そのメールには、不自然なところがなかった。少なくとも、彼にはそう見えた。
サイバー犯罪: 日常に侵入する悪意 第 3 回
狙われるのは、特別な誰かではない。
いつもの日常に、見えない侵入口がある。公開されている情報を手がかりに、その静かな進行と、日常に現れる結果をたどります。
連休前の確認事項
連休を控えた金曜日。
小さな物流会社で事務を担当するミズキは、取引先から届いたメールを確認していた。
配送伝票の番号、荷物の受け渡し状況、請求金額。月末が近づくと、いつもより確認することが増える。
その日も、いくつかのメールを行き来しながら、伝票の照合を進めていた。
昼過ぎ、共有ファイルの更新を知らせるメールが届いた。
「先日お問い合わせいただいた配送実績一覧を更新しました。こちらからご確認ください」
差出人の名前には見覚えがあった。取引先とやり取りしている担当者の名前だ。
メールの内容も、ちょうど進行中の仕事に関係している。
ミズキはリンクを開いた。
表示されたのは、会社で普段使っているクラウドサービスのログイン画面だった。
「もう一度ログインしてください」
そう表示されていたので、メールアドレスとパスワードを入力した。
続いて、多要素認証のための確認も求められた。
いつも使っている認証アプリを開き、表示された番号を入力する。
少し待つと、画面はいつものメール画面に戻った。
特に問題はなかった。
ミズキは、更新されたという配送実績一覧を確認できなかったことを少し不思議に思ったが、連休前の忙しさもあり、そのまま別の仕事に移った。
本人が知らないところで
その数時間後。
ミズキのメールアカウントには、本人とは別の誰かがアクセスしていた。
攻撃者が手に入れたのは、メールアドレスとパスワードだけではなかった。
ミズキが正規のサービスにログインしたとき、そのログイン状態を証明する情報も奪われていた。
Web サービスでは、ログインするたびにパスワードを入力し直す必要がないように、一度認証した利用者のログイン状態を一定期間維持する仕組みが使われている。
その際、ブラウザーに保存される情報のひとつが「セッション Cookie」だ。
たとえるなら、建物に入るときに確認を済ませた人に渡される、一時的な通行証のようなものだ。
攻撃者は、この通行証を手に入れていた。
ミズキが入力したパスワードだけを盗む従来型のフィッシングとは異なり、今回は認証そのものが進行している途中に割り込まれていた。
ミズキ
|
| ログイン情報・認証コードを入力
v
[攻撃者の中継サイト]
|
| 本物のサービスへ通信を中継
v
[正規のログインサービス]
|
| 認証成功・セッション発行
v
[攻撃者がセッション情報を取得]
|
v
[攻撃者が本人としてアクセス]
これは AiTM (Adversary-in-the-Middle) と呼ばれる攻撃手法だ。
画面上では、本物のサービスにログインしているように見える。実際に正規サービスとの認証も成立している。
しかし、その間に攻撃者が入り込み、ログイン情報と認証後のセッション情報を取得する。
つまり、ミズキは偽の認証画面に騙されたというだけではない。
本人が正しい手順で認証を済ませた、その結果を攻撃者に横取りされていたのだ。
返信したのは、誰だったのか
翌営業日。
取引先の担当者から電話があった。
「先週の請求書の件ですが、振込先が変更になったというご連絡をいただいています。こちらの口座に振り込めばよろしいでしょうか」
ミズキには覚えがなかった。
メールを確認すると、確かに自分のアカウントから送信された返信が残っている。
進行中だった請求書のやり取りに返信する形で、振込先口座の変更が案内されていた。
添付されていたのは、もっともらしい請求書だった。
しかし、そこに記載されている口座は、会社のものではなかった。
相手が念のため電話で確認してくれたため、送金は実行される前に止まった。
社内で調査が始まった。
ミズキのメールアカウントには、見覚えのないログイン履歴があった。さらに、攻撃者は受信メールを自動的に別のフォルダーへ移す設定まで作成していた。
取引先から確認の返信が届いても、ミズキが気づかないようにするためだった。
攻撃者は、単にメールアカウントを盗んだだけではなかった。
過去のメールを読み、取引先との関係や進行中の請求書を調べ、金銭を動かせそうな相手を探していたのである。
そして、ミズキの名前と実際のメールアカウントを使って、取引先を騙そうとしていた。
会社はアカウントのセッションを無効化し、パスワードを変更した。メールの転送設定や受信ルールを確認し、関係する取引先にも連絡した。
