〜「技術中心」から「人間中心」へ、従業員をリスクから最大の防御資産へ変革する新たな時代〜
米国国立標準技術研究所（NIST）が公表した「Human-Centered Cybersecurity（HCC：人間中心のサイバーセキュリティ）」に関するコンセプトペーパーにより、世界のサイバーセキュリティ戦略は大きな転換点を迎えようとしています。従来の「技術中心」のアプローチから「人」を主軸に置くアプローチへの移行を提言する本ペーパーは、これまでのセキュリティ概念を根本から覆すパラダイムシフトをもたらすものです。
Palo Alto Networks の Unit 42 によると、AIツールを騙してユーザーをフィッシングサイトへ誘導させる「ファントムスクワッティング（phantom squatting）」と呼ばれる新たな手口が確認されています。
ESETのリサーチャーによると、AIツールの活用によって、標的型ソーシャルエンジニアリング攻撃における偵察段階のスピードが飛躍的に向上しています。攻撃者はこうしたツールを使い、インターネット上に公開されている標的候補の情報を網羅的に収集し、それを一人ひとりに合わせたスピアフィッシング攻撃に組み込むことができます。
Experianの最新調査によると、詐欺による被害額が前年と比べて「やや増加した」または「大幅に増加した」と回答した企業は60%に上りました。また、AIを悪用した詐欺の手口のうち、最も警戒されているのがAIで作成されたフィッシング攻撃でした。
ReliaQuestのリサーチャーによると、攻撃者が侵害したホテルのWi-Fiルーターを悪用し、ユーザーをMicrosoft 365のフィッシングサイトへ誘導していることが確認されています。この攻撃は米国内の複数の都市に加え、インドやサウジアラビアでも観測されています。こうしたDNSポイズニング攻撃は、不審な兆候をほとんど残さないまま、ユーザーをフィッシングサイトへ送り込むことができます。
Microsoftのリサーチャーは、フィッシングメールが依然として最も多い初期侵入経路であると警鐘を鳴らしています。2026年第2四半期には、毎月20億件を超えるフィッシングの脅威が検知されました。
「デーデン……デーデン……デーデン、デーデン」
この音を聞くだけで、多くの人は何が起きているのかを理解します。海、水面を切る背びれ、逃げ惑う人々。映画『ジョーズ』を何年も観ていない人でも、あの音が流れた瞬間、反射的に危険を感じ取ります。バラエティ番組の効果音として流れてきても、誰も説明を必要としません。
Fortraのリサーチャーによると、クローキングを悪用したSEOポイズニング攻撃が、2026年第2四半期に40%増加したことが確認されています。「カメレオン型SEOポイズニング（Chameleon SEO poisoning）」とも呼ばれるこの手口は、検索エンジンのクローラーとユーザーに異なるコンテンツを見せるクローキングを用い、検索結果を経由してフィッシングサイトへ誘導します。
Googleの脅威インテリジェンスグループ（GTIG）は、ヘッジファンドや金融機関を標的としたボイスフィッシング（ビッシング）キャンペーンを追跡しています。リサーチャーは、この攻撃を、かつて「BlackFile」として知られていた恐喝グループ「UNC6671」によるものと分析しています。攻撃者は社内のIT担当部署を装って従業員に電話をかけ、緊急で行わなければいけないマイグレーション作業があると伝えます。
Zimperiumのリサーチャーは、Browser-in-the-Broser（BitB）攻撃を悪用してユーザーから企業の認証情報を盗み出すフィッシングキャンペーンが、展開されていることを確認しています。攻撃者は大手企業に実在する人事担当者になりすまし、極めて精巧に作り込まれた採用面接のプロセスを装って求職者を狙います。
