PhaaSとは？フィッシング攻撃のサービス化と企業が見直したい備え
フィッシング攻撃は、メールの文面や偽サイトが巧妙化しているだけではありません。攻撃に必要な機能や高度な手法をサービスとして利用できる「PhaaS（Phishing as a Service）」によって、攻撃者が複雑な手口を実行しやすくなっています。
2026年5月には、米連邦捜査局（FBI）がPhaaSの一つである「Kali365」について注意喚起しました。Kali365では、AIを利用したフィッシングの誘導文の生成や、正規の認証の仕組みを悪用した攻撃を支援する機能が確認されています。
本記事では、PhaaSの仕組みとKali365の事例を解説し、企業の標的型攻撃メール訓練で見直したいポイントを紹介します。
PhaaS（Phishing as a Service）とは
PhaaSとは、フィッシング攻撃に必要なツールや環境を攻撃者向けに提供するサービスのことです。FBIはPhaaSについて、攻撃者がフィッシングキットを買い切り型や定額制で利用できるサービスモデルだと説明しています。
出典：FBI Internet Crime Complaint Center（IC3）
▼Kali365 Phishing-as-a-Service Kit Hijacks Microsoft 365 Access Tokens
提供されるフィッシングキットには、偽のログインページの構築や認証情報を取得する仕組みなど、攻撃に必要な機能が含まれています。
PhaaSが企業にとって脅威になる理由
① 高度な攻撃を実行するハードルが下がる
PhaaSを利用すれば、攻撃に必要な仕組みを一から構築する必要がなくなります。高度な専門知識を持たない攻撃者でも、複雑な手口を利用しやすくなります。
②攻撃を効率化・自動化できる
PhaaSには、フィッシング攻撃の準備や運用を効率化・自動化するための機能もあります。こうした機能により、攻撃者はメールの作成から攻撃対象の管理まで、少ない手間で行えるようになります。
PhaaSの実例「Kali365」とは
Kali365は、2026年5月にFBIが注意喚起したPhaaSです。同年4月に初めて確認され、主にTelegramを通じて提供されていました。Kali365を利用した攻撃では、「デバイスコードフィッシング」と呼ばれる手口が使われます。これはMicrosoftの正規の認証の仕組みを悪用するもので、攻撃者は利用者のパスワードを盗まずに、アカウントへ不正アクセスできる場合があります。
Kali365の具体的な攻撃の流れは、以下のとおりです。
1.偽の案内メールが届く
ファイルの共有通知などを装い、指定されたコードの入力を促します。
2.正規の認証ページでコードを入力する
利用者はMicrosoftの本物の認証ページでコードを入力し、認証を進めることで、知らないうちに攻撃者の端末によるアクセスを許可してしまいます。
3.攻撃者がアクセスに必要な情報を取得する
Microsoft 365のサービスへのアクセスに利用できる情報（OAuthトークン）が攻撃者側に渡ります。
4.アカウントに不正アクセスされる
攻撃者は取得したトークンを利用し、パスワードや追加の多要素認証なしでMicrosoft 365のサービスにアクセスできる場合があります。
出典：FBI Internet Crime Complaint Center（IC3）
▼Kali365 Phishing-as-a-Service Kit Hijacks Microsoft 365 Access Tokens
デバイスコードフィッシングの詳しい仕組みについては、以下の記事で解説しています。
▼デバイスコードフィッシングとは？攻撃の仕組みや被害、騙されやすいポイントを解説
Kali365によって想定される被害
不正アクセスが成功すると、攻撃者は取得したアクセス権限の範囲で、業務に利用するサービスへアクセスできる可能性があります。
例えば、次のような被害が考えられます。
- メール情報の漏えい：業務メールや添付ファイルを閲覧される
- ファイルの漏えい：クラウドストレージ内の資料を取得される
- なりすまし：本人のメールアカウントから不正なメールを送信される
- 不正アクセスの継続：取得したトークンの有効性やアクセス制御の状況によって、不正アクセスが継続する場合がある
