セキュリティ業界において、長年信じられてきた「鉄則」が崩れ去ろうとしている。「怪しいと思ったらURLを確認せよ」——この古典的なアドバイスは、もはや通用しない段階に突入した。
Trellixをはじめとする複数のセキュリティベンダーが2026年初頭に相次いで発した警告は、衝撃的なものだ。Facebook等のユーザーを標的とした「Browser-in-the-Browser（BitB）」攻撃が急増しており、その手口はITリテラシーの高い層さえも欺くレベルに達しているという。攻撃者がWeb技術を悪用し、人間の認知と信頼を逆手に取った「知能犯的犯行」へのパラダイムシフトと言えるだろう。
本稿では、最新の調査レポートを基に、なぜ今BitB攻撃が猛威を振るっているのか、その技術的背景と心理的トリック、そして私たちが講じるべき具体的な防衛策について見ていきたい。
視覚的信頼の崩壊：Browser-in-the-Browser（BitB）とは何か
私たちがWebブラウザで「ログイン」ボタンを押した際、小さな別ウィンドウ（ポップアップ）が開き、GoogleやFacebook、Microsoftのアカウント認証を求められることがある。これはOAuth認証と呼ばれる正規の仕組みであり、日常的な光景だ。BitB攻撃は、この「日常」を完璧に模倣する。
「嘘」の中に描かれた「真実」の幻影
従来のフィッシング詐欺は、偽サイトへ誘導し、URL（ドメイン名）を似せることでユーザーを騙そうとした（例: faceb00k.com）。しかし、BitBのアプローチは根本的に異なる。
攻撃者は、HTML、CSS、JavaScriptを駆使して、閲覧中のページ内に「偽のブラウザウィンドウ」を描画する。これはOSやブラウザが生成する本物のウィンドウではなく、Webページの一部として表示される「絵」に過ぎない。しかし、その「絵」の中には、以下の要素が完璧に再現されている。
- 信頼できるSSLの南京錠アイコン
- 正確な正規のURL（例:
https://www.facebook.com/login...） - 見慣れたブラウザのUIデザイン
ユーザーが「URLが正しいか」を目視で確認したとしても、そこに見えているのは攻撃者が意図的に表示させたテキストデータであり、ブラウザのアドレスバーではないのだ。これが、Trellixの研究者が警告する「視覚的な検出がほぼ不可能」である理由だ。
標的は30億人の巨大帝国
今回、攻撃の主戦場となっているのは月間アクティブユーザー数30億人を超えるFacebookだ。Trellixの観測によれば、2025年後半からBitBを用いたFacebook認証情報の窃取キャンペーンが急増している。
攻撃者の目的は明確だ。アカウントを乗っ取り、その社会的信用を利用してさらなる詐欺を拡散させること、個人情報を収集すること、そして連携している他のサービスへのアクセス権を得ることである。また、SteamやMicrosoftのアカウントも同様の手口で狙われていることが確認されており、この手法が特定のプラットフォームに依存しない普遍的な脅威であることを示唆している。
攻撃の解剖学：あなたを追い詰める「恐怖」と「信頼」のシナリオ
BitBという高度な技術を成功させるためには、ユーザーをそのページまで誘導し、心理的に動揺させる「演出」が必要不可欠だ。最新のキャンペーンでは、以下のような洗練されたソーシャルエンジニアリングが展開されている。
1. 侵入点：権威を騙る「緊急通知」
攻撃の起点は、巧妙に作られたフィッシングメールである。ここでも、「恐怖」と「緊急性」が利用される。
- 偽の法律事務所からの通知: 「著作権侵害に関する法的通知」などを装い、即座に対応しなければ法的措置を取ると脅す。
- Metaセキュリティチームのなりすまし: 「アカウント停止の警告」「不正ログインの検知」「システムアップデートによる再認証」など、ユーザーの不安を煽る件名が並ぶ。
これらはすべて、ユーザーの冷静な判断力を奪い、反射的にリンクをクリックさせるための罠だ。
2. インフラの悪用：信頼されるクラウド基盤の影で
ここからが、現代のフィッシング攻撃の真骨頂である。攻撃者は、自前の怪しいサーバーではなく、NetlifyやVercelといった、正規の開発者が使用する信頼性の高いクラウドホスティングサービスを悪用している。
