「実サイト中継」型フィッシングの新手口：MFA（多要素認証）をすり抜ける仕組みと防衛策
2026年2月22日更新 · 読了時間12分
「MFAを有効にしているから大丈夫」——そう思っていても、ログイン画面そのものを“中継”されるタイプのフィッシングでは話が変わります。近年増えているのは、偽サイトに似せた静的なコピーではなく、本物のログインページをその場で表示し、入力内容と認証コードまでリアルタイムで中継して奪う手口です。この記事では、この攻撃がなぜ成立するのか、どんな兆候があるのか、そして捨てメール／使い捨てメール＋認証コード（OTP）の隔離を含む、現実的な防衛策を日本語で整理します。
なぜ「本物のログイン画面」でも危ないのか
従来のフィッシングは、ブランドのログイン画面をコピーして、そこに入力されたIDとパスワードを盗むのが中心でした。これに対して“実サイト中継”型（リバースプロキシ型）の攻撃は、ユーザーを偽のドメインに誘導しつつ、裏側では本物のサイトと通信します。ユーザーから見ると「見慣れたログイン画面」そのもので、URLの一部が紛らわしいだけ、というケースもあります。
この方式が厄介なのは、攻撃者が認証フローを丸ごと“中継”できる点です。つまり、ID・パスワードに加え、ワンタイムパスワード（OTP）やアプリ承認などのMFA手順も、攻撃者のインフラを経由してしまう可能性があります。正規サイト側は「正しいユーザーが正しいコードを入力した」と認識し、結果としてセッションが成立します。攻撃者はその過程でセッショントークンやCookieを奪い、本人になりすましてログイン状態を再現します。
重要ポイント：MFAは「盗まれにくい」ではなく「盗みにくい」だけ
MFAが弱いのではありません。問題は、攻撃者があなたの入力と正規サイトの反応を“同時に扱える”と、MFAが想定している「遠隔の第三者がコードだけ入手してもログインできない」という前提が崩れやすいことです。中継がリアルタイムで行われると、OTPは“盗んだ後に使う”のではなく、あなたが入力した瞬間にそのまま使われるためです。
対策の核は、URLの精査だけではありません。認証コードを受け取る経路・アカウント・端末の分離（＝OTP隔離）と、被害の拡散を抑える運用にあります。
典型的な流れ：リンク、ログイン、MFA、セッション乗っ取り
“実サイト中継”型フィッシングの代表的な流れを、ユーザー視点で分解します。どこで判断ミスが起きやすいかが見えてきます。
攻撃の4ステップ
ステップ1：紛らわしいURLに誘導
メールやSMS、SNS広告からリンクを踏ませます。古典的ですが有効なのが「@」を混ぜて見た目を誤認させる手法です。人間は先頭のドメインに目を奪われやすく、後半の実際のホスト名を見落としがちです。
ステップ2：本物のログイン画面を表示
静的コピーではなく、裏側で正規サイトを読み込みます。UIが本物なので違和感が小さく、パスワードマネージャーも条件次第で反応しない（＝警告サイン）ことがあります。
ステップ3：MFAの入力や承認も中継
OTPやプッシュ通知の承認など、二段階目の操作をそのまま正規サイトに転送します。あなたは“正規サイトにログインしているつもり”ですが、通信は攻撃者の中継点を経由します。
ステップ4：セッショントークンを盗み、乗っ取りへ
ログインが成立すると、ブラウザのセッションCookieやトークンが発行されます。攻撃者がこれを入手すると、パスワード変更前でも“ログイン済み状態”を再利用される恐れがあります。
見抜くためのチェックリスト（URLだけに頼らない）
リンクを踏む前の確認は重要ですが、それだけでは限界があります。そこで「挙動」と「運用」での検知もセットにします。
兆候チェック（当てはまるほど危険）
- URLが長すぎる／見慣れないサブドメインや文字列が付いている
- 「@」がURL内に含まれている、または短縮URLで実体が見えない
