- PhaaSとは、フィッシング詐欺の道具一式をサブスク型で売買する犯罪ビジネスモデルのことだ。
- 技術力のない者でも金さえ払えば高度な詐欺を仕掛けられてしまう。だからこそ偽サイトが無限に湧いてくる温床になっている。
- これを知っておくと、次々に新手の詐欺メールが届く理由が腑に落ちて、うかつにリンクを踏まない身構えができる。
この4コマは、なぜ同じような詐欺メールが次から次へと届くのかという、現実に進行している犯罪の分業化を描いたケーススタディです。コマ①の小悪党は、かつてなら技術力の壁に阻まれて詐欺を実行できませんでした。ところがコマ②の闇の業者が、偽サイト・配信システム・サポート窓口をひとまとめにして月額で貸し出すことで、その壁が消えてしまいます。
コマ③でボタン一つの大量ばらまきが成立するのは、攻撃者がゼロから作る必要がなくなったからにほかなりません。開発する側と実行する側が役割を分け合う構造は、まさに正規のクラウドサービスと同じ発想です。この効率化が、被害件数を桁違いに押し上げる原動力になっています。
コマ④でデプロイ太郎が警告するように、供給側を止めきれない以上、守る側は入口ではなく本人確認で食い止める発想が要ります。パスワードを盗まれても侵入されないよう、多要素認証を有効にしておく一手が、個人と企業の双方を守る現実的な最終防衛線になると覚えておきましょう。
なぜPhaaSでフィッシング詐欺が急増しているのか？
PhaaSが詐欺を急増させている理由は、フィッシング攻撃を三つの部品に分解して、そのすべてをサービスとして貸し出す仕組みにあります。攻撃に必要なものを分けて考えると、正体がはっきり見えてきます。
一つ目の部品がフィッシングキット、つまり本物そっくりの偽ログインページや複製サイトです。二つ目が、大量のメールやSMSを送り出す配信インフラ。三つ目が、使い方をサポートする運営窓口で、犯罪であるにもかかわらずカスタマーサポートまで用意されている点に、このビジネスモデルの成熟ぶりが表れています。技術のない人物でも、この三点セットを借りれば一人前の詐欺師として振る舞えてしまうのです。
規模の大きさは数字にも表れています。セキュリティ企業のBarracuda Networksは、2025年1月から2月のわずか2か月間で100万件を超えるPhaaS攻撃を確認したと報告しました。そのうち観測された攻撃の約89%を占めたのがTycoon 2FAという単一のサービスだったとされ、少数の供給元が膨大な攻撃を生み出す構図が浮かび上がります。参入障壁が下がれば実行犯が増え、実行犯が増えれば、被害も増えます。この連鎖こそが急増の正体だと言えます。
PhaaSのよくある誤解
高度なハッカーだけが使う特別な道具だという思い込み
PhaaSの本当の怖さは、むしろ技術を持たない人でも参入できてしまう点にあります。月額料金さえ払えば偽サイトも配信網もサポートも手に入るため、これまで詐欺を実行できなかった層まで犯罪に加わり、攻撃の裾野そのものが広がっているのです。腕利きの犯行というより、既製品を買ってくる犯行だと捉えたほうが実態に近いでしょう。
海外の話であって日本は狙われにくい、という油断はないか
日本は蚊帳の外だと考えるのは危険です。Google Threat Intelligence Group（GTIG）が2026年5月に公開した報告によると、YY来鱼と呼ばれる中国語圏のPhaaSは119か国に対応しながら日本を最大の標的とし、2025年11月以降だけでPayPayや楽天、任天堂、JR、野村證券などを装う400以上の日本向けテンプレートを用意していたと指摘されています。冬季の電気代補助金を騙る文言まで準備されていたと報じられており、日本の生活実態に合わせて作り込まれている点が特徴です。
メール対策さえしておけば安心という誤解
防御をメールフィルターだけに頼るのは片手落ちです。近年のPhaaSはSMSやRCS、iMessage、QRコードなど複数の経路を使い分けるため、メールを警戒していてもSMSから足をすくわれることがあります。さらにAIで偽ページを自動生成し、検知パターンをすり抜けるサービスも登場しており、経路をまたいだ警戒が求められます。
会話での使われ方
先週の勉強会で共有されたんですが、いまのフィッシングはPhaaSっていう犯罪のサブスクで量産されているそうです。技術のない人でも月額で一式そろうから、件数が桁違いに増えているとか。
社外のセキュリティ勉強会に参加した情シス担当者が、翌日のチーム朝会で学んだ内容を同僚に共有している場面。
御社宛の不審メールが急増しているのは、PhaaSで日本の決済サービスを騙るテンプレートが出回っているのが一因です。まずは送信元を検証するDMARCの導入から、一緒に進めませんか。
セキュリティ製品を扱うベンダーの営業担当が、対策を検討している顧客企業の情報システム部門へ提案している商談の場面。
そのメール、PhaaSで作られた偽サイトだから絶対にリンク踏むなよ。
先輩社員が、不審な楽天メールを開こうとしていた新人を、隣の席から一言で制止した場面。
PhaaSの歴史
PhaaSがいつどう成長してきたのかを振り返ると、フィッシングが個人の犯行から組織的なサービス産業へ変わっていった流れが見えてきます。
| 年 | 出来事 |
|---|---|
| 2024年8月 | 日本を主要な標的とするPhaaSYY来鱼が地下フォーラムで宣伝を開始したとされる。 |
