2026年の実際のサイバー攻撃3件を解剖する

サイバー犯罪者はもはや複雑なパスワードを何時間もかけて推測したりしない。信じられる状況を作り上げ、被害者自身に扉を開けさせるほうがずっと簡単だからだ。2026年9月だけでも、よく調査された3つの事例が、こうした仕込みがどれほど巧妙になったかを物語っている。ここではその手口を段階ごとに解剖し、それでも残る痕跡とあわせて紹介する。

事例1：スパイを仕込む求人オファー

シナリオはほとんどありふれている。LinkedInやメールで、特別に用意された高待遇のポジションが持ちかけられる。「次のステップに進む」には、添付された職務内容を開くか、簡単な技術テストを受けるだけでよいという。この種のキャンペーンは複数のセキュリティ企業によって報告されており、組織的なグループとの関連も指摘されている（今夏公表された分析によれば3万台以上の端末に影響したとされるContagious Interviewという作戦もその一つ）。特に開発者やテック業界の人材が狙われる。

ファイルを開いた瞬間に起きること：

• 信じ込ませる舞台装置：メッセージは乗っ取られたアカウントや、実在企業とほぼ同じドメインから送られてくるため、通常のフィルターを通過してしまう。
• 破れない容器：職務内容はパスワード保護されたZIPアーカイブ、または .ISO ディスクイメージとして届く。パスワードがなければメールのアンチウイルスは中身を確認できず、ファイルを通過させてしまう。
• 目に見えない引き金：アーカイブの中には、たとえば 職務内容.pdf という名前のファイルがある。実はこれはPDFではなく、見えないコマンドを隠したWindowsのショートカット（.LNK）である。
• パスワード不要の鍵の窃取：ショートカットが開かれると、目立たないプログラムがブラウザにすでに保存されているセッションクッキーをコピーする。攻撃者は被害者のパスワードも二段階認証（MFA）コードも一切必要とせず、Slack、Gmail、SNSにログインできてしまう。

残る痕跡：ロックされたアーカイブが騙すのはアンチウイルスであって、サーバーではない。メッセージは結局のところ、識別可能な送信者と送信サーバーを経由している。これはガイド「フィッシング：詐欺師がメールを届かせる仕組み」で説明されている通りだ。盗まれたクッキーが与えるのは一時的なアクセスであって、恒久的なものではない：手口が発覚した時点で、遠隔でセッションを切断しパスワードを変更すれば依然として有効な対策となる。

事例2：偽の「Claude Max」プレゼント企画、窓の中の窓

2026年9月中旬、Claudeの開発元であるAnthropicが1億人のユーザー達成を祝って、Claude Maxの無料サブスクリプションを1万件プレゼントすると謳うページが出回った。クレジットカードは一切要求されず、Googleアカウントでのログインだけが求められる。この罠は本ガイド執筆のわずか数日前に、Malwarebytesを含む複数のセキュリティ研究者によって報告された。

非常に丁寧に作り込まれた仕組み：

• 偽の安心感：サイトは本物のロゴと配色を再現し、偽の五つ星レビューを掲載、フッターのリンクもほぼすべて本物のAnthropicのページへ向かう。クレジットカードが一切要求されない点が、被害者を安心させる。
• 仕組まれた偽の緊急性：カウンターが残り枠数の減少を表示する。これはブラウザ内で動く単純なスクリプトにすぎず、ページを再読み込みするたびに同じ数字に戻るだけで、実際には何も計測していない。
• 開かれるのではなく描かれる窓（「ブラウザ・イン・ザ・ブラウザ」）：「Googleでログイン」をクリックしても本物のシステムウィンドウは開かない。ページ自体が画面の中に偽のウィンドウを描き、accounts.google.comと表示する偽のアドレスバーとセキュリティの鍵アイコンまで用意する。
• 横取り：このウィンドウに入力された認証情報はそのまま攻撃者のサーバーへ送られ、攻撃者はGoogleアカウントを、そしてそれに紐づくGmailや文書、Google経由で連携するあらゆるサービス（他のAIアカウントを含む）へのアクセスを手にすることが多い。

不審なログインウィンドウを確認する最も簡単な方法：マウスでブラウザの外へドラッグしてみることだ。本物のシステムウィンドウは問題なく外へ出るが、ページが単に描いただけのウィンドウは内側に張り付いたままになる。

