2025年のフィッシングに関する最新予測

DIANA SHTIL - Sr. Product Marketing Manager

February 10, 2025 - 6 分で読了

サイバー攻撃の阻止

コンテンツ

はじめに
2025年のフィッシングに関する予測
フィッシング攻撃のリスクを軽減するZscaler Zero Trust Exchange
おすすめのブログ

サイバー犯罪者は年々ツールを強化し、より高度な戦略でネットワークとセキュリティの脆弱性を悪用しています。誤字脱字が目立ち、怪しいファイルが添付された不格好なメールでの攻撃は過去のものとなりました。今、サイバー脅威は新たな次元で高度化しているのです。現在の攻撃者は、資格情報を盗むだけにとどまらずデジタル環境で精巧なメッセージを作成しており、受信トレイやDMでも敵と味方の区別が難しくなってきています。

こうした現状は、サイバー犯罪の裏側を物語っているだけではなく、私たちがどのような行動を取るべきかの指針にもなります。フィッシング攻撃が進化し続ける今、私たちは防御を進化させなければなりません。

より幅広い観点から見た2025年の脅威の動向については、2025年のサイバーセキュリティの予測をご確認ください。

2025年のフィッシングに関する予測

2024年版 ThreatLabzフィッシングレポートでは、今後1年のフィッシングの動向として、次のような予測を紹介していました。

予測1: AIの脅威に対抗するためのAI活用が継続的な課題に

AIの進歩により、サイバー攻撃はよりスピーディーかつ大規模なものになり、自動化も進んでいきます。2025年、脅威アクターはAIを広く採用し、より巧妙なフィッシングの手口や高度な手法を生み出していきます。サイバー犯罪者が一般公開されたAIやカスタムAIツールを活用して高度に標的を絞ったキャンペーンを展開し、個人や組織の信頼を悪用する一方で、セキュリティベンダーは自社のツールキットに生成AIを統合し、脅威の検知と対応の能力を強化していくでしょう。

予測2:サービスとしてのフィッシングがMFAのエクスプロイトとAiTMにいっそう集中

サービスとしてのフィッシングによって技術的な壁がなくなり、脅威アクターは限られた専門知識で有効なフィッシングキャンペーンを展開できるようになります。開発者の知識を利用してフィッシング攻撃を展開し、高度な手法によって検出を回避することが可能です。これからの1年、脅威アクターは組織の多要素認証(MFA)を回避することを目的としたフィッシングキャンペーンを大規模に展開していくことが予想されます。そのなかで、AIを活用した中間者(AiTM)技術、各地域に最適化されたフィッシングコンテンツ、標的型フィンガープリンティングなどを含むフィッシングキットが利用されていくでしょう。

予測3:マルウェアグループが主導するビッシング攻撃が大幅に増加

サイバー犯罪者の手法はより高度なものになっていき、音声や動画を利用した標的型のフィッシングキャンペーンが増えていくと見られます。例えば、AIを活用した音声クローニング技術を利用すれば、ターゲットが信頼する人物の声を模倣することができ、用心深い人でもだまされてしまうような非常にリアルななりすましが可能になります。VoIPが手軽に利用できるようになるとともに、発信者IDの偽装が増加しており、攻撃者は自身の身元や発信元を隠せるようになっています。これにより、ビッシング通話の発信元の追跡はより困難になっていくでしょう。

予測4:モバイルデバイスやプラットフォームに内在する脆弱性が標的に

リモートワークやBYODの文化が浸透した今、モバイルデバイスは私たちの仕事に欠かせないものとなっています。日々の生活でモバイルデバイスが使用される場面が増えるなか、サイバー攻撃はより創造的な手口でモバイルデバイスを標的にしています。例えば、AIを利用したソーシャルエンジニアリング攻撃でモバイルユーザーが標的となるケースが増えており、パスキーや生体情報を使った認証方法が悪用されています。一般的な通信チャネルに対するモバイルユーザーの信頼を悪用して、正規のアプリを模倣した偽のプッシュ通知でフィッシングWebサイトに誘導する手口が増加することが予想されます。

