クラウドとSaaS環境が攻撃者の最大の標的に

Darktraceの新たなレポートによると、クラウドおよびSaaS(Software-as-a-Service)環境が今年、サイバー脅威アクターにとって最大の標的となっていることが明らかになりました。

同サイバーセキュリティ企業は、2026年上半期にはマルウェアや脆弱性の悪用からアイデンティティの侵害へと攻撃者がシフトするという、2025年に観測された傾向がさらに進行したと指摘しています。

ただし、2025年は主にアカウント認証情報が標的とされていたのに対し、2026年上半期にはメール認証、クラウドの権限設定、ソフトウェアサプライチェーン、AIゲートウェイ、リモート管理ツール、そして非人間アイデンティティ(non-human identities)へと攻撃範囲が拡大しました。Darktraceは、この傾向により「信頼」そのものが新たな攻撃対象領域になっていると述べています。

特に侵害されたクラウド・SaaS環境は、攻撃者に極めて大きな機会を与えています。

Darktraceが取り上げたある事例では、単一のSaaSアカウントの侵害が、メール・SaaS・ネットワークの各レイヤーにわたる悪意ある活動(受信トレイのルール変更やフィッシング攻撃の実行など)につながりました。この種の攻撃は、個々の兆候だけでは決定的な証拠とならないものの、それらを組み合わせると明確な侵入行為であることがわかるため、検知が困難です。

同社はまた、2026年上半期に攻撃者が被害者の利用する信頼済みデジタルサプライチェーンインフラを悪用した複数の事例も挙げています。これには、4月に脅威アクターがリモートアクセス型トロイの木馬(RAT)を拡散するためにAxiosを乗っ取った事例が含まれます。Axiosは週に1億回以上ダウンロードされているJavaScriptライブラリで、無数の開発環境やCI/CDパイプラインで依存関係として利用されています。

攻撃者はまた、正規のブロックチェーンインフラを悪用して情報窃取型マルウェアを配布する事例も観測されており、これにはAMOSやPhexiaが含まれます。研究者らは、こうしたサービスはセキュリティリソースが限られたユーザーによって頻繁に利用されており、悪意あるアクターがより広範な被害者層にリーチすることを可能にしている場合が多いと指摘しています。

「こうした環境において、攻撃者は信頼制御を突破する必要がもはやなくなりつつあります。侵害されたアイデンティティ、委任されたアクセス権限、そして正規の管理ツールを通じて、その信頼をそのまま引き継いでしまうのです」と、研究者らは8月3日に公開されたレポートの中で述べています。

メール攻撃、量より質を重視

調査によると、メールを介した攻撃はますます巧妙化しており、攻撃者は「量」よりも「質」への投資を強めています。

2026年上半期に送信されたフィッシングメールの約3分の2がDMARCメール認証プロトコルを通過しており、研究者らはこれについて、認証だけではもはやアカウントを保護するのに十分ではないことを示していると述べています。

2026年上半期には、フィッシング攻撃の3分の1以上(37%)が大量のテキストを含んでおり、これは2025年同時期の32%から増加しています。

さらに、フィッシングの39%が目新しいソーシャルエンジニアリング手法を用いており、観測された攻撃の25%ではVIPユーザーが標的とされていました。これは、脅威アクターが特定の標的に合わせて攻撃をカスタマイズする傾向を強めていることを示唆しています。

ユーザーを騙して悪意あるコードを自ら実行させる手口であるClickFix型ソーシャルエンジニアリングは、2025年に引き続き一般的な攻撃ベクトルであり続けています。

AIが攻撃対象領域を拡大

Darktraceの調査によると、企業内でのAI利用の拡大が、サイバー攻撃者にとっての機会を大幅に広げています。

これには、脅威アクターがAIツールを活用して大規模に攻撃を仕掛ける動きも含まれます。この一例が、React2Shell脆弱性を悪用したAI生成マルウェアで、攻撃者はLLMを用いて実際に動作するエクスプロイトコードを作成し、大規模に展開しました。

7月には、JadePufferと名付けられた、世界初とされる完全にAI生成されたランサムウェアキャンペーンがセキュリティ研究者らによって明らかにされました。あるエージェント型脅威アクターは、インターネットに公開されたサーバーの脆弱性を悪用した後、完全自動化されたランサムウェア攻撃を仕掛けました。

「AIは、脆弱性の開示から実際の攻撃活用に至るまでの道のりを加速させています」とDarktraceの研究者らは記しています。