だが、ミズキはしばらくの間、自分が送信した覚えのないメールを何度も確認することになった。
何を見られたのか。
誰にメールを送られたのか。
ほかにも、取引先とのやり取りを悪用されていないだろうか。
どこまで調べれば、もう安心してよいのだろうか。
本当に、二段階認証は役に立たなかったのか
今回のような攻撃は、現実に確認されている。
Microsoft は 2022 年 7 月、AiTM フィッシングを利用した大規模なキャンペーンについて公表した。
同社の調査によれば、このキャンペーンは 2021 年 9 月以降、10,000 を超える組織を標的としていた。
攻撃者は、利用者のパスワードだけでなく、認証後のセッション Cookie も取得していた。これにより、多要素認証 (MFA) が有効になっているアカウントであっても、盗んだセッション情報を使って本人になりすますことができた。
その後、攻撃者はメールボックスを調べ、請求書や支払いに関する進行中のメールスレッドを探し出していた。
Microsoft の分析では、認証情報とセッション情報を盗んでから、わずか 5 分で次の金銭詐欺に移った事例も確認されている。
さらに、攻撃者は不正な受信ルールを作成して、詐欺相手からの返信を隠していた。
これは、個人のアカウントを乗っ取るだけでなく、その人が築いてきた取引関係や信用まで利用する攻撃だった。
一方、日本国内でもフィッシングは大量に報告されている。
フィッシング対策協議会の『フィッシングレポート 2026』によると、2025 年に同協議会が受け付けたフィッシング報告件数は 2,454,297 件。2024 年と比較して約 1.43 倍に増加した。
これは被害者数や詐欺の成功件数ではなく、協議会への報告件数だ。それでも、フィッシングが一時的な流行ではなく、日常的に発生している問題であることは分かる。
何を確認すればよかったのだろう
ミズキは、怪しいメールを見抜くことが苦手だったわけではない。
知らない相手からの連絡には注意していた。不自然な日本語や、身に覚えのない請求にも気をつけていた。多要素認証も設定していた。
それでも、今回は防げなかった。
相手の名前には見覚えがあった。
仕事の内容にも整合性があった。
ログイン画面も、認証手続きも、いつものものに見えた。
そして、ログインは正常に完了した。
私たちは、フィッシングを見分けるために、メールの差出人や文面、URL を確認するよう教えられてきた。
それらは今でも大切な確認事項だ。
しかし、相手がこちらの状況を知っていたらどうだろう。
実際の業務に沿った文面で、ちょうど必要なタイミングに連絡してきたら。
普段使っているサービスと同じ画面が表示され、正規の認証手続きまで進んだら。
そして、ログインが成功したこと自体が、攻撃者の目的だったとしたら。
「二段階認証を設定しているから大丈夫」
その考えも、決して間違いではない。多要素認証は多くの攻撃からアカウントを守る重要な仕組みだ。
けれど、それさえあれば、どんな攻撃にも対応できるわけではない。
ミズキが何度も見返していたのは、自分のメールボックスに残された、見覚えのない送信履歴だった。
そこには、確かに自分の名前が表示されていた。
彼は誰かにメールを送った覚えがない。
それでも、受信した相手にとっては、間違いなく彼から届いたメールだった。
参考資料
Microsoft Security Blog, "From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud", July 12, 2022.
https://www.microsoft.com/en-us/security/blog/2022/07/12/from-cookie-theft-to-bec-attackers-use-aitm-phishing-sites-as-entry-point-to-further-financial-fraud/フィッシング対策協議会, 『フィッシングレポート 2026』, 2026 年 6 月 1 日.
https://www.antiphishing.jp/report/report/phishing_report2026.html
本記事のストーリーは、Microsoft が公表した AiTM フィッシングおよびビジネスメール詐欺の調査結果をもとにした架空の再構成です。ミズキ、物流会社、取引先との会話、送金を未然に防いだ経緯は創作であり、特定の実在企業・被害者を描いたものではありません。
Top comments (0)