保険業界を狙うフィッシングが進化、偽のGoogle広告やリアルタイムの二要素認証突破でアカウントを乗っ取る手口が判明
要点
- セキュリティ企業CTM360の調査により、保険会社を標的とするフィッシング攻撃が、従来の情報を収集する手口からリアルタイムでアカウントを乗っ取る手法へと進化していることが判明した。
- 攻撃者は被害者のログイン操作と完全に同期し、フィッシングサイトに入力された情報を正規サイトへ即座に送信してログイン処理を行う。
- 二要素認証（MFA）で求められるワンタイムパスワード（OTP）も、偽の本人確認画面を介してリアルタイムに詐取して転送する。
- 侵入経路にはメールやSMSではなく、保険の比較や見積もりを検索したユーザーを狙う偽の「Google広告」が一貫して悪用されている。
- フィッシングサイトの構築にはGitHub PagesやWixなどの正規の無料ツールが使われており、セキュリティ監視による検知を困難にしている。
サイバーセキュリティ企業であるCTM360は2026年7月25日、保険業界のデジタルポータルを標的とするフィッシング攻撃の進化に関する調査報告を公開した。これによると、攻撃者は単にユーザーの認証情報を盗み出して後から悪用するだけでなく、ユーザーのログイン操作とリアルタイムで同期してその場でアカウントを乗っ取る手口を用いているという。本稿では、この「ライブ型」フィッシングの手法や、攻撃者が悪用する検索広告、無料ホスティングサービスの仕組みについて解説する。
オンライン化する保険サービスと狙われる個人情報
近年、多くの保険会社がオンラインサービスの拡充を進めており、保険の購入や更新、保険金請求、登録情報の変更、決済などのすべての手続きがデジタルポータル上で完結するようになっている。
この変化はユーザーの利便性を向上させた一方、攻撃者にとっても魅力的な標的となっている。オンラインバンキングを狙う従来の攻撃は主に金融取引そのものを目的としていたが、保険アカウントの侵害は異なる目的を持つ。保険アカウントには、詳細な個人情報、身分証明書類、保険契約の記録、支払い方法などが豊富に含まれており、これらはその後のなりすましやID詐欺といった別の重大な詐欺行為に広く悪用できるためだ。
調査では、同一のシステムを使い回しながら複数の保険ブランドを標的とする組織的な活動が確認された。サウジアラビアが最大の標的となっていたが、欧州、米国、インドでも同様の不審な動きが検出されている。
初期ベクターとして悪用される「Google広告」と無料サービス
今回の攻撃の最大の特徴は、誘導経路として電子メールやSMSではなく、Googleの検索連動型広告（スポンサー広告）が一貫して利用されている点である。
攻撃者は、ユーザーが「自動車保険の比較（Compare car insurance offers）」や「格安の第三者保険（Cheapest third-party insurance）」などを検索した際に表示される広告を購入していた。ユーザーがこの広告をクリックすると、正規の保険会社に酷似したフィッシングサイトへ転送される。これらのサイトは実在する企業のロゴ、見積もりプロセス、顧客ポータルを精巧に模倣しており、被害者の疑念を和らげる設計になっていた。
さらに、サイトを支えるサーバーインフラも使い捨てが容易な構造になっていた。攻撃者は専用の悪意あるサーバーは使わず、GitHub Pages、Netlify、Hostinger、Wix、Lovableなどの正規のホームページ作成ツールや無料のクラウドサービスでサイトを構築。ブランド名と無関係なランダムドメインを使用することで、従来のブランド監視ツールによる検知の回避を図っていた。
リアルタイムで二要素認証を突破する仕組み
従来のフィッシングは、偽ページで収集した情報を後から悪用する「静的」なデータ収集が主流だった。しかし、新たな手口では、フィッシングサイトが被害者と本物のポータルを仲介する「ライブの中継者」として動作する。
ユーザーが偽ページにログイン情報を入力すると、攻撃者はその情報を用いて、同時に本物の保険会社サイトでログイン処理を開始する。
これにより、二要素認証（MFA）も容易に突破される。本物のサイトがログイン要求を検知してユーザーにワンタイムパスワード（OTP）を送信すると、偽のサイトはすかさず「本人確認」としてOTPの入力を被害者に促す。被害者が入力したOTPは、有効期限が切れる前に攻撃者によって本物のポータルへ転送され、認証が完了する。
ログインプロセスのすべての段階が同期されるため、攻撃者は被害者に気づかれることなく、1回のブラウジングセッション内でアカウントを完全に乗っ取ることができるという。
専門用語の解説
- 二要素認証（MFA）：IDとパスワードのほかに、スマートフォンに送られるコードなど異なる情報を組み合わせて本人確認を行う仕組み。
- ワンタイムパスワード（OTP）：ログイン時などに一度だけ使用できる、有効期限が数分に限られた使い捨ての認証コード。
- ホスティングサービス：ホームページなどのデータを保存し、インターネット上に公開するためのサーバー領域を提供するサービス。