2026年版DBIRが明らかにしたこと：攻撃はブラウザ内に潜んでいる

毎年、ベライゾンの「データ侵害調査報告書（DBIR）」は、業界にとっての実態を示す基準となっています。その価値は、単に表向きの数値にあるだけでなく、複数の独立したデータソースが攻撃者の手口における同じ構造的変化を示唆する「収束の兆候」にもあります。こうした収束の兆候は、注目に値するものです。

今年、Verizon 2026年版DBIRへの寄稿者として、Keep Awareチームはその収束傾向をいち早く把握していました。

本記事では、2026年DBIRのデータとKeep Aware独自のブラウザテレメトリが一致する具体的な領域、およびブラウザ層のデータがネットワークやエンドポイントツールでは完全に見逃されてしまう情報を明らかにする領域について解説します。

シャドウAIは企業の主要なリスクとなった

Verizon DBIRでは、シャドウAIがデータ損失防止（DLP）データセットにおいて観測された、悪意のない内部関係者による行動の中で3番目に多いものと特定され、前年比で4倍に増加しました。

従業員は通常、データを外部へ持ち出そうとしているわけではありません。むしろ、タスクを遂行するために利用可能な最も迅速なツールを使用しているのです。これは、組織が管理された代替手段を承認・提供するための時間を確保する前に、内部文書やソースコードを個人のChatGPTセッションに貼り付けることが増えていることを意味します。

企業環境における不正なAI利用の規模は、本レポートの最も重要な発見の一つです。ユーザーの67％が、個人の非企業アカウントを通じて社用デバイスでAIサービスにアクセスしており、従業員の45％が現在、定期的なAIユーザーと見なされています。

Keep Awareのブラウザテレメトリは、これらのAIサービスがどのように利用されているかについて、さらなる洞察を提供しています。 AIプロンプト入力の半数以上が個人アカウントに送信されており、機密性の高いプロンプトのアップロードの23％では、データが個人アカウントまたは未検証のアカウント（つまり、企業のDLPポリシーやログ記録インフラの適用範囲外）を経由しています。これは、AI利用に伴う現実的なリスクを如実に示しています。

認証情報の悪用とブラウザの検知の死角

2026年のDBIRによると、情報漏洩の39%に認証情報の悪用が関与していました。 Keep Awareの2025年の攻撃データによると、ブラウザベースの攻撃の中で最も多いのが「ブラウザ経由の認証情報窃取」であり、観測された脅威活動の約41%を占めています。これは、ブラウザでの認証情報窃取が、将来的な情報漏洩の成功につながることを示唆しています。

この攻撃ベクトルをさらに深刻にしているのは、当社のデータが示すように、これらの攻撃の大部分が従来のツールでは検知できないという点です。

Keep Awareの分析によると、Microsoftを装ったフィッシングサイトの63%は、従業員が接触した時点でVirusTotalのベンダーによってフラグが立てられておらず、インテリジェンスフィードやエンドポイントツールに明らかな検出のギャップがあることが示されています。

さらに言えば、Keep Aware が観測した認証情報の窃取の試みの 100% が、ネットワークプロキシ、DNS フィルター、エンドポイントエージェントといった既存の非ブラウザ型セキュリティ制御を、ブロックされることなく通過していました。

これらはいずれも検知に失敗しました。唯一信頼できる検知ポイントは、ページがレンダリングされ、ユーザーの操作が実際に発生するブラウザ内部のみです。

ブラウザ拡張機能：特権的、管理対象外、そして拡大中

アドオンは、あらゆるページのコンテンツを読み取り、変更し、操作することができ、ブラウザのコンテキスト内からデータを外部へ持ち出すことも可能です。これにより、拡張機能は通常なら厳格な監視が求められるレベルのブラウザ特権を持って動作することになりますが、データが示す現実は異なります。

2026年のDBIRでは、平均的な企業において、ユーザーの15%以上が許可されていないAI拡張機能をインストールしていることが指摘されました。しかし、拡張機能の問題はAIツールだけに留まりません。

