TwoFive、「フィッシングトレンド」レポート最新版を発表 2026年1月～6月 調査結果

ツイート

・GoogleのIPIDEA閉鎖と中国の春節で2月はフィッシングが大幅減少
・Azureの正規サービスで使用されるドメインの悪用が増加
・UTF-8の不可視文字を埋め込むなど、偽メール送信者名のバリエーションが増加

資料をダウンロードしていただけます。
https://www.twofive25.com/download/phishing_trend_202607/

メッセージングセキュリティのリーディングカンパニーである株式会社TwoFive（本社：東京都中央区、代表取締役 末政 延浩）は、「フィッシングトレンド」レポートの2026年1月～6月版を発表しました。
同レポートは、SSL証明書発行情報、ドメイン登録情報、ソーシャル情報、迷惑メール、マルウェアなど複数のデータソースから独自のアルゴリズムにより、国内のフィッシングサイトについて多角的に独自に調査し、メッセージングセキュリティの専門ベンダーとして長年培った経験に基づく知見により分析・判定して検知した結果をまとめたもので定期的に公開しています。


●　IPIDEA閉鎖と中国の春節でフィッシングが減少か
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
今回の調査でも、クレジットカード会社や決済サービスを騙るフィッシングサイトが検知されました。これらのフィッシングでは、「登録情報の確認」「未払い料金の支払い」「ポイント失効防止」「ポイント付与やキャッシュバックの案内」「不正アクセスへの対応」などを名目として、利用者の不安や利益への期待感を利用し、対応期限を設けて行動を急がせることで、偽サイトへのアクセスや認証情報、決済情報の入力を誘導する手口が確認されました。

2月はフィッシングメールの流通数およびフィッシングサイトの検知数が大幅に減少しました。その背景として1月下旬にGoogle CloudのGoogle Threat Intelligence Group（GTIG）が業界パートナーとの連携により、レジデンシャルプロキシサービス「IPIDEA」を閉鎖したと発表。IPIDEAは一般家庭の通信になりすますことが可能な世界最大級のレジデンシャルプロキシネットワークであり、正規メールサーバへの不正ログインや検知回避を目的とした通信経路として悪用され、フィッシングメール送信のインフラの一部として利用されていた可能性があるので、IPEDIAの閉鎖がフィッシングメール / フィッシングサイトの減少に寄与しているものと考えられます。また、中国の春節（旧正月）に伴う大型連休の影響も一因と考えられます。

一方、3月には検知数が増加しました。主に、一つのドメインにランダムな文字列のサブドメインを付加したURLを用いる事例が確認されましたが、この傾向は4月中旬以降に減少しました。昨年7月から9月にも同様の手法によるフィッシングサイトが多数検知されており、今後も同様の手法が繰り返し用いられる可能性があります。


●　Azureで利用するeTLDを使ったフィッシングURLが増加
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
今回の調査では、「blob.core.windows.net」というeTLD(effective TLD)を使用したフィッシングURLが増加しました。このeTLDはMicrosoft Azureのストレージサービス(Azure Blob Storage)で利用されるもので、これまではマルウェア配布やサポート詐欺サイトでの悪用が確認されていましたが、今年に入りフィッシングサイトにも利用される事例が増加しています。

また、「web.core.windows.net」というeTLDを使用したフィッシングURLも増加しています。こちらはMicrosoft Azureの静的Webサイトホスティング機能で利用されるドメインです。これらはMicrosoftの正規サービスで使用されるドメインであるため、レピュテーションベースの検知やURLフィルタリングを回避し、利用者に正規サイトであると誤認させることを狙っているものと考えられます。


●　フィッシングに利用されているホスティング事業者
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
前回の調査と同様に、「Cloudflare, Inc.」のサービスを利用したフィッシングサイトが引き続き多数確認されました。特に、Cloudflare Pagesを独自ドメインと組み合わせて運用しているとみられる事例が継続して観測されています。


●　メール送信者名のバリエーション増加
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
フィッシングメールでは、正規の送信者を装うため、送信者名(From)に正規ブランド名を使用することが一般的な手口となっています。しかし今回の調査では、単一の表記に固定せず、ブランド名のカタカナ表記、略称、企業名、全角英字表記、半角英字表記など、複数のバリエーションを用いた送信者名が確認されました。

また、UTF-8の特殊文字である不可視文字をブランド名に埋め込み、見た目には正規のブランド名と区別できない一方で、ソフトウェアによる文字列処理ではブランド名と一致しない送信者名も確認されました。これは、スパムフィルターなどによる検知を回避することを目的としている可能性があります。

さらに、「サポートセンター」「取引通知」「会員のお知らせ」など、送信者名にブランド名を含めないケースも増加しています。これらについても、スパムフィルターなどによる検知回避に加え、受信者の関心を引き、「どこからのメールなのか」を確認させることで開封を促す狙いがあるものと考えられます。


◆　TwoFiveの「フィッシングトレンド」調査について
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
SSL証明書発行情報、ドメイン登録情報、ソーシャル情報、マルウェアなど複数のデータソースから独自のアルゴリズムにより、国内のフィッシングサイトについて多角的に独自に調査しています。
TwoFiveもメンバーであるフィッシング対策協議会が定期的に発表する報告件数に基づく「フィッシング報告状況」とは、件数、内容などが異なります。
また、攻撃者は、IDの盗用やクレジットカードを不正利用するために、メールやSMSで詐欺メッセージを配信しフィッシングキャンペーンを実行する前に、予備調査により詐取方法や対象を検討して、ドメイン確保やDNS設定、サーバー構築やフィッシングコンテンツの設定、SSL証明書やドメインなどのリソースを準備します。TwoFiveの調査では、フィッシングキャンペーンの実行前の準備段階を含めて情報を収集し、メッセージングセキュリティの専門ベンダーとして長年培った経験に基づく知見により分析・判定して検知するのが特長です。


＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
■株式会社TwoFiveについて
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
https://www.twofive25.com/
株式会社TwoFiveは、大手ISP、ASP、携帯事業者の電子メールシステムインフラで長年経験をつんだメールシステムの技術者集団により2014年に設立されました。日本の電子メール環境を向上させることを使命としてベンダーニュートラルな立場で最適な技術とサービスを組み合わせ、メールシステムの設計・構築、電子セキュリティなどについてコンサルティング、ならびに各種レピュテーションデータを提供しています。

株式会社TwoFive
担当：渋谷
Email：info@twofive25.com TEL：03-5704-9948