フィッシングは、ここ長い間なかったほどの速さで進化を続けています。
21世紀に入ってから、メールを利用したフィッシングは間違いなく最も広く使われるソーシャルエンジニアリング手法でした。この間、その手法自体に大きな変化はなく、攻撃者たちは基本的な原則を守りながら、主に効率性と運用のしやすさの面で進化を重ねてきました。
ところが2026年上半期に入り、攻撃者たちは比較的新しく、あまり目立たないフィッシング手法へと続々と移行しています。Crowdstrikeが新たに公開した「2026年脅威ハンティングレポート」によると、この期間にボイスフィッシング(ビッシング)攻撃は倍増したことが確認されました。同じ期間、デバイスコードフィッシングは15倍にまで増加しています。いずれの手法も、国家に支援された脅威アクターやサイバー犯罪グループが従来のセキュリティ対策を回避する助けとなっています。
デバイスコードフィッシングが急増
2020年10月13日、著名なMicrosoftの研究者であるNestori Syynimaa氏がブログ記事を公開し、現在デバイスコードフィッシングとして知られる手法を考案しました。
それから他の誰かがこの手法に注目するまでには、長い時間がかかりました。Microsoftが「Storm-2372」として追跡しているロシアの国家系脅威アクターが、Syynimaa氏の手法を実際のサイバー攻撃キャンペーンで試すという着想を得たのは、2024年8月のことでした。この攻撃者はこの手法を用いて、政府、防衛、エネルギーなど主要な業界にわたる組織を、北米、欧州、アフリカ、中東といった広範な地域で侵害することに成功しました。その後、翌年になってMicrosoftがようやくこれを発見し、公開ブログ記事で詳細を説明しています。
2025年を通じて、この手法はロシア国家からサイバー犯罪グループへと徐々に広まっていきました。複数の調査グループがそれぞれ独立して、2025年が進むにつれてデバイスコードフィッシングが着実に増加していることに気付いていました。特に目立っていたのは、当時世界最大級のフィッシング業者であったTycoon 2FAに関連する攻撃者たちによるものです。
2026年、デバイスコードフィッシングは主流になりつつあります。CrowdStrikeの観測によれば、今年上半期にはこうした攻撃が前年下半期の15倍に増加しました。特に、攻撃者がこの手法をクラウドID侵害に利用している点が指摘されています。
CrowdStrikeによると、現在「多様な」サイバー犯罪者集団がこの手口を用いており、その中でも最も目立つのがCozy Bearとして知られるロシアの高度persistent threat(APT)グループです。CrowdStrikeは、金銭目的の他のデバイスコードフィッシング実行者についても、Cozy Bearの手法を模倣していると説明しており、「専用のデバイスコード・セッション管理インフラを展開し、正規のクラウドホスティングサービスを活用しながら、Entra IDアプリケーションのOAuthリダイレクトを通じてデバイスコードフィッシングページを大規模に配信している」としています。
ハッカーがより発見されにくい攻撃としてビッシングを選択
ビッシングは2025年に入る時点からすでに増加傾向にありましたが、最近その勢いはさらに加速しています。CrowdStrikeの測定によれば、2024年から2025年にかけてビッシングは134%増加しました。さらに2025年下半期から2026年上半期にかけては、ビッシングの発生率が倍増しています。
現在ビッシングを利用している最大級の脅威アクターのうち2つは、CrowdStrikeによって「Cordial Spider」および「Snarky Spider」として追跡されています。いずれも最終的に被害者のシングルサインオン(SSO)と連携したSaaS(Software-as-a-Service)アプリケーションへのアクセスを狙っています。これらは企業機密の宝庫となる貴重な標的です。
攻撃者たちはまず、被害者のモバイル端末上でSSOを模したAiTM(Adversary-in-the-Middle)ページへ誘導することでこれを実現します。攻撃者は狙う被害者に合わせてフィッシングページを作り込み、モバイル端末を狙うことで、被害者がPCやデスクトップにしか導入していないセキュリティソフトを回避できることも多いのです。
被害者が認証情報と多要素認証(MFA)コードを渡してしまうと、脅威アクターはそれを使って認証を行い、被害者のネットワークへ継続的にアクセスするために自分たちのMFAデバイスを登録しようとします。こうした攻撃において、新しいデバイスの登録は防御側が注目すべき重要な初期段階のシグナルです。CrowdStrikeが2月に観測した事例でもそれが示されました。Cordial Spiderはわずか4分の間に、被害者へのビッシングを成功させ、そのネットワークへの認証を突破し、許可されたMFAデバイスとして新しいデバイスを登録してしまいました。しかし、この新規デバイスの登録リストが警告を発し、被害者に通知が届いたことで、被害者はわずか12分後に攻撃者を排除することができました。
こうした徹底した検知がなければ、ビッシングは非常に効果的な攻撃となり得ます。従来のメールセキュリティ対策を回避できるうえ、サイバー防御側が分析できる痕跡もほとんど残りません。さらに、被害者自身がビッシングという手法をあまり認識していない、あるいは警戒する習慣がついていないことも、攻撃者にとって有利に働きます。
「攻撃者たちが気付いたのは、メールフィッシングに対しては技術的な対策が整っているという点です」と、CrowdStrikeのカウンターアドバーサリー・オペレーション部門責任者であるAdam Meyers氏は7月30日のプレス向けウェビナーでビッシング実行者について語りました。「私たちはメールをスキャンしています。Proofpoint、Mimecast、Sublime、Abnormalなど、さまざまな技術が存在しており、これらの製品はいずれもメールベースのフィッシング攻撃に対処するために構築されてきました」
「人間を狙う、ヘルプデスクを狙うという手法は」、技術的なハッキングよりも「はるかに効果的です」と同氏は述べています。こうした新しいタイプのフィッシングの心理的な駆け引きにおいては、「ハッキングして侵入する必要すらなく、ただログインするだけでいいのです」。
翻訳元: https://www.darkreading.com/cybersecurity-analytics/device-code-phishing-vishing-doubles
