AiTM(中間者攻撃)フィッシングが法律事務所への初期侵入手口の最多を占める脅威に

AiTM(Adversary-in-the-middle、中間者)フィッシングが、法律事務所への侵入手口として単独で最も多く使われる手段となりました。多要素認証(MFA)の導入がすでに広く進んでいるこの業界において、従来型の認証情報窃取を上回り、日常的にMFAを回避する形で悪用されています。

eSentireがInfosecurityと共有した法律業界向けの最新の脅威インテリジェンスレポートによると、法律業界における初期侵入イベント全体のうちAiTM攻撃が占める割合は28.57%に達しました。

同社の脅威対応ユニット(TRU)はまた、法律関連組織を標的とするインシデントが前年比(YoY)で20%増加したことも記録しています。

認証情報およびIDを狙った活動は、法律業界に対する脅威全体の56.3%を占めており、その内訳はアカウント侵害が45%、直接的な認証情報フィッシングが11%でした。eSentireはこれを、技術的な脆弱性の悪用から明確に舵を切った動きだと位置づけており、現在では法律インフラそのものではなく法律専門家自身が主たる攻撃対象になっているとしています。

導入されたMFA、そして回避されるMFA

AiTM攻撃は認証プロセスをプロキシ経由で中継するため、ユーザーが正しく認証情報を入力し、MFAの認証チャレンジを完了させたとしても、結果的に有効なセッションクッキーを攻撃者に渡してしまうことになります。

eSentireは、同業界における従来型の認証情報窃取の発生率が16.96%と、業界横断平均の26.01%と比べて相対的に低い点について、これはMFAが法律事務所に広く導入されていることを示す一方で、攻撃者が標的を諦めるのではなくMFAを回避する方向へと適応してきたことの証左だと分析しています。

単一のフィッシング・アズ・ア・サービス(PhaaS)プラットフォームであるTycoon2FAだけで、2025年を通じて法律業界におけるAiTM関連のアカウント侵害の52.3%を占めていました。このプラットフォームは、eSentireもパートナーとして参加したMicrosoftとEuropol主導の作戦により2026年3月に摘発されましたが、活動はほどなく2026年初頭の水準まで回復しています。

AiTMフィッシングに関する関連記事: Tycoon2FAフィッシングサービス、摘発後に活動を再開

攻撃対象となる「締め切りのプレッシャー」

ClickFix攻撃は、法律業界におけるインシデントの13.39%に達し、業界横断平均の8.77%を上回りました。この手口では、ドキュメントビューア、電子申立てシステム、あるいは裁判所ポータルに「今すぐ対応が必要」だと主張する偽のブラウザエラーが表示されます。

eSentireはこれを技術的な悪用ではなく、業務フローそのものを悪用する手口だと位置づけています。申立て期限が迫る中で、ブロックしているエラーを一刻も早く解消したいという心理的衝動を突いているのです。この手口は主にNetSupportManager RATの配布に使われており、同マルウェア単体で法律業界におけるマルウェア検知全体の26.2%を占めていました。

Microsoft Teamsの悪用は初期侵入全体の6.25%に達し、業界横断平均の3.40%のほぼ2倍となりました。インフォスティーラー(情報窃取型マルウェア)は観測されたマルウェアの30.4%を占め、その中でもLumma Stealerが9.6%で首位でした。

同業界における侵入率(初期侵入から実際の侵入活動へと進展した割合)は全体で86%を記録しました。つまり、観測されたインシデントの86%において、攻撃が初期侵入の段階を超えて能動的な侵入行為にまで発展していたことになります。ランサムウェアによる侵入は23%にとどまっており、eSentireはこれを、攻撃者が業務妨害よりもデータやアカウントへの静かなアクセスを重視していることの表れだと分析しています。

eSentireは各事務所に対し、FIDO2キーやパスキーといったフィッシング耐性を備えたMFAの導入、デバイスの健全性や所在地を評価する条件付きアクセスポリシーの採用、そしてIDプラットフォームのログを監視して異常なセッション活動を検知することを推奨しています。また、米国法曹協会(American Bar Association)のデータを引用し、正式なインシデント対応計画を保持している法律事務所はわずか34%にとどまっている点も指摘しています。