認証済みメールでも安全とは限らない――VBSpam Q3 2026が示したフィッシングの新手口

メールが技術的に認証されているからといって、安全なメールだと判断してはならない。Virus Bulletinの「VBSpam Q3 2026」比較テストに関する報道では、一見正規に見える配信基盤と、複数段階のURLクローキングを組み合わせるフィッシングが取り上げられた。悪性の挙動を、送信者情報や静的なURL検査だけでは見えにくいブラウザ処理の後段へ移す手法だ。

テストはAMTSOのテスト計画に沿って16日間実施され、10万3,969通（うちスパム10万3,380通）のメールを対象とした。13

「認証済み」と「安全」は別の話

SPF、DKIM、DMARCは、メールの送信経路や送信ドメインの整合性に関する検証を助ける仕組みである。しかし、メール本文が無害であること、記載されたリンクが安全であること、あるいはリダイレクトの先にある最終ページが正規のものであることまでは保証しない。

今回報じられた攻撃では、攻撃者は認証済み、または信頼できそうに見えるインフラを利用し、実害につながる処理をWeb側に先送りしていた。アクセスしたブラウザ、地域、時刻などを判定し、条件に合う相手だけに詐欺ページを見せる設計である。35

報告で示された3つのフィッシング手法

1. Amazon SESを使った「未払い」通知

ドイツ語のキャンペーンでは、未払いを装う文面が使われ、DKIM整合のあるドメインからAmazon SES経由で送信された。添付ファイルは使わず、HTMLメール内におとりのマークアップ、隠しテキスト、サイズ0のiframe、難読化したJavaScriptが含まれていたとされる。35

リンク先では閲覧者のブラウザやタイムゾーンの情報を取得し、隠されたPOSTリクエストを実行したうえで、条件に合うアクセスをOpenSeaへ転送したという。この流れは、暗号資産やNFTに関する詐欺をクローキングで隠す動きと整合的だと報じられている。メール本文や最初のURLだけを確認しても、危険性を把握しにくい。35

2. McAfee・TotalAVをかたる偽の更新案内

オランダ語のキャンペーンは、McAfeeとTotalAVを装い、「631件の危険なウイルス」を警告して割引更新を促した。一般的な不正添付ではなく、HTMLだけで受信者を誘導するソーシャルエンジニアリング型だった。35

特に重要なのは、アクセス先が時刻、場所、標的とみられる利用者像に応じて変化し得る点だ。自動スキャナーには無害なページやエラー画面、標的とは別の転送経路を返せるため、検査をすり抜けやすくなる。報道では、この攻撃の目的はサブスクリプション詐欺とされた。35

3. BCR S.A.を装うPSD2同意更新の要求

ルーマニア語のフィッシングメールでは、BCR S.A.を装い、PSD2の同意を更新する必要があると訴えた。PSD2は欧州の決済サービスに関する制度で、こうした「同意の更新」というもっともらしい金融手続きを悪用した形だ。リンク先はIPv6マップドアドレスで隠され、URLの解析やスキャナーによる検査を複雑にし得る手法が使われたと報じられた。3

銀行手続きの期限や必須対応を装う文面は、受信者に急いで操作させやすく、認証情報の窃取へつなげる題材になり得る。3

静的スキャンだけでは追いつきにくい理由

これらの事例が示すのは、フィッシングのロジックがメール本体からブラウザ側へ移っていることだ。受信時点では、送信者認証を通過し、リンクの意図もただちには明らかにならないことがある。決定的な挙動は、その後のブラウザ内で発生する。

• HTMLやJavaScriptによって、メールの初期構造を見えにくくする。
• リダイレクトチェーンにより、配信されたURLと最終到達先を切り離す。
• ブラウザ、タイムゾーン、位置情報、時刻を判定し、標的らしいアクセスと自動システムを区別する。
• 条件に応じて応答を変え、単純なサンドボックスやレピュテーション検査から悪性コンテンツを遠ざける。35

したがって、防御側がメール認証を不要とみなすべきだという話ではない。認証は有用な判断材料だが、本文の内容、送信元の評判、リンクの挙動、最終到達先のリスクと合わせて評価する必要がある。35

防御で優先すべきこと

メールの入口だけでなく、リンク先までを一連の経路として検査する運用が重要になる。

1. 難読化されたURLを正規化する：特殊なアドレス表現をデコードし、標準化してからレピュテーションやポリシー判定にかける。
2. リダイレクトチェーン全体を追跡する：最初のリンクだけでなく、途中の全ホップと最終ランディングページを評価する。
3. ブラウザ側の挙動を分析する：条件付き転送、フィンガープリンティング、隠しリクエストなど、ページ実行後に現れる挙動を検知する。
4. 認証を文脈の中で扱う：SPF、DKIM、DMARCは信頼判断を支えるが、悪性コンテンツや危険な到達先を示すシグナルより優先してはならない。
5. 検知率と誤検知を併せて測る：脅威を止めても正規メールを業務に支障が出る形で遮断すれば、別の運用リスクになる。35

製品結果には大きな開き

報告された総合結果では、上位製品は極めて高い検知性能を示した一方、結果は一様ではなかった。Net at Work NoSpamProxyは誤検知ゼロで最終スコア99.995、Bitdefender GravityZone Premiumは99.994、SEPPmail.cloudfilterは99.985だった。Rspamdは62.5と報じられている。35

ただし、これらはあくまでこの比較テストにおける結果であり、すべての環境での性能を保証する数値ではない。それでも、認証済み送信者、難読化URL、条件付きのブラウザ処理を扱う能力には差があり、単一の対策だけに依存しない多層的な検査が必要だという実務上の教訓を裏付ける。135

結論

VBSpam Q3 2026に関する報道は、受信時には問題がなさそうに見えるメールを送り、受信者のブラウザが特定の条件を満たした後で初めて詐欺を見せるフィッシングの構図を示している。

送信者認証は必要な衛生対策だが、それだけで安全の証明にはならない。メールセキュリティの判断は、送信元の検証で終わらせず、リダイレクトの全経路と最終的なWeb体験まで広げる必要がある。35