フィッシング92％減の裏でTeamsの通話攻撃が10倍に Microsoft分析：セキュリティニュースアラート

Microsoftが2026年4〜6月のメール脅威動向を公表した。フィッシング基盤への妨害作戦の効果でメール経由の攻撃は減った一方、Teamsを使う音声フィッシングは2025年半ばの約10倍に増えた。攻撃の入り口はどこへ移りつつあるのか。

[ITmedia]

　Microsoftは2026年7月23日（現地時間）、2026年第2四半期（4〜6月）のメール脅威動向を公表した。2026年3月（以下、全て同年）に同社のMicrosoftのデジタル犯罪対策部門（Digital Crimes Unit）が主導したフィッシング・アズ・ア・サービス（PhaaS）「Tycoon2FA」への妨害作戦の影響が続き、同サービスに関連するフィッシング量は作戦前の平均から92％減少した。QRコードを使う手口とCAPTCHAで閲覧を制限する手口も3月のピークから減った。Tycoon2FAは運用再建を試みたが、四半期中に以前の規模や影響力を取り戻せず、同等の規模で代替する単一サービスも現れなかった。

Teamsフィッシング増加、ITサポート偽装が中心

　Microsoftは四半期中、メール経由のフィッシング脅威を約76億件検出した。月別では4月の27億件から6月の24億件へ小幅に減少した。悪性ペイロードの目的は資格情報の窃取が中心で、各月の94〜96％を占めた。利用者を偽サイトへ誘導する手口や、端末上に偽のサインイン画面を表示する手口が確認された。従来型マルウェアの配布は4〜6％にとどまり、長期的な減少傾向と一致した。

　添付形式ではHTMLとPDFが各月の約60〜70％を占めた。HTMLは35〜41％で首位を維持したが、4月のピーク後、5月に33％、6月に17％減った。PDFは24〜31％で、5月に41％、6月に4％減少した。SVGは2025年7月に23％まで上昇していたが、第2四半期には約7％まで低下し、Tycoon2FAの活動縮小と歩調をそろえた。DOC/DOCXとZIP/GZIPは月ごとの増減が大きく、明確な方向性は見られなかった。予定表の招待に使う「ICS」形式のカレンダー招待は全体の約4％と少数だったが、6月に277％増加した。標準的な添付とは異なる処理を悪用し、利用者が添付を開かなくても予定表へ悪性リンクを入れられる点が使われた。EXEは6月に月間最低水準となった。

　ビジネスメール詐欺（BEC）は4月に約900万件へ急増し、3月比121％増、過去1年超で最大の異常値となった。5月は62％減の340万件、6月は390万件で、前年から続く月間基準に戻った。4月の増加は活動全体の構造的拡大ではなく、少数の大量配信キャンペーンが主因とMicrosoftは分析している。初回接触の87〜92％は「席にいますか」といった一般的な呼びかけで、特定の送金や書類を求める内容は3〜8％だった。先に会話によって関係を築き、その後、不正要求を出す詐欺の手法が確認された。

　明示的な金銭要求において、偽請求書による支払い依頼が5月に67％、6月に77％減り、1年超で最低となった。6月の請求書型は全BECの0.4％未満で、3月の約3.6％から縮小した。給与振込先の変更依頼は3月の約4％から6月の2.3％へ低下し、ギフトカード要求は1〜4％で推移した。

　メール以外において、「Microsoft Teams」（以下、Teams）を使うソーシャルエンジニアリング、フィッシング、マルウェア配布が増えた。Teamsの通信は通常、セキュアメールゲートウェイを通らず、従業員が書いたチャットメッセージに見えるため信頼されやすい。検出件数の平均は3月から4月に19％増え、5月はほぼ横ばい、6月は10％増えた。主な誘導はITサポートの偽装で、アカウント停止を警告する例が多かった。ただし表示名はITやヘルプデスクを強調する形式から変化し、6月は52％が一般的な名称だった。攻撃者のメールアドレスも、サポート関連のドメインからSaaS、スキャン、更新、基盤を示す語句へ移った。

Teamsの悪性通話における偽装の内訳。ITサポートを名乗る例が減り、一般的な表示名が過半を占めた（4〜6月）（出典：Microsoftの公式ブログ）

　Teamsを使う音声フィッシングは、報告対象の脅威分類で最大の伸びを示した。週平均の悪性通話試行は4月から5月に31％、6月に27％増え、6月最後の2週間は過去最高を記録した。2026年初めから約80％増え、四半期末には2025年半ばの基準の約10倍となった。通話は標的がオンラインになりやすい月曜から金曜の14〜20時（協定世界時）に集中し、週末はほぼゼロだった。未応答、短時間終了、拒否の比率も増えており、MicrosoftはTeamsの防御強化とソーシャルエンジニアリング対策の改善が一因としている。

Teamsで観測された悪性通話の週別件数。2026年に入って増加を続け、6月末に過去最高となった（出典：Microsoftの公式ブログ）

　四半期中には、3時間未満で4万2000組織の6万7000人超へ到達した自動化BECや、メール本体の中に別のメールファイル（EML）を添付として埋め込む形式、カレンダー招待、Microsoftの認証サイトから任意の宛先へ転送させる仕組みを組み合わせてマルウェアを配布する多段階攻撃も確認された。攻撃者が自動化、信頼性の高いサービス、複数段階の配信経路を組み合わせ、メールから職場の通信基盤へ活動範囲を広げる実態が示された。同社は、妨害作戦がフィッシング基盤の縮小に効果を持つ半面、攻撃者が配信経路を分散し、信頼しやすい業務用サービスへ移る状況を指摘した。Microsoftは、カレンダー招待やTeamsのチャットと通話も監視対象に含めるよう促している。