要点
- 重要インフラ組織は、単に好機を伺って狙われる標的ではありません。電子メールは事業継続とほぼ同義であるため、これらの組織は意図的に標的として選ばれているのです。これらを標的とした攻撃キャンペーンは、長期にわたる複数の攻撃主体による作戦であり、その多くは電子メールから始まります。
- 攻撃者は、ペイロードを配信する前に、企業のセキュリティスタックに対してその有効性をテストします。スキャナーを通過したからといって、そのファイルが安全である証拠にはなりません。そのファイルは、スキャナーを通過するように作られている可能性があるからです。
- 「検知優先型セキュリティ」には、周到に準備した攻撃者に対して構造的な脆弱性がある。つまり、これまで遭遇したことのない事象に対しては対応できないのだ。
- 多層的なメール防御こそが、構造的な対策となります。各層は、他の層では検知できない脅威を捕捉します。その相乗効果は単純明快です。つまり、攻撃者が攻撃を実行する前に最適化を行うためのコストを高めるのです。
これは単なるメール攻撃ではなく、組織的なキャンペーンなのです
セキュリティの専門家で、脅威を孤立した出来事として扱うことを意図的に決める者などいない。それは徐々に進行していくものだ。検知率は安定し、インシデントは予定通りに解決され、監査も重大な指摘事項なく通過する。個々のデータはそれぞれ妥当なものだが、それらが組み合わさると、完全に正確でありながら、危険なほど不完全な全体像が浮かび上がる。
その自信の蓄積こそが、それ自体が脆弱性となっている。そして、重要インフラを運営する組織にとって、これは攻撃者が意図的に悪用する脆弱性であり、その手口は受信トレイから始まる。受信トレイは、今日に至るまで、電子メールのセキュリティリスクをもたらす主要な経路の一つであり続けている。
国家が支援するグループが電力網、病院、あるいは防衛関連企業を標的とする場合、それは数年にも及ぶキャンペーンとなる可能性があります。こうした攻撃では、実際のペイロードが到達する前に防御体制を把握することを目的として、数百回に及ぶ反復攻撃、探査試行、おとり攻撃が行われることがよくあります。彼らの目標は、長期にわたる持続的な機能停止、繰り返される情報漏洩、そして評判への最大限の損害を与えることにあります。 身代金の算定は、最初のメールを送信する前から行われており、さらに悪いことに、攻撃者たちは標的となる組織がダウンタイムを許容できないことをすでに把握している。
攻撃者の動機や攻撃の手口は様々ですが、一つ共通点があります。それは「標的選定」です。重要インフラを運営する組織は、偶然に狙われるのではなく、意図的に選定されており、それらを標的とした攻撃キャンペーンは長期にわたるプロセスであり、そのほとんどが電子メールから始まります。
最初の攻撃手段は、武器化された添付ファイル、悪意のあるリンク、あるいは綿密な調査に基づいてカスタマイズされた認証情報フィッシング攻撃であり、これらはエンジニア、オペレーター、あるいは経営幹部に対して送られてきます。そして、電子メールが依然として好まれる侵入経路であり続けている理由は、技術的な高度さではなく、数学的な単純さにあるのです。組織は、業務に支障をきたすことなく、この侵入経路を遮断したり制限したりすることはできません。
たった1人の従業員、たった1日の不注意、たった1つの開かれたファイル。これだけで勝利の条件はすべて揃う。何千もの受信箱に同時に届くキャンペーンが成功するには、たった1つの隙があれば十分であり、防御側はそうした隙をすべて防がなければならない。
このキャンペーンの手口は、すでに米国の重要インフラにおいて確認されている。CISA、NSA、FBIによる共同勧告によると、「Volt Typhoon」の攻撃者らは、運用技術（OT）に対する潜在的な妨害・破壊攻撃に備えるため、一部のITネットワーク内に少なくとも5年間潜伏していたことが確認された。
標的側のパッチ適用が早まったからといって、あるいはアナリストを増員したからといって、これらの攻撃者たちが戦略を見直すことは決してない。こうした攻撃は戦術的な一手であり、多くの場合、より大きな戦略の一環である。
このことから導かれる対応姿勢は、決して任意のものではありません。重要インフラを運営する組織は、セキュリティ侵害が必ず発生するという前提の下で業務を行い、それに応じた体制を構築すべきです。すなわち、あらゆる侵入経路に多層的な防御体制を整備し、被害が拡大する前に封じ込めを開始できるよう、即応体制を十分に手近な場所に配置しておく必要があります。
攻撃者は、ペイロードを展開する前にその動作をテストする
この手法は広く普及しており、多くの事例が報告されている。国家が支援するグループ、ランサムウェアの運営者、そして高度な犯罪組織を問わず、ペイロードは送信される前にステージングプロセスを経る。攻撃者は企業のセキュリティスタックのレプリカを構築し、ファイルの検出スコアが「クリーン」となるまで反復テストを行い、その状態で初めて送信を行う。
