進化するメールフィッシングの脅威
2025年、サイバー犯罪者たちはメールフィッシングの手口をさらに進化させています。従来の戦術を復活させつつ、自動フィルターや人間の監視をすり抜けるための高度な回避策を重ねています。攻撃者たちは、パスワード保護された添付ファイルやカレンダー招待といった昔ながらの手法に、QRコード、多段階認証チェーン、ライブAPI連携などの新たな工夫を加えています。これらの洗練された手口は、攻撃のライフサイクルを長期化させるだけでなく、スキャンツールのギャップや、一見正当に見えるセキュリティ対策に対するユーザーの信頼を悪用しています。
PDFを悪用した新たな手口
PDF添付ファイルを用いたフィッシングメールは、依然として大量送信および標的型キャンペーンの定番です。しかし、脅威アクターはクリック可能なリンクを直接埋め込む代わりに、PDF内にQRコードを配置する手法を好むようになっています。受信者がモバイルデバイスでコードをスキャンすると、多くの場合、ワークステーションのような企業レベルのセキュリティ制御が不足しているため、セキュリティを回避できます。この戦術は、メール本文にQRコードを含める以前のトレンドを復活させつつ、ファイル処理の追加レイヤーの背後にフィッシングURLを隠すことで、さらに巧妙化しています。
攻撃者はまた、自動スキャンをさらに妨害するために、パスワード保護されたPDFを採用しています。パスワードは同じメール内、または別のメッセージで送られてくることがあり、正規の安全な通信を模倣しています。機密文書を扱っていると信じ込まされたユーザーは、これらのメールを信頼しがちで、セキュリティチームが内容を検査する前に、誤って攻撃者に認証情報を収集させたり、マルウェアを展開させたりする時間を与えてしまいます。
カレンダーベースのフィッシングの復活
長らく休眠状態だったフィッシング手法も復活を遂げています。かつてGoogleカレンダーユーザーを標的とした大量スパマーの間で人気だったカレンダーベースのフィッシングが、B2Bキャンペーンに焦点を当てて再浮上しています。空白のメールには、説明文に悪意のあるリンクを含むカレンダー招待が含まれています。不審に思わないオフィスワーカーがイベントを承諾すると、カレンダーアプリからのリマインダーが数日後にリンクをクリックするよう促し、元のメールが無視された場合でも侵害の可能性を高めます。
高度化するフィッシングウェブサイト
配信の革新だけでなく、フィッシングウェブサイト自体も高度な更新が施されています。単純な「ボイスメッセージ」キャンペーンでは、被害者をCAPTCHAで保護された認証チェーンを通過させてから、偽のログインフォームを提示します。この多層的なアプローチは、静的なフィッシングページを検出する自動セキュリティスキャンを排除します。ページを連鎖させ、繰り返し人間の入力を要求することで、攻撃者は本物のユーザーのみが認証情報収集インターフェースに到達することを確実にします。
多要素認証（MFA）回避の巧妙な手法
多要素認証（MFA）は、長らくパスワードのみの攻撃に対する防波堤となってきましたが、フィッシング犯はワンタイムコードを盗むためにライブプロキシ技術を採用しています。最近のキャンペーンでは、クラウドストレージプロバイダーを装ったメールが、サービス品質のレビューをユーザーに促します。リンクは、すべてのインタラクションをAPIコールを介して実際のサービスにプロキシする、そっくりなドメインにリダイレクトされます。受信者がメールアドレスを入力すると、サイトはそれを正規のユーザーデータベースと照合し、OTP（ワンタイムパスワード）を要求します。このOTPはリアルタイムで攻撃者のインフラに転送されます。被害者が正規のサービスとやり取りしていると信じてコードを入力すると、フィッシング犯はパスワードと動的に生成された第二要素の両方を入手し、アカウントへの完全なアクセス権を獲得します。この高い忠実度を誇る模倣は、デフォルトのフォルダや使い慣れたUI要素を含むことが多く、正当性の錯覚を長引かせ、ユーザーの疑念を遅らせます。すべての入力を実際のサービス経由で中継することで、攻撃者はURLチェックとドメインベースの防御ツールの両方を回避し、従来のメールフィルターをほぼ無効化します。
防御策の重要性
2025年のメールフィッシングは、レトロな手法の復活と最先端の欺瞞を組み合わせています。QRコードが埋め込まれたPDFやパスワード保護された添付ファイルから、カレンダーベースの配信、API駆動のMFAバイパスに至るまで、脅威アクターは常にその手口を洗練させています。これらの進化する戦術から身を守るためには、組織とユーザーは以下の点に注意する必要があります。
- 不審な添付ファイルには懐疑的な姿勢で臨む。
- クリックする前にリンクとドメイン名を検証する。
- 暗号化されたファイルや多段階のウェブインタラクションを検査できる高度な脅威ハンティングツールを導入する。
これらの攻撃の永続的かつ適応的な性質を理解することによってのみ、防御側はますます巧妙になる敵の一歩先を行くことができます。