実在のCVEをかたるフィッシングが筆者に届いた 「詳しい人」ほど危ないのはなぜ？：半径300メートルのIT

実在する脆弱性と実在する事業者をかたるフィッシングメールが筆者に届きました。正確な説明に、セキュリティに携わる筆者も一瞬信じかけたほどです。多要素認証すら破る攻撃が広がる今、「見抜く」以外にどんな備えができるでしょうか。

[宮田健，ITmedia]

　先日、私のメールアドレスに、「レンタルサーバ上で自分が運営するWordPressのプラグインに脆弱（ぜいじゃく）性が残っており、すぐに更新しなければサーバごと乗っ取られる」というメールが届いていました。

　問題となっていたのは「TranslatePress」プラグインで、メールが届いた2日前に「CVE-2026-19632」として登録されたもの。40万以上のサイトで利用されているプラグインである上に、認証なしで管理者のパスワード再設定リンクを取得し管理者アカウントを乗っ取ることができ、非常に影響範囲が広いものです。

　現在は修正済みのバージョンが公開されているため、利用している管理者は今すぐに適用および自動更新がされているかをご確認ください。

筆者に届いたメール、なのだが……（参考：NVD-CVE-2026-19632）

　しかし、ここで幾つか注意を。実は筆者が運営するWordPressサイトではこのプラグインを利用していないのです。筆者が当該レンタルサーバを契約しているのは間違いないのですが、登録していたメールアドレスは別のもの。そして、リンクをクリックして更新しようと開いたドメインは見知らぬものでした。

　つまり、これは実在する脆弱性、実在するレンタルサーバ事業者を騙り、偽ログインページに誘導した上であなたに管理者アカウントでログインさせようとする「フィッシング攻撃」だったのです。あまりにも正しい説明がメール内に記載されているため、私も一瞬信じかけました。

　フィッシングはここまで手の込んだものになったのか……と驚いています。私が10年以上契約し続けているレンタルサーバ事業者のエックスサーバーに報告したところ、大変ていねいな対応をしていただきました。

もはやフィッシングは「ITに疎い人」だけがターゲットではない

　フィッシングは機械ではなく、あなた自身をターゲットにし、人間をだますことを狙う攻撃です。かつては手作業で偽サイトを作っていたため、見た目がそもそもおかしかったり、日本語が不自然だったりと、「誰がこんなのにひっかかるんだよ」と思うようなものだったかもしれません。

　しかし今では機械的に偽サイトを作ることで、寸分たがわぬ見た目にすることは簡単です。繰り返しとなりますが、フィッシングサイトを見抜こうという視点で対抗することは得策ではありません。誰もがだまされる、という前提で考える必要があります。

　加えて、かつてならば「多要素認証を設定しアカウントを守ろう」という対策も、それが広まったことで、攻撃者のステージが変わってしまいました。「リアルタイムフィッシング」と呼ばれる手法では、ID／パスワードだけでなく多要素認証のワンタイムパスワードやセッション情報を「バケツリレー」のようにリアルタイムに中継して盗み出すことで、多要素認証を設定していても、アカウントを奪われてしまいます。「〇〇をしているから安全」ということはなく、どんな対策をしていても、いつかはそれを上回る巧妙な攻撃手法が出てくる可能性を考えておく必要もあるのです。

　そして、生成AIが攻撃手法の洗練化に大きく寄与しています。リアルタイムで動画や音声を作り出し、本人そっくりの偽物がオンライン会議に出てくるディープフェイクを活用したCEO詐欺も、研究レベルから実用レベルになってしまいました。そのような高度な技術を使う攻撃がある一方、言葉巧みにあなた自身にマルウェアをインストールさせる「ClickFix」（クリックフィックス）というような攻撃手法もでてきています。