2025年、国際的な共同作戦により、世界最大級のアンチウイルス対策回避サービスの一つである「AVCheck」が摘発された。このサービスは、マルウェア開発者が、自身のファイルが配布前に検出されるかどうかをテストできるようにするものであった。このサービスが存在したのは、配布前の検知回避テストに対する需要が、それを軸とした商業運営を維持できるほど大きかったためである。
「検知優先型」のセキュリティには、事前の準備を整えた攻撃者に対して構造的な脆弱性があります。この仕組みは、過去に遭遇した脅威、あるいは過去の記録にある脅威と酷似した脅威を認識するように設計されています。しかし、これらのいずれにも該当しないよう特別に設計されたペイロードは、検知層が反応すべき対象を提供しないため、そのまま通過してしまいます。
その最適化は一度きりのことではありません。長年にわたる反復と数百回に及ぶ攻撃の試行を通じて、あらゆる隔離措置やブロックが、攻撃者が次の攻撃を洗練させるためのフィードバックとして活用されます。この攻撃キャンペーンは、防御側が自動的に対応できない形で、防御策から学習していきます。これは、検知を想定して周到に準備を整えた攻撃者に対して、「検知優先」の対応をとった場合に生じる論理的な帰結です。
それが、メールセキュリティの防御体制を構築する上でどのような意味を持つのか
ペイロードの事前テストを行うために、セキュリティスタックのレプリカを構築しようとする攻撃者であっても、複数の独立したレイヤーの正確な組み合わせや順序を容易に再現することはできません。これこそが、多層的な電子メール防御の背後にある戦略的論理です。これは単なる防御範囲の拡大にとどまらず、攻撃者が依存する展開前の最適化プロセスのコストを高める構造的な対応策なのです。
この理屈が成り立つのは、各層がそれぞれ異なる原理に基づいて動作し、他の層では捉えきれないものを捉えるからです。
- Multiscanning セキュリティMultiscanning 、添付ファイルを複数の独立したエンジンで同時にスキャンすることで検知範囲を拡大するため、特定の単一のエンジンに対するペイロードの最適化だけでは不十分となります。
- コンテンツ無害化および再構築（CDR）は、以前に確認されたかどうかに関わらず、すべてのファイルからアクティブコンテンツを削除します。つまり、シグネチャ検出を回避するように設計されたペイロードであっても、そのアクティブなコンポーネントは除去されます。
- サンドボックス化により、実行時の挙動が明らかになり、配信完了まで悪意のある動作を遅らせるよう特別に設計されたペイロードを検知することができます。
- クリック時のURL分析により、配信から悪用までのタイムラグを解消します。
- 送信メールおよび社内メールに対するデータ漏洩防止（DLP）対策により、受信メールのみを対象とした制御では完全に放置されていた可視性のギャップを埋めることができます。
個々のコンポーネントだけですべてを網羅できるものはありません。これらの組み合わせによって、レイヤーが追加されるたびに、スタックに対する事前テストが構造的に難しくなっていくのです。
検知された脅威は、攻撃者がまだ調整段階にあることを示しているに過ぎない可能性があります。これを、防御体制が機能している証拠ではなく、単なる兆候として捉えてください。この前提に基づいて対応することは、長期的なキャンペーンを展開する複数の種類の攻撃者に標的とされた状況において、単に合理的な対応と言えるでしょう。
電子メールの境界における多層的な防御、被害が連鎖する前に食い止める迅速な対応、そしてあらゆるインシデントを単なる解決済みのチケットとしてではなく、キャンペーンに関する知見として捉える継続的な改善の姿勢――これこそが、重要インフラ組織にとって真に意義ある保護の姿である。
さて、これを産業規模で展開するとどうなるか想像してみてください。 かつては特定の標的1つに対してペイロードを最適化するのに数週間を費やしていた攻撃者が、今では数千の標的に対して、わずか数時間で同時にそれを実行できるようになったと想像してみてください。『Microsoft Digital Defense Report 2025』では、AIを活用したフィッシング攻撃のクリック率が54％に達したのに対し、従来のキャンペーンでは12％にとどまり、その効果は4.5倍にも上ったという独立した調査結果が引用されています。これこそがAIによってすでに可能になったことであり、本シリーズの次回記事で取り上げるテーマでもあります。
このブログは、「Made to Evade」シリーズの第1弾です。
第2部と第3部は近日公開予定です。
