ダークトレースは3月5日、2026年版の年間脅威レポートを発表した。その概要は以下のとおり。
■アイデンティティが新たな境界
アイデンティティベースの侵害が今や組織への主要な侵入経路となっている。ダークトレースの調査では、アメリカ大陸において70%近くのインシデントが、盗まれたあるいは不正使用されたアカウントから始まっており、このことはクラウドやSaaSの導入によりサイバー防御の最前線がネットワークからユーザーにシフトしたことを如実に示している。
多くの組織が相互接続されたクラウドサービスへの依存を高めるなかで、攻撃者はインフラそのものよりも、そこへのアクセスを支配するアイデンティティを標的とするようになっている。
■クラウドおよびSaaS環境が体系的リスクを招く
クラウド侵害はアメリカ大陸でもヨーロッパでも主な侵入ポイントになっている。ヨーロッパでは、インシデントの58%が侵害されたクラウドアカウントまたはEメールから始まっており、従来のネットワークからの侵入の42%を上回っている。
アメリカ大陸では、攻撃者はしばしばSaaSアプリケーションやMicrosoft 365アカウントから侵入しており、その多くは二重恐喝あるいは三重恐喝へとエスカレートしている。
クラウドプロバイダーの中では、Azureが最も標的とされており、観測されたマルウェアサンプルの43.5%を占めた。一方、Google Cloud Platform（GCP）は33.2%、Amazon Web Services（AWS）は23.2%だった。
悪意あるIPアドレスの数で測定した場合、Docker環境はハニーポット標的の54.3%を占めており、大規模な攻撃においてコンテナ化されたクラウドインフラの魅力が高まっていることが明らかになっている。
■Eメール攻撃の巧妙化
2025年にはEメール攻撃が著しく高度化し、AI支援のコンテンツ、回避型ペイロード、アイデンティティ標的化テクニックがすべて前年に比べて増加している。この巧妙化を表す主なインジケータには次が含まれる。
・AI支援フィッシングの加速：AI使用の兆候は前年度より増加しており、新手のソーシャルエンジニアリングテクニックは32%から38%に、長文のメッセージは27%から33%に増加。これらのパターンは、従来のフィルターを回避するよう設計された、よりパーソナライズされた、本物らしく見えるおとりへの進化を反映している。
・QRコード攻撃の増加：ダークトレースが検知した、QRコードを利用したフィッシング攻撃は28%増加し、2024年の94万件から2025年には120万件以上に。量が増えるとともに、攻撃者は新しい形のQRコードフィッシングを導入した。これにはQRコードが2つの異なる画像に分割されている「スプリッシング」や、正当なQRコードに悪意のあるQRコードが埋め込まれるQRコードネスティングが含まれ、これらはすべてリンクをスキャンするツールを回避し、被害者を多段階のリダイレクトを通じて誘導することを目的としている。
・新たなドメインが大量に使用されている：160万を超えるフィッシングEメールが悪意あるアクティビティ専用に新たに作成されたドメインを利用しており、レピュテーションベースの防御の有効性を損なっている。
・DMARCを回避し正当性を偽装：フィッシングEメールの70%はDMARC認証を通過しており、ユーザーと自動化されたセキュリティコントロールの双方に対して正当に見せようとしている。
■重要な国家インフラに対する脅威の概況
地政学的緊張の重なりと急激なデジタル変革により、CNI（Critical National Infrastructure）は国家が支援する脅威アクターや犯罪組織にとって戦略的標的になっている。ダークトレースは2025年のCNIリスクを形成する、繰り返し発生している以下の3つの傾向を観測した。
・サービスの中断：ロシア-ウクライナ紛争に関連したサイバーフィジカル攻撃は西側およびウクライナのエネルギーインフラを標的とし、インフラに依存するヘルスケアやその他の産業に影響を及ぼした。
・戦略的アクセスと事前配置：SaltTyphoonやVolt Typhoonといったグループはスパイ活動からそのオペレーションを拡大し、インテリジェンス収集および将来的な破壊活動を可能にするため通信やエネルギー企業に潜入している。
・代理およびハイブリッド型アクターの利用：国家が支援するグループ、特に北朝鮮に関連するアクターは、金銭的動機によるオペレーションを戦略的目的と統合している。2025年、ダークトレースは、より広範なインテリジェンス収集活動の一環として、脆弱性をエクスプロイトすることによりトロイの木馬型マルウェアを金融サービス環境に展開する、北朝鮮が関係したアクティビティを観測した。
関連リンク