| 2025年1〜2月 | Barracuda Networksが、わずか2か月で100万件を超えるPhaaS攻撃を確認したと報告。 |
| 2025年11月 | YY来鱼がPayPayや楽天などを装う400以上の日本向けテンプレートを展開し始めたと報じられる。 |
| 2026年5月 | Google Threat Intelligence Groupが中国語圏PhaaSの高度化を警告する報告を公開。 |
| 現在 | AIで偽ページを自動生成し検知を回避するDarculaなど、生成AIと融合したPhaaSが広がりつつある。 |
PhaaSとフィッシングの違い
PhaaSとフィッシングは密接に関わるため同じ意味だと思われがちですが、片方は攻撃手口そのもの、もう片方はそれを供給するビジネスの仕組みという別のレイヤーの言葉です。
| 比較観点 | PhaaS | フィッシング |
|---|---|---|
| 正体 | 攻撃の道具一式を売る犯罪ビジネスモデル | 偽サイト等で認証情報を盗む攻撃手口そのもの |
| 提供するもの | 偽サイト・配信インフラ・サポートのサブスク | 個々の詐欺メールや偽ページによる詐取行為 |
| 担い手 | 開発者と購入した実行犯が分業する | 攻撃者本人が一連の行為を担う |
| 必要な技術力 | 低くても実行できてしまう | 手口によっては相応の知識が要る |
【まとめ】PhaaSの3つのポイント
- 詐欺のフランチャイズ本部：偽サイト・配信網・サポートを月額で貸し出し、犯罪をパッケージ商品に変えた仕組みがPhaaSの正体です。
- 攻撃の裾野を可視化できる：なぜ詐欺メールが無限に湧くのかを供給側から理解でき、対策の優先順位を立てやすくなります。
- 守りは本人確認に置く：見た目で見破れない以上、多要素認証やDMARCで入口を固めることが個人にも企業にも効く一手になります。
よくある質問
-
QPhaaSは違法ですか？どんな人が使っているのですか？
-
A
結論から言えば、PhaaSの提供も利用も詐欺やなりすましを目的とした明確な犯罪行為です。かつては技術力のある攻撃者に限られていたフィッシングが、月額課金で誰でも実行できる形になったことで、専門知識のない層まで加害側に取り込まれている点が深刻視されています。
-
QPhaaSにはどんな種類があるのですか？
-
A
代表例として、観測された攻撃の約89%を占めたとされるTycoon 2FA、Microsoft 365などを狙うEvilProxy、日本を最大の標的とするYY来鱼、AIで偽ページを自動生成するDarculaなどが知られています。それぞれ得意とする経路や偽装対象が異なり、日々新しいサービスが登場している点が厄介なところです。
-
QPhaaSによる被害を防ぐには何をすればいいですか？
-
A
個人がまず取り組むべきは、多要素認証を有効にしてパスワードが漏れても侵入されない状態を作ることです。あわせてメールやSMSのリンクは踏まずに公式アプリや正規ブックマークからアクセスする習慣が有効で、企業側は送信元を検証するDMARCの導入や従業員教育で組織的に守りを固めるのが現実的でしょう。
-
QPhaaSとフィッシングとの違いは何ですか？
-
A
両者の違いは、フィッシングが認証情報を盗む攻撃手口そのものを指すのに対し、PhaaSはその手口を実行するための道具一式を売買するビジネスの仕組みを指す点にあります。料理そのものがフィッシングだとすれば、PhaaSは調理器具から食材、レシピまで一括で貸し出すサービスに当たり、後者の存在が前者を大量生産可能にしていると整理すると分かりやすいです。
PhaaSと一緒に知っておきたい用語
| 用語 | PhaaSとの関連 |
|---|---|
| フィッシング | PhaaSが供給する攻撃手口の大本。まず押さえておきたい基礎概念です。 |
| スミッシング | SMSを使うフィッシングで、PhaaSが用意する配信経路の一つとして多用されます。 |
| クイッシング | QRコードを悪用する手口で、PhaaSが検知回避のために取り入れる経路です。 |
| AiTM攻撃 | PhaaS製ツールが多要素認証を突破する際に使う中間者攻撃の技術です。 |
| 多要素認証（MFA） | PhaaSによる被害を防ぐうえで、個人がまず有効化すべき基本の防御策です。 |
【出典】参考URL
https://cloud.google.com/blog/topics/threat-intelligence/chinese-language-phishing-services ：Google Threat Intelligence Groupの報告。YY来鱼が119か国対応で日本を最大の標的とし、2025年11月以降400以上の日本向けテンプレートを展開、PayPay・楽天等の偽装や冬季電気代補助金詐欺、DarculaのAI駆動ページ生成を確認。
https://act1.co.jp/column/0070-2/ ：PhaaSの定義（SaaSと同じ犯罪ビジネスモデル）、フィッシングキットの中身、DMARC等の対策の根拠。
https://www.itmedia.co.jp/enterprise/articles/2504/09/news083.html ：Barracuda Networksが2025年1〜2月に100万件超のPhaaS攻撃を確認、Tycoon 2FAが約89%を占めた等の統計の根拠。
コメント