従来のメールセキュリティを回避する新たな「ゴーストフィッシング」攻撃、欧米企業で拡大

要点

• 悪意あるWebページを暗号化し、ブラウザ内で復号されるまで検知を逃れる「ゴーストフィッシング」と呼ばれる新たな手法が確認された。

• この攻撃は「EvilTokens」キャンペーンで用いられており、パスワードを盗む代わりに正規のMicrosoftログインフローを悪用してアカウントのアクセス権限を奪取する。

• 従来のメールのURL検査やネットワーク監視では攻撃コードを検出できず、対応の遅れや調査コストの増加といった深刻な影響をもたらしている。

• 脅威分析プラットフォーム「ANY.RUN」の調査によると、2026年にはコンサルティングや金融、製造などの分野で7割前後の組織がフィッシングの脅威に晒されている。

• セキュリティメディアのThe Hacker Newsは2026年7月8日、従来のメールセキュリティを回避する新たなフィッシング手法「ゴーストフィッシング（Ghost Phishing）」を用いたサイバー攻撃キャンペーンが、米国や欧州の企業をターゲットに拡大していることを報じた。この攻撃は「EvilTokens（イービルトークンズ）」と呼ばれるキャンペーンの一環として観測されており、被害者のブラウザ内部で悪意あるページが動き出すまでその実体を隠し通す特徴を持つという。

ブラウザ内で初めて姿を現す「ゴーストフィッシング」の仕組み

今回明らかになったゴーストフィッシング攻撃は、メールの受信段階や初期スキャンではリンク先が安全であるように見える。

この手法では、フィッシングサイトのHTML自体が「AES-GCM（データの暗号化と改ざん検知を同時に行う暗号化方式）」で暗号化されている。そのため、配信段階のURLやパケットの静的スキャンでは、無害に見えるデータしか検出できない。

しかし、被害者がブラウザでそのリンクを開くと、ブラウザ内部で暗号が復号され、Webページの構造を定義する「DOM（ブラウザがHTML文書をプログラムから扱うための仕組み）」の中にフィッシングコンテンツが描画されて初めて悪意あるページが現れる。これにより、従来の静的検査製品と実際の表示画面の間に「可視性のギャップ」が生じ、検知を困難にしている。

パスワードを盗まない「デバイスコードフィッシング」の悪用

EvilTokensキャンペーンのもう一つの特徴は、ユーザーのパスワードを直接入力させて盗み取るのではなく、Microsoftの「デバイスコードフィッシング（スマートテレビなどの他端末をアカウントと連携させる認証手順を悪用したフィッシング手法）」を悪用する点である。

攻撃者は被害者に正規のMicrosoftログインフローを完了させ、被害者が気づかないうちにアカウントへのアクセス権限（認可トークン）を承認させる。パスワードを直接入力させないため、被害者や管理者が不正ログインに気づきにくく、アカウント乗っ取りの被害が長期化しやすい。

深刻化するセキュリティ運用の負荷と被害領域

この「可視性のギャップ」は、企業のセキュリティ対策において深刻な影響をもたらすと元記事は説明している。

• アカウントの乗っ取り被害の長期化
• 脅威の特定（封じ込め）や対応判断の遅れ
• 社内メール、機密ファイル、関連クラウドサービスへの不正アクセス
• 不確実なアラートのエスカレーションによる業務の混乱
• インシデント（セキュリティ上の事故）の調査に関わる作業量および運用コストの増加
• 攻撃インフラを特定・ブロックするための証拠不足

このように、防御側は攻撃の把握までに多くの時間を費やすことになり、機密情報の漏洩やビジネスメール詐欺（BEC）といったより大きな被害に発展するリスクが高まる。

コンサルティングや金融など、幅広い産業が標的に

脅威分析プラットフォームを提供するANY.RUNのデータによると、このEvilTokensキャンペーンは米国と欧州の企業に集中して展開されている。ターゲットはテクノロジー、製造、教育、銀行、コンサルティング、金融サービス、そして「MSSP（企業のセキュリティ監視や運用を外部から専門的に代行する事業者）」など多岐にわたる。

1万5,000組織から提出されたサンドボックス（プログラムを安全に動作させて挙動を調べる仮想環境）の解析データを基にした2026年の集計では、各産業におけるフィッシング脅威への露出割合は以下の通りである。

• コンサルティング分野: 75.6%
• 金融サービス分野: 72.8%
• 製造分野: 71.9%
• テクノロジー分野: 67.9%
• 銀行分野: 66.7%
• MSSP分野: 66.1%

これらの業界では、たった一つのMicrosoft 365アカウントが乗っ取られるだけで、顧客データや財務情報が危険にさらされ、結果として多額の対応コストを要する大きなビジネスインシデントへと発展する恐れがある。

サンドボックスによる「ゴースト」の可視化

元記事によると、このゴーストフィッシングに対抗する最も効果的な方法は、ブラウザ内のデータを検査できる動的解析ツール（サンドボックス）の活用だという。

ANY.RUNのインタラクティブサンドボックスでは、暗号化されたページの復号後の動きを追跡することで、以下の詳細な解析データを得ることができる。

• DOMスナップショット: 隠されていたページが変化し、ユーザーコードが表示されるタイミングを特定する。
• HTTPリクエストの追跡: デバイスコードフローの裏で行われるバックエンド通信を監視し、Microsoftのデバイスコード生成エンドポイント（/api/device/start）への通信を明らかにする。
• URL詳細情報: 最終的な通信先ドメインや、検知シグネチャに合致する要素を露出させる。

こうしたアプローチにより、セキュリティチームは暗号化によって隠蔽されたフィッシング攻撃の全貌を迅速に解き明かし、ビジネスへの被害を最小限に食い止めることができると説明されている。