復旧対応が必要となったサイバーインシデントにおいて、直近四半期の攻撃を分析した結果、フィッシングが初期侵入の主要な手法であったことが、対応に当たったインシデントレスポンダーの調査により明らかになりました。
これは、検知回避をめぐるキャンペーンがより革新的になっていることを背景としています。
7月28日に公開されたCisco Talosの「Incident Response Trends」レポート(2026年3月〜6月版)によると、調査対象となったインシデントのうち半数をわずかに超える割合で、フィッシングが初期攻撃ベクトルとなっていました。
これは前四半期と比較して大幅な増加です。前四半期にCisco Talosが報告した際は、フィッシング攻撃が調査対象インシデントの3分の1で初期侵入点となっていました。
その他の主要な初期アクセスベクトルとしては、公開アプリケーションの悪用や、ドライブバイ・コンプロマイズ攻撃が観測されました。ドライブバイ・コンプロマイズ攻撃は、被害者に悪意あるコードを送り込むよう設計された侵害済みウェブサイトをユーザーが訪問することで発生します。
フィッシングの増加は、攻撃者が被害者を巧みにだますための新しいツールや手法を試すと同時に、悪意ある侵入を検知するために設計されたサイバーセキュリティ対策を回避する取り組みも進めていた時期と重なっています。
研究者らが詳述した一例として、ログイン認証情報を窃取し、さらに被害者の連絡先を自動的に標的にすることで攻撃を拡散させることを狙ったQRコード・フィッシングキャンペーンが挙げられます。
2026年6月下旬時点でも継続中とされるこの執拗なキャンペーンでは、被害者ごとに自動生成されたPDF文書が使用され、そこに含まれるQRコードから被害者を攻撃者が管理するMicrosoft 365の認証情報窃取ページへ誘導します。
Cisco TalosはこのキャンペーンをUAT-11764と名付けた脅威アクターによるものと帰属させており、このキャンペーンは対策をすり抜けるために2つの手法を用いています。
第一に、QRコードは多くの従来型メールゲートウェイが悪意ある挙動を識別するために用いる検知手法を回避します。第二に、認証情報窃取ページは信頼されたクラウドプラットフォーム上でホストされているため、サイバーセキュリティソリューションによってフラグが立てられない可能性があります。
認証情報の窃取に成功すると、攻撃者は被害者の受信トレイへのアクセスに加え、防御回避のための受信トレイルールの作成や、侵害済みアカウントを使ったさらなるフィッシングメールの送信など、さまざまな侵害後の行動を行っていました。
「SharePointやMicrosoft 365といった既存の信頼されたインフラを武器化することで、UAT-11764は多くの標準的なメールセキュリティゲートウェイを回避できます」と論文は警告しています。
「そのため、ネットワーク防御担当者は、PDF添付ファイル内にQRコードを含むメールをブロックまたはフラグ付けするポリシーを導入し、Microsoft 365アカウントにフィッシング耐性のある多要素認証を強制し、侵害後の活動を示す兆候として不審な受信トレイルールの作成や異常なSharePointファイルのステージングを監視すべきです」
機能を拡張したフィッシング・アズ・ア・サービス(PhaaS)キット
レポートはまた、フィッシング・アズ・ア・サービス(PhaaS)キットがより複雑かつ強力になり、攻撃をより効果的にするためのツール一式をサイバー犯罪者に提供していると指摘しています。
その内容は、パスワードを窃取する代わりにOAuthデバイス認可フローを通じて密かにMFAを回避するツールキットから、攻撃者が目的を達成する手助けとなる侵害後の総合的なツールキット(メール内のキーワードを検索する機能など)を提供するサービスまで多岐にわたります。
この期間中のインシデント調査で観測された機能には、トークンの自動管理、プライマリ・リフレッシュ・トークン(PRT)による永続的アクセス、OneDriveおよびSharePointの管理、地理的条件に応じて動的に変化するテンプレート、受信トレイルールの操作、複数アカウントにまたがるキーワード監視、トークンの共同利用などが含まれていました。
研究者らはまた、多層的な回避メカニズムや暗号化されたクライアントサイドペイロードといった、高度な分析対抗技術も確認しています。
レポートによると、こうした手法は「現代のPhaaSプラットフォームが増している高度化」を浮き彫りにしています。
フィッシング攻撃やその他のサイバー脅威からネットワークとユーザーを保護するため、Cisco Talosは以下の対策を推奨しています。
- 適切に設定されたフィッシング耐性のあるMFAの導入と認証制御の強化
- 環境全体にわたる十分な保持期間を備えた一元的なログ記録の設定
- 堅牢なパッチ管理の実施と露出インフラの削減
- 攻撃の拡散を阻止するための厳格な送信メールしきい値の適用
翻訳元: https://www.infosecurity-magazine.com/news/phishing-dominates-initial-entry/
