ブラウザを標的とするサイバー攻撃が高度化、セッション傍受やOAuth悪用など2026年の主要手口が判明

要点

• 現代のサイバー攻撃は初期侵入からデータ持ち出しまでブラウザ内で完結する事例が増加しており、主要な手口が明らかになった。

• リバースプロキシ型キットの普及により多要素認証（MFA）を回避するセッション傍受が容易化し、フィッシングの約半数がメール以外の経路で配信されている。

• 不正コマンドを端末上で実行させる「ClickFix」が初期侵入の過半数を占めるまでに急増し、AI開発ツールを騙る手口などへ派生している。

• OAuthの認可フローを悪用する攻撃では、パスキーを含む強固なMFAでも防げないアクセス権の不正取得が行われている。

• 業務で利用されるブラウザ拡張機能の半数近くがアカウント乗っ取り可能な過剰権限を保持しており、買収を通じた悪用も確認されている。

• サイバーセキュリティ専門メディア「The Hacker News」は2026年9月30日、クラウド業務環境の中心となっているウェブブラウザを狙う最新のサイバー攻撃動向と危険な手口を報じました。セキュリティ企業Push Securityの観測データや各種調査レポートをもとに、初期侵入から不正アクセスに至る巧妙な手法が浮き彫りとなっています。

ブラウザ環境への依存と攻撃チェーンの完結

業務アプリケーションの多くがウェブブラウザ上で利用されるようになった現在、侵害事例の多くがブラウザセッションを起点として発生しています。初期アクセスから機密データの持ち出しに至る一連の攻撃活動がブラウザ内部だけで完結し、従来の端末監視やエンドポイントセキュリティをすり抜ける事例が常態化していると報告されています。

リアルタイムのセッション傍受とメール外配信の拡大

認証情報を狙うフィッシング攻撃は、単なるパスワード窃取からリアルタイムの通信傍受へと変化しています。Tycoon2FA、Sneaky2FA、Evilginxといったリバースプロキシ型AiTM（Adversary-in-the-Middle：通信の間に割り込んで認証情報を中継する中間者攻撃）ツールキットは、認証情報とセッショントークンを即座に中継し、MFA（多要素認証）を回避します。これらのキットは「Phishing-as-a-Service（PaaS：サービスとしてのフィッシング）」として完成されたプラットフォームの形で流通しており、高度な攻撃の参入障壁を著しく押し下げています。

また、攻撃リンクの配信経路はメールにとどまらず、チャットツール、SNS、SMS、悪質広告、アプリ内メッセージへと拡散しています。Push Securityのデータによれば、観測されたフィッシング攻撃の約2件に1件（50%）がメール以外の手段で配信されていました。さらに、フィッシング用ドメインの89%は開設から2日未満で破棄されており、従来のブロックリストによる検知を困難にしています。

コマンド実行を誘導する「ClickFix」の急増とAIツールの悪用

2024年後半から観測されている「ClickFix」は、偽のCAPTCHA（人間による操作かを確認するテスト）やエラー修復を口実に、悪意あるコマンドをユーザー自身に端末上へコピー＆ペーストして実行させる手口です。Microsoftの「Digital Defense Report」では初期アクセス要因の47%を占めたとされ、Push Securityの検知データでも2026年第2四半期に全体の52%を占めて最多の侵入手法となりました。

誘導されたユーザーがスクリプトを実行することで、遠隔操作ツールや情報窃取マルウェアがインストールされます。同手口のペイロード（攻撃コード）の80%は検索エンジン経由の改ざんサイト、悪質広告、SEOポイズニングから到達しており、メールフィルタを介さずに拡散しています。

ClickFixの手口は派生を続けており、Claude CodeやNotebookLMといったAI開発ツールの偽インストール画面で不正コマンドを実行させる「InstallFix」や、AIチャットの共有会話機能を利用して正規ドメインからマルウェアを配備する「LLMShare」などのキャンペーンも確認されています。

認証を介さず権限を奪うOAuth認可フィッシング

ログイン後のアクセス権限そのものを標的とする「認可フィッシング」も脅威となっています。これは認証フローからセッションを奪うのではなく、OAuth（外部サービス間で安全に権限を連携する標準規格）の同意画面やデバイスコードフローを悪用してアクセストークンを取得する手法です。認証プロセス自体に介入しないため、パスキー（公開鍵暗号技術を用いてパスワードなしでログインする強固な認証方式）を含むあらゆるMFAが無効化されます。

具体的には、不正なサードパーティアプリを認可させる「同意フィッシング」、RFC 8628仕様を悪用する「デバイスコードフィッシング」（30以上のキットが確認済み）、ロシアのサイバー攻撃グループAPT29が使用し現在は犯罪ツールとして流通しているClickFixとの複合型「ConsentFix」の3種類が確認されています。

拡張機能の過剰権限とAIツールのシャドーITリスク

ブラウザ拡張機能を通じたデータ窃取やキーストローク記録も依然として深刻です。攻撃者は新規に拡張機能を開発するだけでなく、既存の正規拡張機能を買収し、利用者が十分に拡大した段階で悪意あるアップデートを配信する手口を用いています。

Push Securityの顧客データ分析によると、業務環境で稼働する拡張機能の46.76%が、ユーザー操作を介さずにアカウント乗っ取りを実行可能な権限の組み合わせを保持していました。さらに「Verizon DBIR 2026」の報告では、企業ユーザーの15%以上が無許可のAIブラウザ拡張機能を導入している実態が明らかになっています。

補足

ブラウザが企業の基幹業務インターフェースとなった結果、攻撃者側のツールも従来のメールやOSレベルの侵害から、ブラウザの正規機能や仕様を悪用する形態へと急速にシフトしています。