従来のフィッシング攻撃では、偽サイトなどを通じて認証情報を盗み、その情報を使って後からアカウントを乗っ取る手法が一般的だった。攻撃者は認証情報を収集して、不正アクセスや情報窃取につなげていた。

　しかし、現在は認証情報を盗むこと自体を目的とせず、オンライン詐欺によって直接的な金銭的利益を得ようとする動きが強まっている。

　アカマイの調査では、世界のオンライン詐欺の検知件数は前年比で320万件から640万件へと倍増した。2026年第1四半期には、オンライン詐欺の検知件数が従来のフィッシング件数を初めて上回ったという。

　攻撃の持続期間も短くなっている。フィッシングキャンペーンの平均活動期間は、2025年第4四半期の48.3日から2026年第2四半期には22日へと短縮された。

　これは、セキュリティ担当者にとって、脅威を検知して対処する時間が減っていることを意味する。背景にあるのが、AIと自動化の活用だ。攻撃者は大量のアクセスを機械的に送り付けるだけでなく、検知を回避するためにアクセス頻度や通信量を調整するようになっている。

　一定回数以上のログイン失敗や短時間の大量アクセスを検知して遮断する従来の方法だけでは、こうした攻撃を見逃す可能性がある。攻撃者が自動化の規模と人間の操作に見える巧妙さを組み合わせているためだ。

　企業に求められるのは、単に不審なアクセスを遮断することではない。個々のアクセスがどのような意図を持ち、アカウントの作成から認証、決済までの一連の行動の中でどのような意味を持つのかを把握することだ。

認証だけを守る対策では不十分　アカウントのライフサイクル全体を見る

　今回の調査結果から見えてくるのは、企業の不正対策はログイン時点の防御だけでは完結しないということだ。

　ログイン時に多要素認証（MFA）を導入すれば、パスワードが漏えいした場合の不正アクセスリスクを抑えられる。しかし、攻撃者の活動はログインにとどまらない。新規アカウントの作成や登録情報の変更、決済、取引など、サービスのさまざまな段階で不正が行われる可能性がある。

　ログイン時点では問題がなくても、その後のアカウント操作や取引の段階で不正な意図が明らかになるケースも考えられる。こうした状況に対し、アカマイは、アカウントの登録から認証、決済までのライフサイクル全体を対象とした、ふるまい検知の導入を推奨している。

　bot管理を強化して、自動化されたアカウント作成やパスワードリスト型攻撃、不正な取引などを検知する。また、個々のフィッシングサイトを検知するだけでなく、複数の攻撃に共通するインフラやふるまいのパターンを分析し、組織的な攻撃キャンペーンを把握することも重要だとしている。

　ここで重要になるのが、セキュリティ部門だけで対策を完結させないことだ。不正アクセスの検知は情報システム部門やセキュリティ部門が担う一方、不正取引の判断には金融・決済関連の部門が関わる。顧客アカウントの利用状況や取引履歴などを組み合わせて分析するには、複数部門の情報連携が欠かせない。

　そして企業が今後考えるべきなのは、セキュリティ対策の強化と正規ユーザーの利便性をどう両立させるかだ。

　不正アクセスを警戒するあまり、全てのログインに追加認証を求めたり、アクセス制限を厳しくしたりすれば、正規の顧客や従業員の利便性を損なう。特に金融サービスやECなど、ログインや決済が日常的に発生する事業では、認証の負担が顧客体験に影響する可能性がある。

　一方で、利便性を優先して認証や不正検知の仕組みを緩めれば、アカウント乗っ取りや不正取引による損失を招きかねない。そのため、企業には一律にアクセスを制限するのではなく、利用者の行動やアクセスの状況に応じてリスクを判断する仕組みが求められる。

　情報システム部門やセキュリティ担当者は、まず自社の対策がログイン時点の認証に偏っていないかを確認する必要がある。アカウント作成からログイン、登録情報の変更、決済まで、どの段階で不正を検知できるのかを整理することが重要だ。

　さらに、セキュリティ部門と不正対策部門、事業部門の間で、どのような情報を共有し、誰が不正の判断や対応を担うのかも明確にしておきたい。

　AIによって攻撃の自動化と巧妙化が進む中、従来のように攻撃を検知してから個別に遮断するだけでは、対応が後手に回る可能性がある。ログインの成否だけを見るのではなく、その前後にある行動をつなぎ合わせて不正の兆候を早期に捉えることが重要だ。

　企業にとって、ログイン画面は単なる認証の入り口ではない。顧客や従業員のアカウント、さらには決済や事業活動を守るための重要な防衛線へ変わりつつある。攻撃者がその防衛線を狙う手法を変えている以上、企業側も認証を中心とした点の防御から、アカウントのライフサイクル全体を見渡す対策へ転換する必要がある。