【要警戒】ビッシングとデバイスコードフィッシングが急拡大

CrowdStrikeの最新レポートによると、ソーシャルエンジニアリングは現代のサイバー攻撃において依然として中心的な役割を担っています。攻撃者の間では、ボイスフィッシング（ビッシング）に頼るケースが増えています。ソーシャルエンジニアリングが電話上で行われるため、従来のセキュリティ対策を回避でき、攻撃の痕跡もほとんど残らないためです。

リサーチャーは次のように述べています。「ビッシングは、初期侵入の経路として急速に拡大しています。CrowdStrike OverWatchの観測では、2026年上半期のビッシングによる侵入は、2025年下半期と比較して2倍に増加しました。人と人が直接やり取りするという性質上、ビッシングはソーシャルエンジニアリングの手法として特に効果的です。攻撃者はIT担当者になりすまし、ユーザーを巧みに誘導してアクセス権を与えさせます。『CORDIAL SPIDER』や『SNARKY SPIDER』などのサーバー犯罪グループは、ビッシングを使ってシングルサインオン（SSO）アカウントを侵害し、SaaSアプリケーションからデータを高速で窃取しました。特にSNARKY SPIDERは、アカウント乗っ取りからデータ窃取までをわずか5分以内で完了させています。攻撃者はアイデンティティを侵害することで、横展開や権限昇格を行うことなく、機密データへ即座にアクセスできてしまうのです。」

また、こうした攻撃は会話がリアルタイムで進行するため、被害者をより操作しやすくなります。

リサーチャーは次のように説明しています。「人と人が直接やり取りすることで、例えばフィッシングメールなどと比べて、標的となるユーザーをより巧みに誘導できます。例えば、攻撃者はIT担当者になりすまし、些細なサポート上の問題を解決する必要があるという口実で電話をかけ、標的からアクセス権を引き出そうとします。」

さらにリサーチャーは、過去半年間でデバイスコードフィッシング攻撃が15倍に増加したことも確認しています。

CrowdStrikeは次のように説明しています。「デバイスコードフィッシングは、OAuth 2.0のデバイス認可フローを悪用する攻撃手法です。被害者をだまし、正規の認証ポータル上で攻撃者が用意したデバイスコードを入力させることで、クラウドサービスやアプリケーションへのアクセストークンを攻撃者に発行させてしまいます。従来のフィッシングとは異なり、被害者自身が正規の手順で認証を完了するため、多要素認証（MFA）を回避できます。攻撃者は、その結果として発行されたトークンを乗っ取るだけで済むのです。」

KnowBe4は、従業員一人ひとりが日々の業務において、より的確なセキュリティ判断を下せるよう支援します。現在、世界で7万社を超える組織がKnowBe4のHRM+プラットフォームを信頼し、セキュリティ文化の醸成とヒューマンリスクの低減を実現しています。

詳細については、Crowdstrikeの記事をご参照ください。