Barracuda：1通のフィッシングメールが今や受信者とその受信トレイAIの両方を標的に

2026年10月7日、Barracuda Researchは、同じメッセージで二人の読み手を狙うように設計されたフィッシングキャンペーンの分析を公開した。その二人とは、メッセージを受け取る人物と、受信トレイを要約するAIアシスタントである。人間向けの半分は目立ったものではない — パスワードで保護された添付ファイルで、そのパスワードが本文に書かれている。Barracudaによれば、この組み合わせは「従来のメールセキュリティ制御に盲点を生み出す」という。後半は新しい。同じメールの中に — HTMLコメント、CSSで不可視にされたテキスト、Base64でエンコードされたブロック、ゼロ幅文字の中に — 隠されているのは、メールを解析するモデルに向けた指示であり、アシスタントに「フィッシングメールを正当または緊急のものとして提示させる」か、あるいは独自に行動させることを意図している。

Barracudaは、調査したサンプルが日常的な社内連絡を装っており、信頼できると判定されるスパムスコアを持ち、公共部門のドメインから発信されていたと述べている。このアーカイブには、確認された被害者も報告された被害も記録されていない。これは侵害された組織の開示ではなく、攻撃パターンに関する研究結果である。Barracudaはキャンペーンの規模を開示しておらず、この研究を報じたInfosecurity MagazineもThe Hacker Newsも、数値を追加することはできなかった。

Barracudaが実際に公開したもの

この記事は、ベンダーによる脅威リサーチのブログ投稿で、タイトルは「Threat Spotlight: メール攻撃は同じメッセージで人間とAIの両方を標的にする」、執筆者はBarracudaの脅威アナリストとされるGuruprasad Kenjaの署名入りだ。URLパスでは2026年10月7日付で、ページ自体には「更新: 2026年10月6日」というスタンプが付いている。Infosecurity MagazineのAlessandro Mascellinoによるニュース記事は10月7日付で、The Hacker Newsの10月8日公開のThreatsDayラウンドアップは同じBarracudaの投稿にリンクしている。URLの日付とページ上のスタンプの間の1日の食い違いはBarracuda自身によるもので、三者はいずれも説明していない。

Barracudaの捉え方では、アシスタントは第二の攻撃対象領域になってしまった。同社の言葉を借りれば、組織は「ユーザーと受信トレイだけでなく、メールデータを取り込み、それに基づいて行動するAIシステムも保護しなければならない」。この調査が述べているのは、新たなエクスプロイトではなく、2つのペイロードを伴う単一のメッセージだ。従来型のソーシャルエンジニアリングの誘いはフィルターが捕捉するために作られたものであり、プロンプトインジェクションはフィルターが歴史的に見てこなかった場所に置かれている。

サンプル：レピュテーションチェックを通過するように作られたもの

バラクーダは、その説明によれば、このメッセージが評判ベースのフィルタリングをすり抜けるのに役立った3つの特性を挙げている：

• From と To のアドレスが同じメールボックスだったため、そのメッセージは外部メールではなく自分宛のメモのように読めました。

• 信頼されたスパム信頼度スコアが付与されていました。

• 公共部門のドメインに由来します。

Barracudaは公共部門のドメインを名指ししておらず、そのドメインがメッセージの真正な発信元だったのか、なりすましだったのかも述べておらず、そのメッセージがいつ観測されたかの日付も示していない。これらは、このキャンペーンがどの程度成功に近づいたかを知ろうとする誰にとっても重要であり、またこれらは一次情報源の欠落であって、別の報道機関が補ったものではない。

隠された半分：指示が密輸される4つの方法

Barracudaは、頻繁に確認される手法として4つを挙げている。4つはいずれも同じ非対称性に依存している。メールクライアントはメッセージをある形で描画する一方、生のソースを読むモデルはクライアントが隠したものすべてを見ているのだ。

そのリストの各項目は、効果ではなくキャリアについての説明であり、Barracuda は、それらのインジェクションが人間ではなくアシスタントに対して作用するよう設計されていると明言している。その記録のタイプタグは IPI — indirect prompt injection（間接プロンプトインジェクション）— であり、これは、モデルが処理するよう求められたコンテンツの内部に届く指示、すなわちユーザーが自ら入力するものではない指示を表す標準的な用語である。

注射は何をするためのものだったのか

Barracudaによるペイロードの目的の説明は、2つの方向性に沿っている。よりソフトな方向性は要約を歪めようとする。人間が添付ファイルを無視した場合、隠されたテキストは、アシスタントにそのメッセージを正当または緊急であると説明させ、受信者に開いてクリックするよう促すことを意図している。Barracudaによれば、これらの指示はどれもユーザーには見えない。より強硬な方向性は、アシスタントを行為者に変えようとする — 「以前の指示を無視」し、代わりに送金、データ漏洩、または偽の緊急アクションを表面化させるよう求める緊急のリクエストを送るように指示する。