FBIは、Outlook、Teams、OneDriveなどへのアクセスが可能になると説明しています。
対策としては、従業員への注意喚起に加え、自社でデバイスコードフローを利用しているか確認することも有効です。Microsoftは、デバイスコードフローがフィッシングに悪用されるリスクを指摘しており、業務上必要な場合を除いて、条件付きアクセスによって利用をブロックすることを推奨しています。設定にあたっては、既存の利用状況や業務への影響を確認しながら進める必要があります。
出典：Microsoft Learn「条件付きアクセス：認証フロー」
Microsoft Learn「条件付きアクセス ポリシーを使用して認証フローをブロックする」
「不審なメールを見抜く」だけでは対応が困難に
システム側での対策に加えて、従業員が不審なメールにどう対応するかも重要です。従業員向けのフィッシング対策では、これまで不自然な日本語や見慣れない送信元、不審なURL、予期しない添付ファイルなど、メールに含まれる違和感に注意することが呼びかけられてきました。
こうした確認は、現在もフィッシングを判断する手がかりになります。しかし、それだけで安全かどうかを判断することは難しくなっています。
生成AIを使えば、自然な文章や業務内容に合わせた文面を作りやすくなります。さらに、デバイスコードフィッシングのように、正規の認証ページが攻撃の途中で使われるケースもあります。つまり、「文章に違和感がない」「URLも正規のものだった」というだけでは、安全かどうかを判断できない場面があるということです。
企業の標的型攻撃メール訓練でも、怪しい特徴を見つけられたかだけではなく、判断に迷う場面でどう行動するかまで確認する視点が必要です。
これからのメール訓練で見直したい3つの視点
フィッシング攻撃の手口が変化するなかで、メール訓練にも、実際の業務や攻撃手法を踏まえた工夫が求められています。ここでは、訓練の内容や実施後の振り返りについて、見直したい3つの視点を紹介します。
1．判断に迷う場面を訓練に取り入れる
明らかな誤字や不自然なURLがあるメールだけでなく、一見すると正規の連絡と区別しにくいメールも、訓練のテーマとして考えられます。こうした場面では、一度操作を止める、別の経路で確認する、社内の担当者に相談するといった対応が重要になります。訓練では、判断に迷う場面を経験してもらい、どのような対応が適切なのかを訓練後の教育で伝えることもできます。
2．自社の業務や攻撃手法に合わせてテーマを選ぶ
訓練の難易度だけでなく、自社の従業員が普段どのようなメールやサービスを利用しているかも、テーマを選ぶ際のポイントです。例えば、Microsoft 365を利用している組織であれば、アカウントや認証に関する通知などが考えられます。また、Kali365のような最近の攻撃事例を教育で紹介し、実際にどのような手口が使われているのかを知ってもらう方法もあります。
3．訓練結果をその後の行動や教育につなげる
メール訓練では、開封率が分かりやすい指標になりますが、それだけで訓練の成果を判断できるとは限りません。例えば、不審なメールを社内へ報告できたか、どのような内容のメールで反応が多かったかといった点も、訓練結果を振り返る際の手がかりになります。
また、訓練後のアンケートなどを通じて、判断に迷った点や、実際にどのような行動を取ろうとしたかを確認する方法もあります。単に「クリックしないようにしましょう」と伝えるだけでなく、迷ったときの確認方法、誤って操作した場合の報告方法などを共有します。
まとめ
PhaaSによって、フィッシング攻撃に必要な機能をサービスとして利用できるようになり、高度な手口を実行するためのハードルが下がっています。今回ご紹介したKali365のように、正規の認証の仕組みを悪用する攻撃もあり、不審なメールやURLを見分けるだけでは防ぎきれない場合があります。
企業としては、認証方式の見直しなどの技術的な対策に加え、従業員が判断に迷ったときに適切な行動を取れるよう、訓練や教育を通じて備えていくことが重要です。
神戸デジタル・ラボが提供する標的型攻撃メール訓練・情報セキュリティ教育サービス「Selphish（セルフィッシュ）」では、標的型攻撃メール訓練に加え、訓練後のフォローアップ教育や全従業員向けの情報セキュリティ教育にも対応しています。継続的なセキュリティ対策の一環として、ぜひご活用ください。
