サイバー犯罪は今や、高度な攻撃を仕掛けるために必要なほぼすべての能力を犯罪者が購入またはレンタルできる、商業化されたエコシステムと化しています。こうしたサービスは匿名性やもっともらしい否認可能性を提供するだけでなく、検知・特定・妨害が困難な短命のインフラへのアクセスも可能にしており、スキルの低い攻撃者でも大規模な攻撃を展開できるようになっています。Infobloxの「2026年脅威ランドスケープレポート(2026 Threat Landscape Report)」によれば、こうした実態が明らかになっています。
Infoblox脅威インテリジェンス部門責任者のRenee Burton博士は、次のように述べています。「サイバー犯罪はますます効率化・自動化され、阻止することが難しくなっています。経済的な動機に突き動かされ、一部はフロンティアAIによって後押しされることで、かつてない規模に達しました。金銭目的の攻撃者と国家関与のアクターの境界線は曖昧になりつつあり、セグメンテーションとコモディティ化されたサービスの採用によって、犯罪者が摘発を逃れられる複雑な経済圏が形成されています」
産業化が進むサイバー犯罪
サイバー犯罪のエコシステムは、利益に引き寄せられた参加者の増加とともに拡大・専門化を続けており、これによって攻撃者は防御側よりも速く進化できるようになっています。AIは偵察活動を自動化し、説得力のある誘導文を生成することで、攻撃の速度と規模を高めています。
経営幹部をはじめとする著名人は、攻撃者が本人になりすます詐欺、ビジネスメール詐欺(BEC)、ソーシャルエンジニアリングの標的となりやすく、脆弱な立場に置かれています。サービスプロバイダーや通信事業者も、自社のプラットフォームやインフラを犯罪者に悪用され攻撃の踏み台にされるリスクにさらされています。
実在の組織になりすまし、マルウェアを配布する標的型誘導ページのサンプルのスクリーンショット(出典:Infoblox)
サイバー犯罪サービスには、豚の屠殺(ピッグブッチャリング)詐欺の運営者向けマーケットプレイス、AI生成の誘導文、Androidバンキング型トロイの木馬、違法ギャンブル運営を支えるインフラなどが含まれます。あるAndroidバンキング型トロイの木馬の攻撃チェーンでは、犯罪者がワンタイムパスワード、デバイスフィンガープリント、連絡先、顔の生体情報まで窃取し、デジタルアイデンティティを丸ごと盗んで継続的なアカウント侵害や不正行為を行っていました。
クラウドを利用した詐欺キャンペーンには、偽の仮想通貨取引所、ピッグブッチャリング詐欺、フィッシングサイト、ウォレットドレイナー、ギャンブルポータル、不正な投資プラットフォームなどが挙げられます。これらのキャンペーンは主に一般消費者を標的としていますが、従業員が業務用または個人用デバイスで私的にネットを閲覧している際に詐欺リンクに遭遇することで、企業ネットワークが危険にさらされることもあります。
検知を逃れる隠されたインフラ
検知を回避するため、攻撃者は信頼できるように見せかけた、あるいは巧妙に隠されたインフラに依存しています。訪問者のデバイス、所在地、行動をプロファイリングし、標的となる相手にのみ詐欺やマルウェアを送り込む一方、セキュリティ研究者や自動スキャナーを含むそれ以外の相手には無害なコンテンツを表示します。
クローキングやトラフィック分配システムは、信頼された広告ドメインやリダイレクトチェーンの背後に悪意ある活動を隠すため、悪質なキャンペーンの可視性を低下させています。
バレットプルーフホスティング事業者は、匿名性を最優先し、悪用報告を無視し、インフラの迅速な移転を可能にすることで、サイバー犯罪の活動を支えています。これにより、フィッシングや詐欺、マルウェア配布などの違法行為が存続し続けています。
脅威アクターが信頼されたインフラを悪用するのは、成功率を高め、コストを削減し、活動を隠蔽し、耐障害性を向上させ、さらには本来アクセスが難しいはずのユーザーやネットワークへの侵入口を得られるからです。
偽のCAPTCHA詐欺は、不正な本人確認ページを通じてモバイルユーザーを騙し、高額な国際SMSを送信させます。ある観測事例では、たった1回のやり取りで約60通のメッセージが送信され、被害者には約30ドルの損害が発生しました。この手口はソーシャルエンジニアリングと自動化されたインフラを組み合わせることで、大規模に収益を上げる仕組みとなっています。
