ぬるくなったコーヒーをこぼしたくなるような統計がある。かつて、フィッシングキット市場は犯罪者にとってDIYの悪夢だった。ログインページをどこかで手に入れ、ドメインローテーターをまたどこかで調達し、それを自前のサーバーでサイバー犯罪のフランケンシュタインのように繋ぎ合わせる必要があったのだ。
もうそんな時代ではない。
Varonis Threat Labsが、全くもって「特化型」ではない、オールインワンモデルを謳う新しいフィッシングキット「Bluekit」のベールを剥がした。40種類以上のウェブサイトテンプレート、ドメインの自動購入・登録、二要素認証（2FA）サポート、なりすまし、ジオロケーション（位置情報）トリック、Telegramやブラウザ通知機能、さらには秘密裏のアンチボット機能まで搭載されている。そして、トドメは何だと思う？ AIアシスタントや音声クローニングといったアドオンだ。どうやら、単に認証情報を盗むだけでは、もうドラマチックさが足りなくなったらしい。
これらのテンプレートも、控えめなものではない。メールやクラウドアカウント（iCloud、Gmail、Outlook——いつもの連中）、GitHubのような開発者プラットフォーム（ヤバい）、ソーシャルメディア、大手小売業者、さらには仮想通貨の世界までカバーしている。Ledger、Zara、Twitter——Bluekitはすべてを飲み込もうとしている。
結局、誰が儲かっているのか？
ここで、私が20年かけて見てきた、シリコンバレーが魔法（あるいは、時にはただの煙）を紡ぎ出す様が活きてくる。古いモデルでは、攻撃者にある程度の技術的知識が必要だった。インフラ、基本的なネットワーク、そしてバラバラのサービスをどう連携させるかを理解する必要があったのだ。それは、いくらかの人間にとっては、低いとはいえ、一つの壁だった。
Bluekitはその壁を完全に破壊した。スピードと規模を追求し、技術に精通した者だけでなく、既製の武器を買う意思のある者すべてをターゲットにしている。いつものように、本当の金はツールの作成そのものにあるのではなく、その広範な普及と有効性にある。もしBluekitが使いやすく、確実に認証情報を獲得できるなら、その作成者は、より広範な犯罪者層からのライセンス料やサブスクリプション料で巨額の富を築くだろう。
Bluekitが1つのパネルに詰め込んでいるもの
過去の、扱いにくい複数ベンダーのアプローチは忘れろ。VaronisはBluekitを入手し、徹底的に調査した。このキットは、フィッシングワークフローの驚くほど多くの部分を、単一のダッシュボードに集約している。サイト作成、ドメイン設定、不正に得た利益（ログ）の管理、配信ツール、キャンペーンサポートまでだ。Telegramは、データの外部送信のためのデフォルトチャンネルとしてすでに組み込まれている。まさに、なりすましによる個人情報詐欺のためのスイスアーミーナイフだ。
オペレーターダッシュボードが、その（恐怖の）魔法が起こる場所だ。フィッシングページや捕獲したログを管理しているのと同じインターフェースから、ドメインを購入または接続できる。複数のサービスを使い分ける必要はもうない。この合理化は、犯罪界における効率化にとって計り知れないほど大きな意味を持つ。サイト作成の流れも、このシンプルさを反映している。ドメインを選び、モードを選択し、眩暈がするようなブランドリストから選ぶ。超簡単だ。
そして、ページを立ち上げるだけで終わりではない。Bluekitは、サイトが公開された後にどのように動作するかについて、きめ細かな制御を提供する。ログイン検出、リダイレクトトリック、アンチ分析対策、デバイスフィルター——すべてが同じ設定パネルからアクセス可能だ。プロキシ設定や、ログイン後のセッション処理方法のチェックまで組み込まれている。これはもはや、ユーザー名とパスワードを引っ掛けるだけでなく、コントロールを維持し、侵害後の被害者の体験を可能な限り混乱させ、損害を与えるためのものだ。
「Mammoth Details」ビューという名称は不穏に聞こえるが、その通りだ。セッションの状態を追跡し、Cookieやローカルストレージをダンプし、被害者がログインした後に見ているものをリアルタイムで表示する。このキットは明らかに、基本的な認証情報取得以上のことを扱っている。侵害されたユーザーの詳細なプロファイルを、永続的に構築しているのだ。
裏に隠されたAIアシスタント
