2026年に急増する「デバイスコード・フィッシング」の脅威 MFA無効化やAIによる攻撃ツール量産が背景に
要点
- OAuth 2.0の「デバイス認可フロー」を悪用してアクセストークンを盗み出す「デバイスコード・フィッシング」が2026年に急拡大している。
- パスキーや物理キーなどの強固な多要素認証（MFA）を導入していても、ログイン後の「認可」を狙うため攻撃を防げない。
- フィッシング支援サービス（PaaS）のエコシステムにおいて標準機能化が進み、攻撃ツールの産業化が完了している。
- 生成AIを用いた開発（バイブコーディング）の普及により、防御側の追跡を上回るペースで新たな攻撃キットが量産されている。
リード文
OAuth 2.0（権限の認可を行うオープン規格）のデバイス認可フローを悪用し、アクセストークン（権限を証明するデジタル鍵）を奪取する「デバイスコード・フィッシング」が急進化している。2026年7月31日にセキュリティ企業Push Securityなどが公開した調査結果から、わずか半年の間に産業規模の脅威へと成長したことが判明した。本手法は、スマートTVなど入力が制限された端末向けのフローを突くもので、現在はコマンドライン（CLI：キーボード入力で操作する画面）ログインなどで広く採用されている。
本文
国家支援ハッカーから一般犯罪者へ、半年での爆発的普及
この攻撃手法は2020年に発表されていたものの、実際の悪用は2024年に国家支援型ハッカー「Storm-2372」が使用し始めたことで本格化した。2025年には「ShinyHunters」がSalesforceのテナント（クラウド上の利用環境）への大規模攻撃に悪用し、2026年2月に攻撃キット「EvilTokens」が登場したことで一般のサイバー犯罪者の間にも爆発的に普及したという。
2026年4月には、Microsoftが24時間ごとに10〜15件の新規攻撃キャンペーン（組織的な攻撃活動）を検出していると報告。セキュリティ企業のBarracudaは4週間で700万件の攻撃を観測し、米連邦捜査局（FBI）も特定のフィッシング支援サービス（PaaS：攻撃ツールやインフラを定額提供するサービス）キット「Kali365」に関する単独の警告を発令するに至っている。
多要素認証（MFA）を完全に無効化する仕組み
最大の脅威は、パスキー（パスワード不要の認証技術）や物理キーを含む、あらゆる強固なMFA（複数の手段を組み合わせる認証システム）を回避する点にある。これは、攻撃対象がログイン処理そのものではなく、ログイン完了後の「認可（権限付与）」レイヤーであるためだと説明されている。
具体的な攻撃の流れとしては、被害者がすでに正規アカウントにログインした状態でフィッシングページに誘導されるケースが多いという。被害者は画面に表示された短い認証コードをコピーし、正規のデバイスログイン画面に入力してアカウントを選択し、アクセスを許可するだけで攻撃が成立してしまうとされる。これは、身元の証明である「認証」と、アプリへのアクセス権を与える「認可」が異なる処理であることを突いたものであり、既存のセキュリティ対策の多くが認証のみを保護している隙を狙った形だ。
フィッシング支援サービスによる産業化と高度な機能
かつては高度な技術とされていた本手法だが、現在ではPaaS市場で完全に産業化しているという。最も普及しているAiTM（通信を傍受する中間者攻撃）のフィッシングキット「Tycoon2FA」は2026年5月に本機能を追加した。また「Kali365」は、AiTMとデバイスコード・フィッシングの両方を単一プラットフォームで提供している。
さらに、EvilTokensの関連アフィリエイトパネルである「ARToken」では、PRT（デバイスの認証状態を保持する特殊トークン）の永続化、メールボックスへのアクセス、BEC（なりすましによるビジネスメール詐欺）の自動化、さらには共同作業プラットフォーム「SharePoint」からのデータ窃取といった機能が、最初から製品としてパッケージ化されているという。研究段階から国家ハッカーの悪用、そして一般犯罪者向けツールへの移行というサイクル全体が、AIによる開発支援によってわずか数ヶ月という異例の短期間に圧縮された形だ。
「バイブコーディング」がもたらす攻撃ツールの量産
Push Securityは現在、25種類以上の異なるデバイスコード・フィッシングキットを追跡しているという。かつて新たなAiTMキットが確認されるのは数ヶ月に1回の大事件だったが、2026年だけで25以上のファミリーが出現している現状は、開発手法の根本的な変化を物語っている。
多くのキットが似た構造やレイアウトを持つ背景には、大規模言語モデル（LLM）に対して類似の指示（プロンプト）を与えることで自動生成されたためだと分析されている。AIに指示を出すだけでプログラムを作成する「バイブコーディング」と呼ばれる開発手法の普及により、攻撃ツール構築のハードルは崩壊しており、同社R&D担当バイスプレジデントのLuke Jennings氏も独自のカスタムキットを即座に構築してその容易さを実証している。