セッションクッキーを盗む（事例1）ことも、偽のウィンドウの裏でパスワードを横取りする（事例2）ことも、狙いは同じところにある。ログインを破るのではなく、迂回することだ。ガイド「AiTM：フィッシングがパスワードだけでなくセッションそのものを盗むとき」では、リアルタイムで二段階認証すら迂回できる、非常によく似た手口を詳しく解説している。

事例3：Revolut、情報漏えいがオーダーメイドの詐欺に変わるとき

2026年9月12日、オンライン銀行のRevolutは、一部顧客のデータを許可されていない第三者に開示してしまったことを認めた。システムへの侵入は一切なく、攻撃者は単に、実在する政府機関のドメインに属するメールアドレス（おそらく侵害されたかなりすまされたもの）から、公式を装った情報開示要求を送りつけただけだった。正当な要請に応じていると確信したRevolutのチームは、氏名、生年月日、住所、電話番号、時には身分証明書の写しを含む顧客ファイルを引き渡してしまった。

数日後、影響を受けた顧客たちは、口座で不審な取引があったと告げる非常に精度の高いSMSを受け取った：

• 仕込まれたSMS（スミッシング）：本物の盗まれたデータを武器に、攻撃者は個別化されたメッセージを送りつける。中には被害者の携帯電話上で、本物のRevolutのSMSと同じスレッドに直接表示されるものもあり、いっそう信じやすくなっている。
• 偽の担当者（ビッシング）：その後、不正利用対策部門を名乗る電話がかかってくることもある。相手はすでに被害者の氏名や直近の取引を把握しているため、信頼はすぐに築かれる。そこで「不正な振込を取り消すため」という口実で、プッシュ通知の承認やSMSで届いたコードの読み上げを求めてくる。
• どんでん返し：実際には、そのコードや通知を承認することが、被害者自身の資金を攻撃者の管理する口座へ即座に送金することを許可してしまう行為にほかならない。

Revolutは、この漏えいによって自社のシステムや顧客の資金が直接侵害されたわけではないこと、そして同社がSMSや電話でログインコードを尋ねることは決してないと明言している。まさにこの点こそ、ビッシングのキャンペーンが被害者に事の最中に忘れさせようとしているものだ。

この件について公にされている3つの資料：TechCrunchが報じたRevolutによる漏えいの確認、Malwarebytesによるフィッシングメッセージの分析、そしてInfosecurity Magazineによるスミッシングの追跡報道。

残る痕跡：行政的な信頼の悪用によって盗まれたデータであっても、盗まれたデータであることに変わりはなく、それが何か月にもわたって標的型メッセージの材料になり得る。要求が実在するドメインから来ているからといって、送信者の誠実さが保証されるわけでは決してない。SPFやDKIMを通過するメールでも、詐欺師のものであり得るのと同じことだ（ガイド「フィッシング：詐欺師がメールを届かせる仕組み」を参照）。

この3つの事件に共通すること

手口はまったく異なるが、目指すところは一つ：被害者が一目では確認できない信頼の証を借用することにある。

この3つの攻撃はいずれも技術的に何かを「破壊」してはいない。それぞれが、私たちが安心材料だと学んできた要素（見逃すアンチウイルス、公式らしく見えるウィンドウ、公的機関のドメイン）を横取りして、強固なパスワードだけではもう守り切れないものを手に入れているのだ。

こうした罠を見抜き、実際に対処する方法

見た目がほぼ完全に偽装された攻撃を前にしては、目だけを頼りにするのはもはや十分ではない：

• 表示ではなく本当の送信元を確認する：画面に表示される送信者名やドメインは簡単に偽装できる。メール全文をBaitbackに貼り付ければ、SPF・DKIM・DMARCの確認に加えて、本当の送信サーバーとそのホスティング業者、通報先アドレスまで突き止められる。
• クリック後に現れるログインウィンドウはドラッグテストで確認する（図2参照）：ブラウザの外へ出そうとしなければ、それは本物のシステムウィンドウではない。
• 予期しない電話やSMSには連絡経路を変えてから対応する：「銀行」や「人事部」を名乗っていても、届いたメッセージ経由ではなく、公式番号に自分からかけ直す。
• 相手からの求めに応じてコードを読み上げたり、プッシュ通知を承認したりしない：どれほど緊急を装っていても、その一つの行為だけで取引が承認されてしまう。
• 事後であっても通報する：すでに起きたことは元に戻せないが、他の被害者に対して今も使われているインフラを断つ助けになる。ガイド「フィッシングを効果的に通報する方法（段階別）」が手順を詳しく説明している。