さて、そのAIについてだ。ここからが特に…興味深くなる。Bluekit内部では、AIアシスタントは「破壊されたLlama」デフォルトからGPT-4.1、Claude Sonnet 4、Gemini、DeepSeekといった複数のモデルオプションを誇っている。私の内部の「嘘発見器」はすでに限界を超えている。Varonisがテストした際、アクセスできたのはデフォルトのLlamaモデルだけだった。商用モデルは表示されたものの、追加の設定が必要で、彼らはそれを持っていなかった。うーん。
これは単なる理論上の懸念ではない。もしこれらの商用モデルが実用的であれば、それは jailbroken（不正改造された）あるいは何らかの許可されたインスタンスを経由してアクセスされていることを意味する。なぜか？ なぜなら、標準的で適切に設定されたAIサービスは、フィッシングに必要な種類の出力をブロックまたは検閲する可能性が高いからだ。
「我々は、洗練されたフィッシングコパイロットに近いものを期待していた。完成した誘い文句、よりクリーンなメールコピー、そしておそらく手作業を減らした、QRコード駆動型の実行可能なフローさえも。しかし、受け取ったものははるかに限定的だった。アシスタントは構造化されたキャンペーンドラフトを返したが、その多くは、そのまま使用できるコンテンツの代わりにプレースホルダーに依存していた。」
彼らのテストキャンペーンは、架空の企業のCISOを対象とし、Microsoft 365のMFA再検証を誘い文句に、ブランド化されたQRコードと洗練されたメールを備えていた。AIの出力は？ 構造化されたドラフトは確かに得られたが、プレースホルダーと一般的なリンクフィールドでいっぱいだった。コピーは修正が必要だった。それは、完成したフィッシングオペレーションというよりは、キャンペーンの骨格のように見えた。つまり、AIはまだ欺瞞の交響曲を書いているわけではなく、オーケストラのためのラフなアウトラインを提供しているようなものだ。
Bluekitがエコシステムの中で占める位置
Bluekitは、Varonisのレーダーにはしばらく前から載っていた。開発者は継続的なリリースサイクルで、新機能を次々と投入しているようだ。この執拗な反復は、かなりの投資と、防御策の一歩先を行くためのコミットメントを示唆している。それは、明らかに違法なビジネスだが、彼らはそれをビジネスとして扱っているのだ。
AIの統合は、当初宣伝されていたほど高度ではないかもしれないが、フィッシングキット市場の明確な方向性を示している。目標は自動化と高度化だ。技術的な障壁を下げ、より高度なツールを提供することで、Bluekitのようなキットは、より広範なアクターに、より効果的で、潜在的により損害の大きな攻撃を実行する力を与える。
これはもはや個々のフィッシングキャンペーンだけの問題ではない。これはサイバー犯罪の工業化であり、高度なツールがコモディティ化され、アクセス可能になっているということだ。かつての特化型市場は、効率性と有効性を約束するオールインワンソリューションに道を譲った。テクノロジーが進歩するにつれて、それを悪用しようとする者たちが利用できるツールもまた進歩するという、厳しい現実を思い起こさせるものだ。
**
🧬 関連インサイト
- さらに読む： Swarm Intelligence Under Siege: How Attackers Crack Amazon Bedrock’s Multi-Agent Fortress
- さらに読む： Meta Safety Boss Races to Stop OpenClaw from Wiping Her Inbox
よくある質問
Bluekitは具体的に何をするのか？ Bluekitは、ウェブサイトテンプレート、ドメイン登録、2FAサポート、AIアシスタントを単一プラットフォームに統合したオールインワン型フィッシングキットであり、サイバー犯罪者がフィッシングキャンペーンを展開するために使用する。
これは従来のフィッシングキットに取って代わるのか？ 高度なフィッシング機能をより利用しやすくすることで市場に大きな影響を与え、古い、統合されていないキットを時代遅れにする可能性が高い。
BluekitのAIコンポーネントは本当にインテリジェントか？ 初期テストによると、AIアシスタントは主にキャンペーン構造とプレースホルダーを含むテンプレートを提供するものであり、完全に洗練された、そのまま使用できるコンテンツを作成するものではない。洗練されたライティングツールというよりは、骨格ジェネレーターとして機能する。
