あのGoogleもFacebookも1.2億ドル詐取された 詐欺師が「受信トレイ」を真っ先に狙う理由：もうAIでしょう（1/2 ページ）

メールアカウントはパスワードリセットや本人確認が集まる「デジタルライフの鍵」であり、攻撃者が最も狙う標的でもある。侵害の手口や急増するフィッシングの実態を知ることで、個人・企業それぞれの対策を講じられるようになる。

[＠IT]

　セキュリティベンダーESETは2026年6月29日（現地時間）、電子メール（以下、メール）のアカウントがサイバー攻撃者（犯罪者、詐欺師）に狙われる理由と個人・企業が実践すべき防御策を、自社ブログ「WeLiveSecurity」に公開した。

　フィッシングという脅威はなくなる気配がない。ESETの「Threat Report H2 2025」（2025年6〜11月）によると、2025年下半期の悪意あるメールの検出数は前半期比36％増加した。

2025年における悪意あるメール検出数のトレンド（提供：ESET）

　悪意あるメールに添付されるファイルは、種類別だとスクリプト（41.5％）が最多で、実行ファイル（23.4％）、Officeドキュメント（11.1％）が続く。

悪意あるメール添付ファイルの種類（提供：ESET）

攻撃者が受信トレイを狙う理由

　メールは単なる連絡手段ではなく、パスワードリセットリンク、アカウントアラート、予約確認、請求書、本人確認が集まる場所だ。攻撃者がメールアカウントに侵入すれば、銀行やソーシャルメディア、クラウドストレージなど複数のアカウントのパスワードをリセットし、ワンタイムパスコードを傍受できるようになる。

　攻撃者は自動転送ルールを設定して身を潜め、ユーザーがパスワードをリセットした後もリセットコードを受け取り続けることができる。アクセストークン、連携アプリケーション、アクティブセッションを悪用して足掛かりを維持する手口も確認されている。

　受信トレイへのアクセスを利用して写真を恐喝に悪用したり、通信を傍受したりする事例もある。入手した情報を基に信頼できる組織になりすましたフィッシングメールを作成し、金銭の送金や個人情報の提供を求める攻撃につながることもある。

　業務面での影響は一層深刻だ。企業のメールアカウントが侵害されれば、クラウドアプリケーション、共有ドライブ、顧客管理（CRM）、財務・人事システムへのアクセスや、顧客データの閲覧が可能になる。

　企業へのフィッシング攻撃は多くの場合、大規模なデータ侵害、ランサムウェア（身代金要求型マルウェア）攻撃、諜報活動の第一段階となる。英国政府の統計によると、過去1年間でフィッシング（38％）が最多のサイバー攻撃形態であり、「組織になりすましたメール」（12％）がこれに続く。

受信トレイを守ることが難しくなっている

　フィッシングは、ESETが「セキュリティの最も弱いリンク」とする人間を標的にしている。「見覚えのある送信者から届いた」ように見えるメッセージや、緊急性を帯びたメッセージには、注意深いユーザーでもミスを犯してしまうことがある。なりすましとソーシャルエンジニアリング（人の心理を巧みに操って意図通りの行動をさせる詐欺手法）を組み合わせることで、ハッカーは成功率を高めている。

　Verizonの調査「2026 Data Breach Investigations Report」によると、2025年のデータ侵害の62％に人的要因が存在し、ソーシャルエンジニアリングは全侵害パターンの第3位（16％）を占める。フィッシングシミュレーションでは、モバイル中心の手段（音声メッセージやテキストメッセージなど）における「成功」クリック率の中央値は、メールによるフィッシングより40％高いと指摘している。

　攻撃者は生成AIも活用し、自然に見える巧妙なフィッシングメッセージを大量に作成、展開している。