感覚の話から始めると議論がぶれるので、先に数字を置きます。

表1：フィッシングとMFA迂回に関する直近の統計

3行目と4行目の組み合わせが、この記事の出発点です。

では、その「次の一手」とは具体的に何なのか。ここから3つの世代に分けて見ていきます。

第1章 おわり — 次は第2章

まず基本形から。多くの方が「フィッシング」と聞いて思い浮かべるのは、この第1世代でしょう。

表2：第1世代フィッシングの流れ

この世代の弱点は、攻撃者にとって明確でした。盗んだパスワードを後で使おうとすると、MFAに阻まれるのです。スマホに届く6桁のコードを持っていないので、そこで止まる。

第2章 おわり — 次は第3章

第2世代は AiTM（Adversary-in-the-Middle／中間者） と呼ばれます。発想の転換は、たったひとつです。

「パスワードを盗んで後で使う」のをやめ、「あなたのログインを、その場で本物に取り次ぐ」ことにした。

偽サイトは、もはや「入力を保存する箱」ではありません。あなたと本物のサイトのあいだに立つ、透明な取次窓口になったのです。

図のいちばん下の帯が、この手口の恐ろしさです。あなたは本当にログインできてしまいます。エラーも出ないし、いつもの画面が本当に表示される。「おかしいな」と思う瞬間が、どこにもありません。

この手口は、いまや個人の技術力を必要としません。PhaaS（フィッシング・アズ・ア・サービス）、つまり月額で借りられるフィッシング一式として売られているからです。eSentire の調査では、2025年に法曹界で起きたAiTMによるアカウント侵害のうち52.3%が「Tycoon2FA」という単一のサービスによるものでした。

第3章 おわり — 次は第4章

第2世代への答えは、実ははっきりしています。パスキー（FIDO2）です。パスキーは「どのドメインに対して作られた鍵か」を機械が厳密に確認するので、偽ドメインを経由した瞬間に成立しません。中継そのものが不可能になります。

ところが2026年、そのパスキーでも止まらない手口が急拡大しました。デバイスコード・フィッシングと、OAuth同意フィッシングです。

📟 デバイスコード・フィッシング

もともとはスマートテレビやプリンターのような「文字入力しづらい機器」のために作られた、正規のログイン方式です。テレビに表示された短いコードを、スマホやPCの公式サイトで入力して紐づける、あの仕組みを思い出してください。

表3：デバイスコード・フィッシングの流れ（出典：Push Security／The Hacker News）

この手口が、2026年に入って爆発的に広がりました。

表4：デバイスコード・フィッシングの拡大（出典：The Hacker News がまとめた各社の観測）

拡大の理由として指摘されているのが、AIによる開発の高速化です。攻撃キットを作るハードルが下がり、似た構造のキットが次々に生まれているとされます。実際、検知する側は「特定のキットの指紋」を追うやり方では追いつかなくなっています。

🤝 OAuth同意フィッシング（Teams をかたる事例）

同じ「認可を狙う」考え方の別バージョンも観測されています。Check Point が2026年7月29日に公表した事例では、Microsoft Teams をかたるメールから、本物のMicrosoftの認可画面に誘導されました。

被害者に見えるのは、正真正銘のMicrosoftの画面です。URLも本物。表示も本物。押すボタンは「アクセスを許可しますか？」。

この事例では、2026年6月最終週から7月にかけて、製造・法律・医療を中心に120組織が標的になりました。攻撃者は許可を得たあと、メールの読み取りとデータの持ち出しを行い、信頼されたアカウントを踏み台にビジネスメール詐欺（BEC）へ発展させたとされています。

第4章 おわり — 次は第5章

ここまでの3世代を、同じ物差しで並べます。どの防御が、どこまで効くのかが一目でわかるようにしました。

表5：3世代のフィッシングと、防御の有効性

この表の読みどころを3つ挙げます。

第5章 おわり — 次は第6章

もうひとつ、同じ時期に報告された気になる動きがあります。偽サイトそのものの作り方が変わってきているのです。

Barracuda が2026年7月29日に公表した LogoKit というフィッシングキットの分析が、それをよく示しています。

表6：LogoKit の仕組み（出典：Barracuda、2026年7月29日）

Barracuda はこれを、従来の「ブランドのなりすまし」から「環境のなりすまし」への移行と表現しています。有名企業のロゴを真似るのではなく、あなたが日々見ている画面そのものを再現するという発想です。

なお念のため書き添えると、LogoKit 自体はMFA迂回の機能を持つとは報告されていません（認証情報を集めて外部に送る仕組みです）。この章で伝えたいのは「見た目で見抜く」という戦い方が、全体として苦しくなっているという流れのほうです。

そしてこれは、第2世代・第3世代と組み合わさったときに効いてきます。見た目は完璧、URLは本物、認証も本当に通る。──違和感を持つための材料が、ひとつずつ削られているのが現状です。

第6章 おわり — 次は第7章

ここまで「効かない」を並べてきたので、最後に効くものを整理します。世代別に見ると、やるべきことははっきりしています。

表7：世代別・有効な対策（eSentire および Push Security の推奨をもとに整理）

なお、ここで盗まれた認証情報が実際にどう使われるかも知っておくと、対策の優先順位がはっきりします。2026年7月末には、正規の認証情報だけで41時間のうちに30組織のVPNが破られた事例が報告されました。詳しくは境界機器が狙われている話で扱っています。

次に、立場別に整理します。

表8：立場別・今日やること

第7章 おわり — この先はまとめです

表9：この記事の結論と、次の行動

最後に、この記事全体を貫いている変化について書いておきます。

フィッシング対策として長年言われてきたのは、「よく見れば見抜ける」でした。URLが変、日本語が不自然、送信元がおかしい。注意深さが防御になるという考え方です。

しかし第3世代では、URLは本物で、画面も本物で、あなたは正しくログインでき、そして自分の意思で「許可」を押します。見抜くべき「偽物」が、どこにも無いのです。

だからといって、注意深さが無意味になったわけではありません。ただ注意を向ける先が変わりました。「この画面は本物か？」ではなく、「この操作は、私が今やろうとしていたことか？」です。

メールを読もうとしただけなのに、なぜアプリに権限を渡す画面が出るのか。ログインしようとしただけなのに、なぜコードをコピーして別の画面に入れるのか。手順そのものへの違和感──これが、新しい世代に対する最後の防衛線です。

技術で守れる部分は、パスキーと設定で確実に固める。そのうえで、残りは「あれ？」と思える力で守る。この2階建てが、2026年のフィッシング対策のかたちだと思います。

第8章 おわり — お読みいただきありがとうございました