2026年上半期の攻撃手口―偽CAPTCHAとAIマルウェアが拡大

2026年上半期に優先して警戒すべきなのは、未修正の脆弱性だけではない。偽CAPTCHAや正規の認可画面、QRコードを使い、利用者自身からコマンド実行や権限付与を引き出す攻撃が拡大した。同時に、生成AIの利用範囲は偽コンテンツの作成から、Androidマルウェアの実行フローへ広がった。

ただし、ClickFixの増加とPromptSpyの発見は同じ意味ではない。前者は検知数の明確な増加であり、後者は新しい技術的能力が確認された段階で、感染の広範な流行を示してはいない。日本企業はパッチ管理を続けつつ、コード実行、クラウド権限、モバイル端末、外部AI部品を別々の防御層として管理する必要がある。

上半期の数字が示す攻撃面の変化

観測期間は2025年12月から2026年5月までである。ESETの2026年上半期脅威レポート発表 によると、ClickFixの検知数は前期比108％増え、日本は国別検知数の14％を占めて最多だった。検出されたフィッシングメールの約11％には悪意あるQRコードが含まれ、月平均の検知数は10万件に達した。

この数字はESETのテレメトリに基づく検知傾向であり、日本企業全体の被害件数や攻撃成功率を表すものではない。それでも、利用者の判断と正規機能を組み合わせる手口が、例外的な事例ではなく継続的に監視すべき攻撃面になったことは読み取れる。

手口ごとに、すり抜ける防御層も異なる。ClickFixは利用者をコマンドの実行者に変え、ConsentFixはOAuth認可をクラウド権限の入口にする。クイッシングはリンクを画像内に隠して操作をPCからスマートフォンへ移し、PromptSpyは端末ごとに異なる画面操作の判断へ生成AIを利用する。

ClickFixとConsentFixは正規操作を攻撃に変える

ClickFixの入口は、偽CAPTCHA、偽エラー、架空のトラブル解決ページなどである。画面の指示は、文字列をコピーし、「ファイル名を指定して実行」やPowerShell、ターミナルへ貼り付けるよう利用者を誘導する。実行されれば、通常のWeb閲覧からOSコマンドの実行へ境界を越え、情報窃取や追加マルウェアの起動につながり得る。

検知では、ブラウザーの直後に起動するPowerShellやコマンドシェル、不自然に長い文字列や難読化されたコマンド、クリップボードを介した実行を優先して監視する。予防には、一般利用者のスクリプト実行権限を絞り、アプリケーション制御やEDRで異常な子プロセスを止める方法がある。教育では「CAPTCHAがOSの実行画面やターミナルを開かせることはない」と、危険な操作を具体的に示す。

ConsentFixでは、OAuth認可を悪用して、パスワードを直接盗まずにクラウドアカウントの権限を得ようとする。正規のログイン画面を通過した利用者が外部アプリへ同意すると、多要素認証だけでは、その後のトークン利用や許可済みアプリからのアクセスを防げない場合がある。

防御の中心は、利用者が任意の外部アプリへ同意できる範囲を見直し、高権限のスコープを管理者承認に限定することだ。新しい同意、未知のアプリ、通常と異なるトークン利用を監視する。侵害時はパスワード変更だけで終えず、付与済みの同意、セッション、更新トークンまで無効化する必要がある。

QRフィッシングは検査を別端末へ迂回する

クイッシングの入口は、給与明細、福利厚生、配送、本人確認などを装うメール内のQRコードである。URLが画像に埋め込まれるため、本文中の文字列リンクだけを調べる検査では判定材料が減る。私物スマートフォンで読み取られれば、会社のWebフィルターや管理端末の監視から外れる可能性もある。

奪われる情報は、遷移先の偽サイトによって認証情報、セッション、決済情報などに変わる。メール側では画像からQRコードを抽出し、埋め込まれたURL、リダイレクト、最終到達先まで検査する必要がある。端末側でもDNSやWebアクセス制御を適用し、業務認証に使うスマートフォンを管理対象へ含めることで、PCからモバイルへ移った操作を追跡しやすくなる。

教育では、QRコードの全面禁止より、メール内のコードから直接ログインしない手順を定着させる方が現実的だ。給与や配送などの通知はブックマークや公式アプリから確認し、不審時には元のメール、読み取った端末、認証情報を入力したかどうかを報告できるようにする。

PromptSpyとAIスキルは別のリスクである

PromptSpyは、生成AIをマルウェアの実行時処理へ組み込めることを示した。ESET ResearchのPromptSpy分析 では、Android画面のXML情報をGeminiへ送り、返された操作指示に従ってアプリを最近使った項目へ固定し、持続性を確保する仕組みが確認されている。

生成AIが担うのはマルウェア全体ではなく、持続性に関わる一機能である。調査時点でESETのテレメトリには検体が現れておらず、概念実証の可能性も残っていた。したがって、ここでいうAIマルウェアの「拡大」は、確認された利用方法が実行時の画面操作へ広がったという意味であり、感染数の急増を意味しない。

当面の防御は専用のAI検知より、非公式な配布元からのアプリ導入を制限し、アクセシビリティサービス、画面録画、未知のアプリをインストールする権限を監視することにある。BYODから業務データへ接続させる場合は、端末の準拠状態を条件にアクセスを制御する必要がある。

外部AIスキルは、PromptSpyとは異なるソフトウェア供給網の問題だ。Expert Insightsの取材記事 は、AIスキルが外部ツールを呼び出し、企業データや認証情報へアクセスできる一方、広い信頼を与えられたまま十分に審査されていない統制上の空白を指摘している。

企業はスキルを単なるプロンプト集ではなく、外部コードやSaaS連携と同じ資産として扱うべきだ。導入元、バージョン、要求権限、外部通信先を記録し、検証環境での審査、許可リスト、実行ログ、利用停止手順を整える。PromptSpyにはモバイル端末管理、AIスキルには供給網管理というように、同じ「AIリスク」でも防御を分ける必要がある。

日本企業が優先すべき四つの防御

優先順位は脅威名の新しさではなく、一つの変更で複数の侵入経路を狭められるかで決める。特に中小企業では、既存のID基盤、端末管理、メール対策、ログ収集を次の順で見直すと整理しやすい。

1. 利用者によるコード実行を狭める。 ブラウザーからのシェル起動を監視し、不要なPowerShell、スクリプト、未承認アプリの実行を制限する。
2. OAuthを権限管理の対象にする。 MFAの有無だけで安全と判断せず、外部アプリへの同意、高権限スコープ、トークン利用を監査する。
3. メールとモバイルの検査をつなぐ。 QRコードの展開検査、管理端末のWeb制御、条件付きアクセスを組み合わせる。
4. AI部品を資産として管理する。 エージェント、スキル、連携サービスを棚卸しし、出所確認、最小権限、実行記録、廃止手順を必須にする。

教育担当者は脅威名の暗記ではなく、異常な操作を判断できる教材へ切り替える必要がある。WebページがOSコマンドを要求する、見知らぬアプリがクラウド権限を求める、メールのQRコードが認証を急がせる、外部AIスキルが業務データへの広い権限を要求するという場面を、報告手順と組み合わせて扱う。

2026年上半期に顕在化した共通点は、正規機能と利用者の慣れが攻撃経路になったことだ。パッチ管理は引き続き基礎だが、本人が実行したコマンド、本人が承認したOAuth権限、管理外端末で開いたQRコードは、それだけでは止められない。実行、認証、端末、AI供給網を分けて可視化することが、防御の優先課題となる。