ブランドなりすましや詐欺行為は、顧客を介して組織自体をリスクにさらします。顧客の認証情報や個人を特定できる情報がいったん犯罪エコシステムに流出すると、攻撃者はそのデータを再利用して組織を脅迫したり、新たな誘導文を作成したり、さらなる攻撃を仕掛けたりする可能性があります。
犯罪者は、正規のWebサイトに酷似したフィッシングページを作成します。なりすまし対象企業名を含むドメインに頼るだけでなく、ブランディングやロゴ、ユーザー体験までも忠実に再現しています。
標的を絞り込むことで痕跡が少なくなり、セキュリティチームやメールプロバイダー、研究者がキャンペーンを特定することがより困難になります。
脅威アクターは、仕事にもプライベートにも広く使われているスマートフォンの特性を悪用し、関連性が高く信頼できそうに見えるパーソナライズされた誘導文を作成しています。
短命のキャンペーンは、ドメインやホスティングプロバイダー、URLを次々とローテーションすることで、ブロックリストや検知を回避するのに役立っています。中には24時間未満しか稼働しないフィッシングページもあり、調査できる時間的猶予をさらに狭めています。
拡大する攻撃対象領域
新技術の登場と攻撃対象領域の拡大は、組織が監視体制や防御策を確立する前に、セキュリティ上の隙を生み出します。セキュリティチームは、所有者の特定、データ収集、検知ルールの構築、ポリシーの更新、スタッフの教育といった作業を進める必要があり、その間に攻撃者はその隙を突く時間を得てしまいます。
レジデンシャルプロキシサービスは、スマートフォンやノートパソコン、スマートテレビといった日常的なデバイスを経由してインターネットトラフィックを転送します。これにより、悪意ある通信があたかも正規の住宅用IPアドレスから発信されているかのように見え、悪質なトラフィックの遮断や発信元の特定が一段と難しくなります。
レジデンシャルプロキシは、モバイルアプリケーションやソフトウェア開発キット(SDK)に組み込まれていることが少なくありません。組織は、従業員のデバイスがプロキシのエンドポイントと化していることに気づかない場合があり、結果として生じる通信は正規のアプリケーション活動のように見えてしまいます。
ブラウザのプッシュ通知を悪用する手口は、偽のCAPTCHAやCookieバナー、認証プロンプトを装って、ユーザーに「許可」をクリックさせるよう仕向けます。いったん許可を得ると、攻撃者は被害者のデバイスへの永続的な通信チャネルを手に入れます。被害者の中には、投資詐欺やギャンブルサイト、偽のウイルス対策警告、政府機関を装った詐欺など、不正なコンテンツを宣伝する通知を1日に140件以上受け取った例もありました。
クラウドインフラの変化に合わせて、組織はDNSレコードを更新する必要があります。クラウドサービスやホスト名が削除された後もCNAMEレコードが残ってしまうケースがあるためです。攻撃者は、Azure Web AppsやGitHub Pagesのサイトなど、放棄されたクラウドリソースを同じホスト名で乗っ取り、信頼されたサブドメインを奪取することができます。Infoblox EASMの早期アクセスプログラム期間中に確認されたところでは、特定された「dangling CNAME(参照先を失ったCNAME)」の3分の1が、容易または造作もなく乗っ取り可能な状態でした。攻撃者はその後、こうしたサブドメインをフィッシングやマルウェア配布、その他の悪意ある活動に利用できてしまいます。
脅威アクターは、信頼されたソフトウェアやライブラリ、開発ツールを通じて多数の被害者に到達するため、ソフトウェアサプライチェーンを標的にしています。2026年には、TeamPCPがTrivy、KICS、LiteLLM、Telnyx Python SDKを侵害しました。開発者やセキュリティチームが利用するソフトウェアへのアクセスを得たことで、認証情報を窃取し、下流の環境へ悪質なコードを広める機会が生まれてしまいました。
翻訳元: https://www.helpnetsecurity.com/2026/07/31/infoblox-domain-abuse-campaigns-report/
