万件に達した後、6月には390万件まで減少しました。
しかし、こうした従来型のフィッシング手法が勢いを失い、新たな手法が台頭する中でも、Microsoftの防御に関する提言は基本に立ち返るものでした。同社は、資格情報窃取キャンペーンの効果を減じるため、企業はメールフィルタリングに加えて、パスキーやフィッシング耐性のあるMFAといったフィッシング耐性のある認証方式を併用すべきだと指摘しています。
同社はまた、Safe LinksやZero-hour Auto Purge(ZAP、既にメールボックスに配信された悪性メールを開封前に削除する機能)といった機能を用いてExchange Online ProtectionおよびMicrosoft Defender for Office 365を強化することや、Windows Hello、FIDOキー、Microsoft Authenticatorなどのパスワードレス認証方式の導入を徹底することも推奨しています。
Microsoftはレポートの締めくくりとして、検出活動を支援するため、今四半期に観測された脅威に関する侵害指標(IoC)のリストを掲載しています。
翻訳元: https://www.csoonline.com/article/4201146/tycoon2fa-takedown-reshapes-the-phishing-landscape.html
