ClickFix攻撃が500％増 Mimecastが示す2025年の「人間中心型サイバー脅威」：人間の防御意識を突破する攻撃が増加

Mimecastはセキュリティレポート「Global Threat Intelligence Report」を発表した。AI技術を駆使したフィッシングや「ClickFix」攻撃など、人間を標的とした攻撃が急増していることが明らかになった。

[TechTargetジャパン]

　セキュリティ企業Mimecastは2025年10月22日（米国時間）、セキュリティレポート「Global Threat Intelligence Report」を発表した。これは同社の顧客4万3000社から収集した約24兆件のデータを分析し、91億3000万件以上の脅威を特定した結果をまとめたものだ。それによると、攻撃の中心が「システムの脆弱（ぜいじゃく）性」から「人間の行動」へと移行しつつあることが分かった。

正規サービスを“武器化”する攻撃者

併せて読みたいお薦め記事

従来の防御をすり抜ける巧妙な攻撃

• 「うちは大丈夫」の盲点　Arctic Wolfがセキュリティの人的リスク指摘
• そのAIエージェントは“本人”か？　「AIのためのID」が必要になる未来

　攻撃者はAI（人工知能）技術を駆使し、従来の防御をすり抜ける巧妙な手口を次々と編み出している。特に、AI生成によるフィッシング攻撃やソーシャルエンジニアリング攻撃が急増しており、2024年調査では全体の60％だったフィッシング攻撃が、2025年調査では77％にまで拡大した。

　Mimecastはさまざまな脅威の中でも、ユーザーをだまして悪意のあるコマンドを実行させる「ClickFix」攻撃に注目している。これは偽のエラーメッセージを表示し、ユーザーにコピー＆ペーストなどの操作をさせ、マルウェアを作動させるという手口だ。レポートによると、2025年前半だけで発生件数が2024年比で500％も増加し、全攻撃の約8％を占めた。

　攻撃者は“信頼の悪用”という新たな手法にも注力している。「Adobe Pay」「DocuSign」「Salesforce」など、日常業務で多用される正規のサービスを攻撃経路として利用するケースが増加している。それ以外にも、正規のCAPTCHA機能を悪用し、検知回避と分析妨害をする事例も報告されている。

　レポートからは、攻撃が多層的、同時多発的に展開されていることも読み取れる。メールに電話番号を記載して通話を誘導するなど、監視システムの目を逃れる手法が広がっており、AI生成された捏造（ねつぞう）音声を用いた「音声なりすまし」攻撃も増加している。

　MimecastのCISO（最高情報セキュリティ責任者）レスリー・ニールセン氏は、「サイバー防御はもはや技術だけの問題ではない。人と組織のレジリエンス（回復力）を高めることが不可欠だ」と指摘している。