予測5:フィッシングによって選挙プロセスへの信頼が引き続き低下

政治情勢が激化し、世論が感情に支配されていくと、有権者は自分たちの声を届ける新たな道を見つけようとするなかで警戒を緩める傾向があります。そして、脅威アクターはこうした政治情勢を悪用することでフィッシングキャンペーンを拡大しようとしています。例えば、最近確認された発信元不明のフィッシングでは、選挙に関する公式の連絡が模倣され、ユーザーの機密データが不正入手されています。今後も、有権者向けの情報プラットフォーム、選挙活動のインフラ、公開討論チャネルが、政治情勢に触発された同様のフィッシング攻撃の標的になることが予想されます。組織や選挙関係者は、これらの新たな脅威を検知し、対抗するためのサイバーセキュリティ対策をプロアクティブに強化していく必要があります。

予測6:暗号化されたメッセージングプラットフォームがフィッシング攻撃の温床に

暗号化されたメッセージングプラットフォームに対するユーザーの信頼を悪用したフィッシング攻撃が拡大していきます。また、例えばボットを使用することで、攻撃者はフィッシングページの生成や機密性の高いユーザーデータの収集といった違法な活動を自動化できるようになります。こうした手法を利用しながら、サイバー犯罪者はメッセージングプラットフォーム上でユーザーや政府関係者などの権威ある存在になりすまし、他のユーザーにログイン資格情報の共有やアプリのダウンロードを促します。

予測7:ブラウザーインザブラウザーフィッシング攻撃が高度化

ブラウザーインザブラウザーフィッシング攻撃は、オープンブラウザーや正当なWebサイトに対するユーザーの信頼を悪用することで、なりすましドメイン上でログインウィンドウを模倣し、ユーザーの資格情報を盗むものです。攻撃者は、ブラウザー攻撃においてAIを活用したカスタマイズをますます活用するようになります。例えば、フィッシング用のWebページをより本物のブラウザー環境に近い形に調整したり、ユーザーの操作を分析し、確認された行動に基づいてフィッシングコンテンツを調整したりすることが考えられます。

Googleで簡単に調べていただくと、上記の予測がすべて現実のものになりつつあることがわかるでしょう。2024年2月、欧州の大手小売業者では、高度なフィッシング攻撃による被害が発生しました。この事例では、従業員からのものを装ったメールに基づいて財務部門が多額の送金を行い、約1,550万ユーロもの現金が失われています。

また、2024年には、世界的な製薬会社でビッシングの被害も発生しました。この事例では、幹部を装った人物から従業員に緊急の電話があり、架空の買収取引のために直ちに送金するよう指示がなされました。結果、総額3,500万ドルの損失が発生しています。サイバー犯罪者は、AIによってアクセントやトーンを巧みに模倣し、本人と見分けがつかないようなクローン音声を作成していました。

フィッシング攻撃のリスクを軽減するZscaler Zero Trust Exchange

AIを悪用したフィッシング攻撃が拡大するなか、ユーザーを通じた侵害から組織を保護することはいっそう困難になってきています。この変化する状況において、組織はセキュリティ戦略を進化させ、より広範なネットワークセキュリティ防御に高度なフィッシング対策を組み込む必要があります。

そこで、効果的な防御戦略の基盤となるのがZscaler Zero Trust Exchange™です。包括的なサイバーセキュリティアプローチによって以下のことを実現し、従来のフィッシング攻撃とAIを悪用したフィッシング攻撃のいずれをも阻止します。

侵害の防止：フルTLS/SSLインスペクション、ブラウザー分離、ポリシーに基づくアクセス制御により、疑わしいWebサイトへのアクセスを防止します。
ラテラルムーブメントの排除：ユーザーをネットワークではなくアプリに直接接続します。
侵害されたユーザーと内部脅威のシャットダウン：インライン検査でプライベートアプリの悪用を防止するとともに、統合デセプションによって非常に高度な攻撃者も検出します。
情報漏洩の防止：転送中データと保存データを検査することで、潜在的なデータの窃取を防止します。

今後のサイバー攻撃を防止するうえでZscalerがどのように役立つかについては、2025年のサイバーセキュリティに関する予測を紹介した他の記事でもご確認いただけます。

デモを依頼して、Zscalerがどのように組織のランサムウェア対策のニーズに対応できるのかをご確認ください。

X (Twitter)のZscaler ThreatLabzとセキュリティリサーチブログをフォローして、最新のサイバー脅威とセキュリティ研究を常に把握してください。Zscaler ThreatLabzの脅威調査チームは、世界最大のインラインセキュリティクラウドからの脅威インテリジェンスを継続的に監視し、その結果を広範なセキュリティコミュニティーと共有しています。