　「オレはフィッシング詐欺に詳しいんだ」という人ほど、攻撃者にとっては攻略しやすい標的なのかもしれません。

1人では限界だから――官民、民民連携で対抗しよう

　詳しくない人が騙される、詳しくても裏をかかれる――そんなサイバー空間にしたくないと考える人たちがいます。2026年8月26日、都内で開催された「詐欺対策カンファレンス Japan 2026」では、日本オンライン詐欺対策アライアンス（略称：JASA）が発足し、記念の講演がありました。一般社団法人トラスト＆セーフティ協会（JTSA）がGoogleおよびトレンドマイクロを創立支援パートナーとし、業界の壁を越えた「ワンチーム」の体制を構築し、巧妙化する詐欺のサプライチェーンを無効化することを目的に発足した団体です。

日本オンライン詐欺対策アライアンス

• 日本オンライン詐欺対策アライアンス（JASA）｜Japan Anti-Scam Alliance

　フィッシング詐欺だけでなく、「詐欺」、特に警察庁が匿名・流動型犯罪グループ（トクリュウ）と呼ぶような犯罪が、世界で増えています。その入り口となるのは、やはりスマートフォンやPCであり、メールやWebのフィッシングといえるでしょう。JASAは海外団体、国内パートナー企業を集め、さまざまな知見を基に、デジタル社会を安心できるものにしようと第一歩を踏み出しました。

• 「日本オンライン詐欺対策アライアンス(JASA)」本日設立。Google、トレンドマイクロ、Meta、OpenAI Japan、TikTok Japan、マッチ・グループ等の主要企業や業界団体が結集｜一般社団法人トラスト＆セーフティ協会のプレスリリース

人任せにせず、自分自身もそのチームの一員として

　「詐欺対策カンファレンス Japan 2026」では、警察や省庁の取り組み、アジアにおける現状、そして企業が取り組んでいることなどが語られ、まさに官民連携、民民連携の重要性を知ることができるセッションが開催されました。

　特にGoogleからは、画面上の怪しいメッセージを円で囲むだけでリアルタイムに確認できる「かこって検索」の利用や、画像がGoogleのAIで生成・編集されたものかどうかを確かめるため、SynthID技術による透かし検出を利用し、「Gemini」にアップロードして「これはGoogle AIで作成されましたか？」と尋ねる機能を活用することを勧めています。

• AI 生成の画像、動画、音声を検証する - Android - Gemini アプリ ヘルプ

　また、警察庁からの提案として、騙しの国際電話による被害を止めるため、自分や家族の固定電話やスマートフォンに対策アプリを入れることが挙げられました。

• 警察庁推奨アプリ

　しかし、それだけでは足りないようにも思えます。官民連携というと、政府と企業ががっちりタッグを組むという印象があるかもしれませんが、詐欺に対してはやはり、私たち一人一人が、この攻撃に対してしっかりと取り組まねばならないと思っています。

　それはそう難しいことではありません。皆さんもいろいろな報道で、詐欺の事例を知ることが多いかと思います。情報漏えいや不正アクセスの報道も増えました。その事件を追いかけてみると、事件の入口となるのは従業員の不注意や、注意していてもそれを上回る手法が使われているはずです。それに驚いたら、ぜひその内容を家族に、友人に話してみてください。詐欺に関する会話が生まれれば、それだけで対抗策になるはずです。

　事件が起きると、「あの企業は何をやってるんだ！」と憤りたくなるかもしれません。しかし、ちょっとだけ冷静になって、どの企業も同じように攻撃される可能性を考えつつ、自分もその仲間となり「何があれば守れたのか？」と寄り添ってみましょう。それこそが、フィッシングをはじめとする詐欺の、私たちにできる対抗手段であるはずです。フィッシングメールが届いたら、できる限り正しいルートで報告しましょう。それがいつか、誰かを守ることになるはずですから。

　ちょっと前までは脅威といえば「マルウェア」でした。しかし、今個人レベル、従業員レベルであれば、脅威といえば「詐欺」のはず。PCを持たなくても被害を受ける犯罪ですので、私たち全員が手を組み、連携して脅威から身を守ろうではありませんか。

著者紹介：宮田健（みやた・たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門　「木曜日のフルット」と学ぼう！〈漫画キャラで学ぶ大人のビジネス教養シリーズ〉』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる。