Microsoftは2026年11月5日、7月から9月のメール脅威の動向を発表した。Microsoft Threat Intelligenceが検出したメール型のフィッシングは約73億件で、9月だけで約30億件に近く、8月より41％増えた。
ただし、増えたのは年初に目立った手口ではない。QRコードを使うフィッシングは低い水準のままで、CAPTCHAを挟む手口が数か月の減少から反転した。SVG添付の再流行が、その一因とされている。
偽装された送信元と、例外設定の落とし穴
Microsoftは、業務サービスの送信元ドメインを偽装した悪意あるメールを、第3四半期に約1億2,900万通検出した。5月以降は毎月4,100万通から4,600万通で推移している。9月に最も偽装されたのはDocuSignで、その月の29％を占めた。
注目すべきは、検出後の扱いだ。認証に失敗し、悪意あるものと判定されたメールの多くが、組織や利用者が設定した例外によって、保護を上書きされていた。9月は、セキュリティの結果が記録されたメールの63％に上書きが適用され、その大半が組織単位の設定だった。
Microsoftは、この数字だけでは、受信者が開いたことや、アカウントが侵害されたことまでは分からないと断っている。そのうえで、正当な業務を止めないために作った広すぎる例外が、なりすましに対する防御を弱めると指摘している。
QRコードは減り、CAPTCHAとSVGが戻った
QRコードを使うフィッシングは、第3四半期に約1,210万件で、第2四半期から67％減った。3月のピークと比べると、9月の月間件数は86％少ない。配布の形も変わり、PDFが中心の状態から、メール本文に埋め込む形が、7月の5％から9月の12％へ増えた。
一方、CAPTCHAを挟むフィッシングは、9月に310万件に達し、7月の底から約2倍になった。SVG添付は8月に6倍に増え、9月の同手口の約半分を占めている。悪意ある添付全体でも、SVGは8月に1,010万件と、1年以上で最も多い月間件数になった。
添付ファイルの目的は、マルウェアの導入よりも認証情報の窃取が中心だ。ペイロードを使う攻撃の約94％から96％は、フィッシングサイトへの誘導か、偽のサインイン画面の表示だった。ソフトを入れさせなくても、アカウントは危険にさらされる。
取引先なりすましとTeamsの電話
取引先や上司を装い、金銭の支払いや機密資料を求める「ビジネス連絡先のなりすまし」は、第3四半期に約620万件だった。9月の月間件数は、少なくとも2025年7月以降で最も低い。ただし、請求書の支払いを求める依頼は、9月に89％増え、6月から3倍以上になった。給与情報の更新依頼も、毎月ほぼ同じ規模で続いている。
Microsoft Teamsでは、悪意ある通話の試みを約14万1,000件観測した。7月をピークに9月は31％減ったが、年初の月平均よりは38％多い。表示名では、ごく普通の個人名が7月の46％から9月の88％へ増え、ヘルプデスクを名乗る名前は17％から2％に減った。名前だけで見分ける方法が通用しにくくなっている。
二つの事例が示すもの
Microsoftは、手口の幅を示す事例を2つ紹介している。1つは8月19日に確認された、法律事務所を狙う「給与見直し」を装う攻撃だ。1万人以上、4,800超の組織が対象になり、Word文書内のQRコードから、デバイスコードを使うフィッシングへ誘導した。この手口では、パスワードを入力させなくても、セッショントークンを奪われ、多要素認証をやり直させずに、Microsoft 365アカウントへ継続して入られる。
もう1つは9月21日に確認された、スペイン語の発注書と給与を装う攻撃である。5万6,000人超、8,100超の組織が対象で、認証情報などを盗むAgent Teslaの配布につながった。どちらも、ありふれた業務の依頼が、そのまま囮に使われている。
一方で、3月に実施されたフィッシング基盤「Tycoon2FA」の妨害の効果も続いている。関連するフィッシングメールは、2月の890万通から、7月には約2万1,000通へ、99.8％減った。
日本企業への示唆
最初に確認したいのは、メール保護の例外設定だ。許可リストや、特定の送信元を除外する設定が、認証に失敗したなりすましメールまで通していないか。設定の対象が広すぎないか、定期的に棚卸しする価値がある。
次に、手口が変わったことを教育に反映させたい。QRコードだけでなく、SVGやHTMLの添付、CAPTCHAの画面、デバイスコードの入力要求も、見分ける対象に加える。Teamsでも、表示名が普通の個人名だからといって安心できない。
また、請求書や給与情報の変更依頼は、メールやチャットの連絡だけで処理しない運用が欠かせない。別の経路での本人確認を、経理や人事の手順に組み込みたい。なお、Microsoftが示した具体的な防御策や検出クエリの内容は、今回確認した範囲では整理できていない。実際の設定を見直す際は、公式ブログの該当部分を確認してほしい。
ITトレンドでメールセキュリティについてチェック！[【2026年】メールセキュリティソフト12選比較！ランキングも紹介]
フィッシングの手口はこちらもチェック！[フィッシングで正規のリモート管理ツールを悪用する攻撃をMicrosoftが報告——MSP360とScreenConnectで二重の侵入経路を確保]
まとめ
第3四半期のメール脅威は、全体の量が増える中で、手口の中心がQRコードからCAPTCHAとSVGへ移った。偽装メールが例外設定で通ってしまう実態や、Teamsでの普通の名前を使ったなりすましも目立つ。
攻撃の目的は、認証情報の窃取が中心である。検出だけに頼らず、例外設定の見直しと、利用者の教育、支払い依頼の確認手順をそろえて備えたい。