- セキュリティフィルターの回避: 企業のセキュリティゲートウェイやブラウザの保護機能は、
netlify.appやvercel.appといったドメインを「安全」とみなす傾向がある。攻撃者はこの「ホワイトリスト」にタダ乗りしているのだ。 - URL短縮サービスの多重化: さらに、
lnk.inkやrebrand.lyなどのURL短縮サービスを介在させることで、最終的な着地ページを隠蔽し、セキュリティ解析を困難にしている。
3. CAPTCHAによる「逆選別」
皮肉なことに、攻撃者はボット対策として使われるCAPTCHA（「私はロボットではありません」のチェック）を悪用している。フィッシングページにアクセスする前に偽のCAPTCHA画面を挟むことで、自動化されたセキュリティスキャナー（クローラー）を排除し、「本物の人間」だけを罠のページへ通す仕組みを構築しているのだ。
4. 仕上げ：BitBによるクレデンシャル窃取
こうして選別された被害者が、いざ「異議申し立て」や「アカウント確認」を行おうとすると、画面上にあの「偽のポップアップ」が表示される。中には本物のURLが表示されており、疑うことなくパスワードと二要素認証コードを入力してしまう。その情報は即座に攻撃者のサーバーへと送信される。
なぜBitBは「パスワード管理ツール」の壁を超えられないのか
ここまで読むと、BitBは防ぎようのない完全犯罪のように思えるかもしれない。しかし、この技術には構造的な弱点が存在する。そしてその弱点こそが、私たちが身を守るための最大の武器となる。
防衛策1：物理的な検証「ドラッグ＆ドロップ」
BitBで表示されるウィンドウは、あくまで「ブラウザの中に描かれた絵」である。したがって、ブラウザのタブの外へドラッグして移動させることができない。
- アクション: ログイン画面が表示されたら、そのウィンドウのタイトルバーをマウスで掴み、ブラウザの枠外へドラッグしてみること。
- 判定: もしウィンドウがブラウザの端で止まってしまい、外に出せなければ、それは100%偽物（BitB）である。本物のOSウィンドウであれば、自由にデスクトップ上を移動できるはずだ。
防衛策2：パスワードマネージャーの「沈黙」を信じる
ブラウザ標準の機能や、1Password、Bitwardenといったパスワード管理ツールは、人間のように「見た目のURL」で判断しない。彼らは裏側にある「本当のドメイン」を参照する。
- メカニズム: 見た目が
facebook.comであっても、実際の接続先がフィッシングサイトであれば、パスワードマネージャーは「一致するログイン情報なし」と判断し、自動入力を拒否する。 - 教訓: もしパスワードマネージャーが自動入力をしない場合、手動でコピペして無理やりログインしようとしてはならない。「ツールが壊れた」のではなく、「ツールがあなたを守った」可能性が極めて高いからだ。
防衛策3：FIDO/Passkeyへの移行
攻撃者がどれほど巧妙にパスワードを盗み出そうとしても、物理的なセキュリティキーや、生体認証を用いる「パスキー（Passkey）」が設定されていれば、リモートからのログインは阻止できる。これらはフィッシング耐性が極めて高く、BitB攻撃に対する「最終防衛ライン」となる。
AIとクラウドが生んだ「新たな脅威の生態系」
今回のBitB攻撃の急増は、単発的な事件ではない。攻撃ツールキット（Phishing-as-a-Service）の高度化により、高度な技術を持たない犯罪者でも、NetlifyやVercelといった正規インフラを悪用し、BitB機能を備えたフィッシングサイトを容易に構築できるようになったことが背景にある。「Sneaky2FA」のようなフィッシングキットがBitB機能を標準搭載し始めているという報告は、この傾向が今後さらに加速することを示唆している。
私たちが直面しているのは、人間の「目」による確認が通用しない時代だ。
「法律事務所からの警告」や「アカウント停止」という言葉に心拍数が上がった時こそ、一度立ち止まる必要がある。そして、自分の目ではなく、パスワードマネージャーやウィンドウの挙動といった「客観的な事実」に信頼を置くこと。それが、デジタル空間における生存戦略となるだろう。
Sources