Keep Awareの拡張機能テレメトリデータによると、当社の顧客ベース全体で観測されたユニークなブラウザ拡張機能の13％が、高リスクまたは重大なリスクに分類されていました。

運用上さらに重要な発見は、評判の悪い拡張機能の93％が、ブラウザのマーケットプレイスによって「生産性」ツールとして分類されていたという点です。これは、ほとんどの許可リストポリシーが安全とみなすまさにそのカテゴリーです。この脅威クラスにおいて、カテゴリーベースの許可リストは実質的に無意味なものとなります。

ClickFixとブラウザネイティブのソーシャルエンジニアリング

2026年版DBIRとKeep Awareの「ブラウザセキュリティ状況レポート」の両方で、ClickFixは注視すべき新たな手法として指摘されています。

VerizonのDBIRによると、ClickFixはブラウザで検出された攻撃の2.7%を占めていました。これは小さな割合ではありますが、ブラウザベースのソーシャルエンジニアリングの進化を示唆するものです。

ClickFix は、ユーザーに知らぬ間にブラウザやホストマシン上で悪意のあるコードを実行させるために使用される、欺瞞的なソーシャルエンジニアリングの手法です。

この脅威はブラウザ内で発生します（多くの場合、侵害されたウェブサイトへのアクセス、時にはLLMチャットの応答を通じて）。しかし、すぐにエンドポイントへと移行し、情報窃取ツールや攻撃者へのリモートアクセスによってマシンを侵害します。

影響を受けるのはエンドポイントですが、ソーシャルエンジニアリングの媒体であり、第一防衛線となるのはブラウザです。

人的要因は依然として（ブラウザにおける）問題である

2026年のDBIRによると、侵害の62%に人的要因が関与しており、インシデントの16%はフィッシングによって引き起こされていました。Keep Awareのブラウザ層データによると、2025年に観測されたブラウザ攻撃の46%をフィッシングとソーシャルエンジニアリングが占めています。

この「人的要因」に関する知見は、しばしばトレーニングや意識啓発の問題として捉えられがちです。しかし、攻撃者はブラウザベースのソーシャルエンジニアリング戦術を絶えず進化させています。例えば、一見無害な中間サイトへのフィッシングリンク、リダイレクトチェーン、自動スキャナーに対して異なる表示を行うページ、正規のウェブサイトへのコンテンツホスティング、そして気付かれにくいクリップボードへの書き込みなどです。

ブラウザレベルの可視化は、人的要因の問題そのものを解決するものではありませんが、攻撃がすでに悪用された後の下流の痕跡を探すのではなく、人間のインタラクションが実際に発生している地点へと検知ポイントをシフトさせるものです。

セキュリティチームにとっての意義。

シャドウAI、認証情報の窃取、悪意のある拡張機能、そしてClickFixのようなブラウザ固有のソーシャルエンジニアリング手法には、共通の特徴があります。それらはすべてブラウザ内部で実行され、ブラウザ層において最も顕著に、あるいは唯一可視化される痕跡を生成する点です。

ネットワーク、エンドポイント、およびIDのテレメトリのみに依存するセキュリティ対策では、攻撃者が活動する方法を学び尽くしたまさにその場所に、今後も死角が残り続けることになる。

ブラウザはもはや単なるアプリケーションではありません。多くの企業ユーザーにとって、それは仕事そのものです。そのセキュリティ確保は、もはや任意の選択肢ではありません。

もし御社のセキュリティスタックが、ブラウザセッション内部で何が起きているかを見通せていないのであれば、攻撃者にその隙を突かれる前に、そのギャップを把握しておく価値があります。Keep Awareのデモをリクエストして、現在のツールに何が欠けているかを確認してください

Keep Awareは、Verizonの「2026年データ侵害調査レポート」にデータを提供しました。Keep Awareの 「2026年ブラウザセキュリティ状況レポート」はこちらからご覧いただけます。

Keep Awareによる提供・執筆。