多要素認証も突破？Googleが警告する最新の詐欺・フィッシング手口と2026年基準の防衛策

ネットセキュリティの対策が進む一方で、攻撃者の手口も日々アップデートされています。2026年6月8日、GoogleのTrust & Safety（信頼と安全）チームは、現在世界的に急増しているオンライン詐欺の最新トレンドをまとめたアドバイザリーを公開しました。

今回の発表で注目すべきは、私たちが「これをしておけば安心」と思いがちだった「多要素認証（MFA）」や「セキュリティフィルター」の隙を突く高度な手口が一般化しつつある点です。

この記事では、公式発表された具体的な手口の仕組みと、今私たちが取るべき現実的な防衛策を冷静に紐解いていきます。

1. 2大トレンド：「AITM」と「Quishing」の脅威

従来のフィッシングは「偽のリンクをクリックさせてパスワードを盗む」という単純なものでしたが、現在は以下の2つの手法が主流になっています。

① AITM（Adversary-in-the-Middle：中間者攻撃）

これまでの対策では「パスワードが盗まれても、スマホに届くワンタイムコード（多要素認証）があれば守れる」とされていました。しかし、AITMはこの前提を崩します。

攻撃者は、ユーザーと正規のログインサイトの間に「偽の仲介サーバー」を配置し、本物のログイン画面を完全にリアルタイムでミラーリング（模倣）します。ユーザーがパスワードやMFAコードを入力すると、攻撃者のサーバーがそれをそのまま本物のサイトに転送してログインを成立させつつ、その際に発行される「セッションクッキー（ログイン状態を維持するためのデータ）」を盗み出します。

これによって、攻撃者はパスワードを変更することなく、ユーザー本人になりすましてアカウントにアクセスし続けることが可能になります。

② Quishing（クイッシング：QRコードフィッシング）

もう一つの巧妙な手口が、メールやメッセージの中にURLではなく「QRコード」を埋め込む手法です。

PCのセキュリティソフトやメールフィルターは、テキストとしてのURLをスキャンして危険性を判定しますが、画像であるQRコードはすり抜けてしまうケースがあります。また、ユーザーが「PCでメールを開き、私用のスマホでQRコードを読み取る」という行動をとった場合、企業の堅牢なネットワーク保護フィルターを完全にバイパス（迂回）して、無防備な個人端末がフィッシングサイトに接続されてしまうという盲点を利用しています。

2. クラウドの「信頼性」を悪用するレピュテーション・バイパス

セキュリティシステムは、一般的に「Google」や「Microsoft」などの有名クラウドサービスのドメイン（URL）を「安全なもの」として信頼（レピュテーション）します。攻撃者はこの仕組みを逆手に取っています。

• カレンダーフィッシング
  Googleカレンダーなどの招待機能を悪用し、ユーザーの予定表に「アカウント更新期限」や「不在届の確認」といった偽の通知とフィッシングリンクをダイレクトに書き込みます。メールフィルターを一切通らないため、ユーザーが油断しやすい特徴があります。

• 見えないページ（Invisible Pages）の悪用
  信頼されているクラウド上の共有ドキュメント内に、人間の目には見えない白文字や極小フォントで不正な指示を埋め込み、セキュリティスキャナーの目を欺きながら、最終的に悪意あるランディングページへ誘導します。

• 偽のブラウザアップデート（ClickFix）
  Google Sitesなどの正規のウェブ作成サービス上に、「ブラウザのアップデートが必要です」という偽のポップアップを表示させ、マルウェア（悪意あるプログラム）を自らダウンロード・実行させるキャンペーンも確認されています。

3. プラットフォーマー側の対抗策はどうなっているか？

Google側もこれらをただ手をこまねいて見ているわけではありません。システムと法的な両面から対策を強化しています。

4. 私たちが今日からできる「2026年基準」の防御策

システム側の防御が進化しても、最後の砦は私たちユーザーの行動です。これからの時代に最適化された、以下の3つの習慣を意識する必要があります。

1. 予期せぬQRコードはスマホでスキャンしない
   メールやカレンダーの通知に記載されたQRコードは、特に私用スマートフォンで安易に読み取らないでください。保護されたPC環境のフィルターを外してしまうリスクを意識しましょう。

2. 通知のリンクから直接ログインしない
   「パスワードの変更が必要です」「異常なログインを検知しました」といった通知を受け取った際は、メッセージ内のリンクや記載された電話番号を絶対に利用せず、あらかじめブックマークしている公式サイトや、検索エンジンで検索した公式ページから直接ログインして状況を確認する癖をつけましょう。

3. OSやブラウザの自動更新を有効にする
   DBSCのような最新のセキュリティ技術は、ブラウザやOSが最新状態であって初めて機能します。「ClickFix（偽アップデート）」のような詐欺に騙されないためにも、システム固有の「自動更新」を有効にし、公式なルートでのみアップデートを行いましょう。

まとめ

今回のGoogleのアドバイザリーが示しているのは、「多要素認証を設定しているから」「信頼できる大手サービスのページだから」という理由だけで、100%安全とは言い切れないという現実です。

仕組みを正しく知ることで、過度に恐れることなく、冷静に「一歩立ち止まって公式URLからアクセスする」という確実な防衛手段を身につけていきましょう。