B
今週中
2026年におけるブラウザベースの攻撃手法に関する分析レポートです
📌 一言でいうと
2026年におけるブラウザベースの攻撃手法に関する分析レポートです。特にTycoon2FAやEvilginxなどのリバースプロキシを用いたAiTM（Adversary-in-the-Middle）攻撃により、多要素認証（MFA）をバイパスしてセッション情報を窃取する手法が高度化しています。攻撃経路はメールだけでなく、SNSやSMS、悪意のある広告など多岐にわたっています。
🔍該当判定
- Google WorkspaceやMicrosoft 365などのクラウドサービスを、ブラウザ経由で利用している
- SMSやチャットツール（Slack, LINE, Teams等）で、外部から送られてくるURLをクリックする運用がある
- 多要素認証（MFA）を導入しているが、認証コード入力や承認ボタン押下のみの方式を利用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
FIDO2/WebAuthn準拠の物理セキュリティキーなどの耐フィッシングMFAの導入、および不審なリンクをクリックしないための従業員教育の徹底を推奨します。
📧 メール案を見る (社員向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【注意喚起】巧妙なフィッシングメールと偽サイトへの注意について
お疲れさまです。情報システム担当です。
最近、本物のログイン画面にそっくりな偽サイトを利用して、パスワードだけでなく「ログイン状態（セッション）」を盗み出す巧妙な攻撃が増えています。
ご協力をお願いしたいこと:
1. メールやSNSで届いた不審なリンクは絶対にクリックしない
2. ログイン時に、URLが正しいか（不自然な文字列が含まれていないか）を必ず確認する
3. 万が一、不審なサイトに情報を入力してしまった場合は、すぐにシステム管理者に報告する
対応期限: 本日中（確認をお願いします）
お疲れさまです。情報システム担当です。
最近、本物のログイン画面にそっくりな偽サイトを利用して、パスワードだけでなく「ログイン状態（セッション）」を盗み出す巧妙な攻撃が増えています。
ご協力をお願いしたいこと:
1. メールやSNSで届いた不審なリンクは絶対にクリックしない
2. ログイン時に、URLが正しいか（不自然な文字列が含まれていないか）を必ず確認する
3. 万が一、不審なサイトに情報を入力してしまった場合は、すぐにシステム管理者に報告する
対応期限: 本日中（確認をお願いします）
Subject: [Security Alert] Beware of Sophisticated Phishing and Fake Websites
Dear employees,
We are seeing an increase in sophisticated phishing attacks that use fake login pages to steal not only passwords but also active session tokens, bypassing traditional security measures.
What we need from you:
1. Do not click on suspicious links received via email, SMS, or social media.
2. Always verify that the URL is correct and does not contain unusual characters before logging in.
3. If you suspect you have entered your credentials into a fake site, please report it to the IT department immediately.
Deadline: Immediate action requested.
Dear employees,
We are seeing an increase in sophisticated phishing attacks that use fake login pages to steal not only passwords but also active session tokens, bypassing traditional security measures.
What we need from you:
1. Do not click on suspicious links received via email, SMS, or social media.
2. Always verify that the URL is correct and does not contain unusual characters before logging in.
3. If you suspect you have entered your credentials into a fake site, please report it to the IT department immediately.
Deadline: Immediate action requested.