Barracudaが挙げる併載の実世界事例は、同じメカニズムが他のAIを介したワークフローにも適用されていることを示している：

• 請求書メールに隠されたテキストブロックが含まれており、それは要約モデルに対して、取引先の支払い詳細を改ざんする偽の優先アクションを追加するよう指示し、従業員を攻撃者への送金へと誘導するもの。

• 隠しテキストによってAIスクリーニングツールに、資質に関係なく応募者を10点満点中10点と評価させ、即時面接を推薦させる履歴書。

• 正規の「メンテナンスモードまたは管理者モード」を装ったリクエストによって、サポートボットに自身の設定を開示させる手口。

• コーディングアシスタントが参照するページ上の汚染されたドキュメント。認証コードを生成するたびに、認証情報を外部に送り出す行を挿入するよう指示するもの。

これらは確認された侵害としてではなく、この手法の例として説明されている。Barracudaの投稿には、要約モデル、スクリーニングツール、サポートボット、コーディングアシスタントが実際の展開で実際に応じたとは何も書かれておらず、アーカイブはreal_harmをfalseとして記録している。

何が確立されており、何がそうではないのか

この区別は、ほとんどのインシデント報告書の場合よりもここでこそ重要になる。なぜなら、この記録が記述しているのは結果ではなく設計だからだ。

• 確認済み：Barracuda Researchは、パスワード保護された添付ファイルと、同じメッセージ内に隠されたプロンプトインジェクションを組み合わせたフィッシングキャンペーンを調査し、2026年10月7日にその分析を公開した。4つの隠蔽手法と4つの使用例は、その投稿で述べられている。2つの独立した報道機関——Infosecurity MagazineとThe Hacker News——が同じ調査結果を報じ、それらに矛盾しなかった。そのため、この記録の信頼度はグレードAと評価されている。

• 未確認：いずれかのアシスタントが実際に乗っ取られたかどうか、何件のメッセージが送信されたか、誰がそれを受け取ったか、そして金銭が動いたのかデータが外部に流出したのか。Barracudaはこのキャンペーンの規模を明かすことを拒否した。規制当局、被害組織、セキュリティベンダーのいずれも特定の侵害を裏付けておらず、またこのサンプルには名前の挙がった当事者が結び付けられていない。

• 争点なし：報道内容のいずれも、Barracudaの説明と矛盾していない。残る疑問は、見解の相違ではなく記載漏れであり、アーカイブはこの調査結果を争われたものとして記録していない。

この記録は、中程度の重大度の調査結果として分類されており、AIの関与が確認されている — AIアシスタントはこのキャンペーンが中心に据えて設計されている対象であり、そのメッセージが異例である理由でもある。これは画期的な事例としては分類されておらず、日付範囲もない。分析はキャンペーンの期間ではなく、2026年10月7日という単一の時点を記述している。

Barracudaが推奨する緩和策

Barracudaの立場は「単一の制御で全てのバリエーションを阻止できるものはない」というものであり、そのため同社の推奨事項は単一の修正ではなく、対策の積み重ねである。同社は、コンテンツがAIシステムに到達する前にそのコンテンツから隠し要素、コメント、不可視文字を除去すること、指示を上書きする言い回しをプロンプトインジェクションのシグネチャとして検出すること、アシスタントをサンドボックス化してその到達範囲を限定すること、アシスタントの応答がアクションを引き起こす前に出力を検証すること、および支払い、ベンダー変更、その他の機密性の高い意思決定に人間の承認を要求することを推奨している。また、繰り返されるインジェクション試行の監視も推奨しており、根本原則として、外部コンテンツを「常にデータとしてのみ扱い、指示から分離しておく」ことを挙げている。

この投稿はまた、Barracuda自身の製品——Email Gateway Defense、Behavioral AI、Automated Threat Response——を、フィルタリングと修復側で同社が販売しているコントロールとして挙げている。これはベンダーが自社カタログを推奨しているものであり、そうした前提で読む価値がある。技術的な推奨事項は製品とは独立しているが、この投稿は、説明されているキャンペーンに対してそのどちらも検証していない。

その記録を保管する価値がある理由

この項目の特有の価値は、以前は別々だった2つの防御が同じメッセージをカバーしなくなる時点を記録していることにある。パスワード保護された添付ファイルは、スキャナがファイルを開けないためコンテンツスキャンを無効化する。隠されたプロンプトインジェクションは、レピュテーションスコアリングが送信者を見ており、言語モデルが本文をどう扱うかは見ていないため、レピュテーションスコアリングを無効化する。それらを1通のメールに組み込めば、障害モードが積み重なる。信頼できるスコアを根拠にメッセージを通過させるフィルターは、次に受信トレイを読むものに向けられたペイロードも通過させてしまっている。Barracudaのサンプルは、この組み合わせが仮説ではないことを示す実証例である。

この記録 — バラクーダによる二重標的型フィッシングに関する調査結果 — は、OrcaRouter AIインシデントアーカイブに収録された1件であり、同アーカイブはAIインシデント、調査結果、評価を、上記と同じフィールド（重大度、信頼度、異議申し立ての有無、実際の被害）を用いて追跡しています。