- パスワードマネージャーが“いつものサイトなのに”自動入力しない
- ログイン後に不自然なリダイレクトや追加の入力要求が続く
- 「今すぐ」「緊急」「停止」など心理を揺さぶる文言が多い
最優先の防衛策：OTP隔離と“捨てメール”の使い分け
このタイプの攻撃は、あなたの操作がリアルタイムに利用されます。だからこそ、被害が起きた後に“連鎖的に取られる”範囲を最小化する設計が効きます。特に重要なのが、アカウント登録時のメールアドレス設計です。
多くのサービスは「パスワードリセット」や「MFAリセット」をメールで行えます。もしメールボックスが標的になれば、攻撃は雪だるま式に拡大します。そこで、サービスごとに使い捨てメール（捨てメール）を分け、さらに認証コード（OTP）を受け取る経路も分離します。
実践：アカウントを3種類に分類してメールを分ける
A）“捨てても困らない”登録（ニュースレター、試用、資料DL）
- TempForwardでサービスごとに別アドレスを作る
- スパム化したらワンクリックで遮断（転送停止）
B）“重要だけどメインに紐づけたくない”登録（EC、コミュニティ、サブ口座）
- ログイン通知や決済通知は受けたいが、漏洩時の追跡は避けたい
- サービス別の捨てメールで、漏洩時の被害範囲を局所化
C）“最重要”登録（銀行、メイン業務、管理者権限）
- メールは最重要用に分離し、可能なら専用端末・専用ブラウザに寄せる
- OTPはSMS依存を避け、認証アプリ／ハードウェアキーを優先
- ログインはブックマーク経由（メールのリンクから入らない）を徹底
もし入力してしまったら：30分以内にやること
“中継”型はスピード勝負になりがちです。被害を最小化するための、優先順位付きチェックリストを置いておきます。
緊急対応チェック（上から順に）
- 正規サイトをブックマークから開き、即パスワード変更（使い回しがあれば全部）
- セッションの強制ログアウト（「すべての端末からログアウト」）を実行
- MFAの再設定（可能なら認証アプリ／ハードウェアキーへ移行）
- アカウントの回復用メール／電話番号が変更されていないか確認
- 同じメールアドレスを使っている他サービスも監視（通知・ログ）
TempForwardが役立つポイント
TempForwardは「捨てメール／使い捨てメール」をサービスごとに分離して運用できるため、漏洩したときの被害範囲を狭めるのに向いています。中継型フィッシングは、1回のミスから複数サービスへ連鎖しやすいのが特徴です。入口を分け、怪しい流入を遮断できる設計が効きます。
本当のアドレスを出さない
登録用のアドレスを分離すると、漏洩しても「あなたの本命アドレス」への到達を遅らせ、追跡やスパムを抑えられます。
ワンクリックで遮断
怪しい通知が増えたサービスは転送を止めて、被害拡大を抑えます。運用の“逃げ道”があるのは大きいです。
サービス別に分離できる
同じメールを使い回すと、1つの漏洩が連鎖します。分離は「被害の局所化」に直結します。
認証運用の土台を整える
OTP隔離やブックマーク運用と組み合わせることで、フィッシング耐性を底上げできます。
まとめ：中継型フィッシングに強くなるコツ
“実サイト中継”型のフィッシングは、見た目が本物に近く、MFAを有効にしていても突破され得るのがポイントです。だからこそ、URLだけでなく「挙動」「運用」「隔離」で守る必要があります。
今日からできる現実的な対策は、（1）メールリンクからログインしない（ブックマーク／公式アプリ）、（2）パスワードマネージャーの警告を重視する、（3）MFAをアプリ／キー優先にする、そして（4）サービス別の捨てメール運用で被害を局所化する、です。
攻撃はますます“サービス化”して簡単になります。防御側は、ミスが起きても致命傷にならない設計に寄せるのが現実解です。まずは、登録用メールを分けるところから始めましょう。