AI が生成するフィッシングによって、アイデンティティに対するリスクが高まっています。MSP のセキュリティ対策において、MFA とゼロトラストが不可欠になりつつある理由を解説します。

2026 年 7 月 24 日、Carlos Arnal 著

長年にわたり、フィッシングが成功してきた理由は単純です。最も弱い領域、つまりユーザーを狙うからです。防御側も同じような対策を取ってきました。メールフィルタリングの強化、ユーザーのセキュリティ意識の向上、そして認証の強化です。これらの対策は完璧ではありませんでしたが、一定のバランスを保つことはできていました。

しかし、そのバランスは今や崩れつつあります。AI 生成フィッシングは増加しているだけでなく、はるかに巧妙になっています。「Microsoft デジタル防衛レポート 2025」によると、従来型のキャンペーンにおけるクリック率はわずか 12% に対し、AI 生成フィッシングキャンペーンのクリック率は 54% に達しています。攻撃者がクリックによって狙っているのは、有効な認証情報です。Mandiant の「M-Trends 2025」によると、2024 年には、窃取された認証情報が初期アクセス経路として 2 番目に多く、全侵害の 16% を占めました。これは過去最高の水準です。この傾向の背景には、情報窃取型マルウェアの増加があります。情報窃取型マルウェア、ユーザーのデバイスに保存された認証情報を窃取することを目的に設計されたマルウェアです。

この 2 つの傾向は、同じ現実を示しています。攻撃者は認証情報を狙う一方で、ユーザーは正規のメールと悪意のあるメールを見分けることがますます難しくなっています。アイデンティティは、攻撃の標的であると同時に、侵入の入口にもなっています。そして、他の組織を保護するビジネスを担っているのであれば、これは顧客の問題になる前に、まず自社の問題になります。

フィッシングがフィッシングに見えなくなったとき

変化したのはフィッシング攻撃の量ではなく、欺瞞の巧妙さです。AI によって、かつてはフィッシングを見分ける手掛かりとなっていた多くの特徴がなくなりました。スペルミス、不自然な表現、書式の不整合、明らかに怪しい URL などです。現在のフィッシングメールは、洗練され、パーソナライズされ、受信者の状況に合わせて作り込まれています。正規のサービスを利用して、さらに本物らしく見せるものも少なくありません。

もはや、ブロックすべき単一のテンプレートは存在しません。フィッシングキャンペーンではリアルタイムで固有のバリエーションが生成されるため、セキュリティフィルタが一貫したパターンを識別することがはるかに難しくなっています。その結果、テクノロジーも人も、かつてのようにフィッシングを効果的に検知することが難しくなっています。

ウォッチガードが委託した最新のグローバル調査レポート「From IT Support to Cybersecurity Powerhouse: The New Mandate for MSP Growth（IT サポートからサイバーセキュリティの中核へ：MSP が成長するための新たな使命）」によると、91% の組織が AI を利用したサイバー攻撃を懸念しています。まさにこの課題は、顧客が MSP にリードしてもらいたいと考えている領域であり、今後ますます投資する意欲を高めている領域です。

アイデンティティが主要な侵入口に

完璧に作り込まれたメールそのものは、攻撃者の目的ではありません。単なる攻撃の配信手段にすぎません。攻撃者が狙っているのは有効な認証情報です。正規のユーザー名とパスワードを使ってログインすることが、依然として組織を侵害する最も確実な方法の一つだからです。

攻撃者が正規のアカウントを使ってアクセスすると、アクセス後の活動はほとんど疑われないことがあります。セキュリティシステムから見ると、通常のログイン後の活動と何ら変わらないからです。エクスプロイトもマルウェアも、明らかに不審なアラートもありません。ただ、本人だと主張する人物が、本人のように見えるだけです。

マネージドサービスプロバイダー（MSP）にとって、これはセキュリティ対策の出発点そのものを変えるものです。すべての侵入を事前に阻止できるとは、もはや考えられません。むしろ、逆に考えるほうが現実的です。遅かれ早かれ、顧客の認証情報のいずれかが侵害されると想定するのです。これは悲観論ではありません。データがそう示しているからです。同じウォッチガードの調査では、32% の組織が、フィッシングやビジネスメール詐欺（BEC）攻撃に常にさらされていると回答しています。したがって、セキュリティ戦略は認証情報の窃取を防ぐことだけに集中するのではなく、認証情報が侵害されることを前提に、その際の被害をいかに抑えるかにも重点を置く必要があります。

アイデンティティは新たなセキュリティ境界

セキュリティ意識向上トレーニングは依然として重要ですが、もはやそれだけでは十分ではありません。フィッシングメールと正規のメールをほとんど見分けられなくなった今、私たちはユーザーに、ますます難しい判断を求めています。問題は構造的なものになっており、その中心にアイデンティティがあります。

アイデンティティの保護は、第一の防御線となっています。多要素認証（MFA）があれば十分だと思うかもしれません。実際、MFA は今でもセキュリティ対策の基盤ですが、プッシュ型通知やワンタイムパスコードには盲点があります。高度な AiTM（Adversary-in-the-Middle）攻撃では、ユーザーと正規の Web サイトの間に入り込むことで、パスワードと認証コードの両方をリアルタイムで傍受できます。従来の MFA は、ほとんどの攻撃を阻止できます。しかし、AiTM 攻撃には通用しないケースがあります。

パスキーは、その弱点を解消します。パスワードを使わない認証方式であるパスキーでは、指紋認証や顔認証を使ってスマートフォンのロックを解除するのとほぼ同じ感覚で認証できます。一方、バックグラウンドでは、正規の Web サイトに直接ひも付けられた暗号学的な認証情報が利用されています。パスワードを盗む余地がなく、傍受したり再利用したりできる認証コードもありません。攻撃者が Web サイトを完璧に偽装することはできても、パスキーを支える暗号学的な信頼まで複製することはできません。

パスキーは、認証情報そのものだけでなく、コンテキストに基づいてすべての認証試行を評価するリスクベースのアクセス制御と組み合わせることで、さらに強力になります。誰がログインしているのか、どこからログインしているのか、どのような状況なのか、といったコンテキストが利用されます。たとえ認証情報が侵害されたとしても、攻撃者と顧客の重要なデータとの間には、追加の防御策が存在します。また、アイデンティティは単独で存在するわけではありません。アイデンティティはエンドポイントやネットワークと直接つながっており、これらも攻撃者が悪用する重要な攻撃対象領域です。

これは、サイバーセキュリティのチェックリストに項目を一つ追加するという話ではありません。これによって、パートナーの皆様のサービスは代替可能なものではなく、不可欠なものになります。アクセス制御がセキュリティの中心となる中、顧客のアイデンティティを管理するプロバイダーは、組織の防御における最も重要なレイヤーを保護することになります。これは単なるチェック項目ではなく、戦略的なサービスなのです。

認証情報は、今日情報窃取型マルウェアによって窃取され、数週間後に攻撃者が正規の従業員になりすましてログインするために、ひそかに利用される可能性があります。これを防ぐために、セキュリティツールを際限なく追加する必要はありません。新たなセキュリティ境界であり、あらゆるゼロトラスト戦略の基盤となるアイデンティティに、セキュリティの制御を移すことが必要なのです。それを実現するのが、WatchGuard Zero Trust Bundle です。ネットワーク、エンドポイント、アイデンティティのセキュリティを統合したアプローチによって、MSP は顧客の侵害に対応するだけでなく、侵害を防ぐ側へと移行できます。