「パスワードもきちんと運用しているし、多要素認証（MFA）も導入している。それなのに、身に覚えのないログインが記録されていた」――最近、こうした報告を耳にする機会が増えています。
実は、この「うまく説明のつかない不正アクセス」の背景には、攻撃者側の手口そのものが大きく変化しているという事情があります。それを裏付けるデータが、2026年3月にCloudflareが公表した年次脅威レポート「2026 Threat Report」です。本記事では、このレポートをもとに、いま何が起きているのかを整理します。
レポートが指摘する最大の変化は、攻撃者が「わざわざ脆弱性を突いて侵入する」よりも、「盗んだ認証情報でログインする」ほうが圧倒的に効率がよいと判断し始めている点です。
レポートでは、攻撃の費用対効果を測る指標として「MOE（Measure of Effort、労力対効果）」という考え方が紹介されており、次のように問いかけています。
高額なゼロデイ脆弱性（開発元が未対応の未知のシステム欠陥）を使うより、盗んだセッショントークン（ログイン状態を保持する情報）を使うほうがMOEが高いのなら、なぜわざわざ前者を選ぶのか。
実際、レポートによれば、分析対象となったログイン試行のうち63%が、すでに漏えい済みの認証情報を使ったものだったという結果が出ています。さらに94%が人間ではなくボットによるログイン試行だったとも報告されています。
この背景にあるのが、「インフォスティーラー」と呼ばれる情報窃取型マルウェアの広がりです。LummaC2などのインフォスティーラーは、パスワードだけでなく、ログイン後の状態を保持する「セッショントークン」そのものを盗み出します。セッショントークンさえ手に入れば、多要素認証を改めて突破する必要すらなく、認証後の状態にそのまま入り込めてしまう、とレポートは警告しています。
もう一つの特徴的な傾向が、攻撃者が自前のインフラを用意せず、企業が日常的に利用している正規のクラウドサービスを悪用するケースの増加です。
レポートでは、以下のような事例が紹介されています。
Google カレンダーの予定にC2（遠隔操作の指令）情報を暗号化して埋め込む
DropboxやGitHubにマルウェアを設置する
Azure Web Apps上にフィッシングページを作成する
いずれも通信先が「見慣れたサービス」であるため、通常の業務通信に紛れて検知をすり抜けやすいという狙いがあるとされています。
こうした活動を後押ししているのが、生成AIの悪用です。レポートは、攻撃者が大規模言語モデル（LLM）を使ってネットワーク構成をリアルタイムで把握したり、新たな攻撃コードを開発したり、精巧なディープフェイクを作成したりしている実態を指摘しています。
象徴的な事例として紹介されているのが、北朝鮮の関与が疑われる工作員のケースです。AIが生成した偽の身分証やディープフェイク映像を使ってオンライン面接を突破し、そのまま西側企業の採用選考を通過。給与システムに正規の従業員として組み込まれ、実在地を隠すために「ラップトップファーム」と呼ばれる拠点を米国内に置いていたと報告されています。
このほか、中国の関与が指摘される攻撃者グループについても、無差別に広く攻撃するのではなく、通信・政府機関・ITサービスなど特定の対象に的を絞り、将来の攻撃に備えてあらかじめコードを仕込んでおく「事前配置（プリポジショニング）」と呼ばれる手法への移行が確認されているとしています。
認証情報の窃取や正規サービスの悪用が目立つ一方で、レポートは「古典的な攻撃手法」が消えたわけではないとも指摘しています。
メールを起点としたフィッシングは、攻撃基盤自体がサービス化された「フィッシング・アズ・ア・サービス」という形で分業化・仕組み化が進んでいます。レポートでは、分析対象のメールの46%がDMARC（送信ドメイン認証の仕組み）の検証に失敗していたと報告されており、信頼度の高いドメインを経由させることでフィルタをすり抜ける「ブランドなりすまし」の手口も紹介されています。
また、可用性を狙ったDDoS攻撃（大量のアクセスを送りつけてサービスを止める攻撃）についても規模の拡大が続いており、レポートでは31.4Tbpsという、これまでの記録を更新する攻撃が観測されたとされています。Cloudflareは自社のネットワークで1日あたり平均2,300億件の脅威をブロックしており、ウェブ全体の通信量の約2割がこのネットワークを経由していると説明しています。
レポートは総括として、次のように述べています。
セキュリティとは、もはや部外者を締め出すことではなく、ネットワーク内にいる利用者が本当に本人であるかを証明し続けることだ
これは、従来の「社内は安全、社外は危険」という境界型の発想から、「社内であっても、アクセスのたびに本人性を確認し続ける」という前提への転換を意味しています。パスワードや多要素認証（MFA）といった「入口」の対策だけでは、盗まれたセッショントークンや正規サービスに紛れ込んだ通信を見抜くことは難しく、ログイン後の挙動まで含めて継続的に検証する仕組みが求められる場面が増えてきています。
こうした発想は「ゼロトラスト」（性善説に頼らず、社内外を問わずすべてのアクセスを都度検証するという考え方）とも重なりますが、実装の形はアクセス制御の強化からログ監視の高度化まで幅があり、各組織が自社の環境やリスクに応じて選択していくことになりそうです。攻撃者側がAIを使って効率化を進めている以上、防御側の対応スピードも人手だけに頼るのは限界があるとレポートは指摘しており、自動化された検知・対応の仕組みづくりが今後の論点になりそうです。
出典：Cloudflare公式ブログ「Introducing the 2026 Cloudflare Threat Report」（2026年3月公表）、および同社プレスリリースをもとに作成
商標について：Cloudflareは、Cloudflare, Inc.の米国および他の国における商標です。本記事は同社の公開情報をもとに独自に作成したものです。