ビッシング、別名ボイスフィッシングは、電話や音声メッセージによって行われるフィッシング攻撃の一種です。音声メッセージ、ビデオ通話、電話などがあります。企業や個人を対象に、データや資金を盗んだり、さらなる詐詐を行ったりするために使用されます。

人の声はもはや信用できません。AI音声クローン技術により、攻撃者は家族や親しい友人に容易になりすますことができ、疑いを抱かせないほど聞き覚えのある声を出せます。

AI音声クローン技術の登場により、企業がビッシング詐欺に対する防御を強化することがかつてないほど重要になっています。説得力のある偽の音声を使って役員、従業員、取引先、またはお客様になりすますことができ、不正支払い、認証情報の盗難、アカウント乗っ取り、データ侵害、および内部業務の混乱のリスクが高まります。

これらの攻撃は通常の業務プロセスや信頼できる関係を悪用するため、組織は、発信者の声が聞き覚えがあるか、説得力があるかに依存しない検証手順を必要としています。

ビッシングとは？

ビッシングは、電話や音声メッセージを通じて行われるフィッシングの一種です。詐欺師は銀行、勤務先、政府機関、家族などの信頼できる人物や組織になりすまし、被害者をだまして機密情報を共有させたり、お金を送信させたり、その他の行動をとらせたりします。

この名称は「ボイス」＋「フィッシング」に由来します。これは、音声通話の代わりにSMSやテキストメッセージを使用して同様の詐欺を行うスミッシングと密接に関連しています。

今日では、ビッシングにAI音声クローン技術が使われることもあり、詐欺師が実在の人物の声を模倣して電話の説得力を高めることができます。

ビッシングの仕組みとは？

ビッシングは通常、なりすまし、ソーシャルエンジニアリング、緊急性を組み合わせて行われます。リアルタイムの会話の圧迫感を利用して、依頼を検証する時間を与える前に相手に行動を起こさせます。発信者はITサポートを装ってログインの確認を求めたり、不審な取引を調査する銀行員を装ったり、支払いの承認を緊急に必要としている役員になりすましたりすることがあります。

フィッシングメールとは異なり、調べるべき不審なリンク、添付ファイル、見覚えのない差出人アドレスが存在しない場合があります。特にAI音声クローン技術が使われている場合、発信者の声は落ち着いていて説得力があり、聞き覚えのある声に聞こえることさえあります。

目的は通常、被害者を説得して認証情報やワンタイムコードを提示させたり、振込を承認させたり、アカウントへのアクセスをリセットさせたり、通常のセキュリティプロセスを迂回させたりすることです。ビジネス環境では、財務スタッフをだまして支払いを承認させたり、ITサポートになりすましてログイン詳細を収集したり、従業員を説得して攻撃者に会社のアカウントへのアクセス権を与えさせたりすることが該当します。

AIによりビッシングの検知が難しくなる

従来のビッシング詐欺は、質の低いスクリプト、明らかな脅迫、騒がしいコールセンター、説得力のない話ぶりによって見破られることがよくありました。今でもそうしたケースは存在します。しかし、企業はもはや音質、自信に満ちた話し方、声の親しみやすさを、その電話が本物である信頼できる証拠として扱うことはできません。

AI音声クローン技術により、実在の人物を極めて正確に模倣し、信憑性の高い依頼を作成することが可能になります。攻撃者は、複製した音声に発信者番号スプーフィングや、LinkedIn、会社のウェブサイト、公開インタビュー、SNS、過去のデータ侵害から収集した個人詳細を組み合わせることができます。

そのため、親しい声を信頼のシグナルとして使用することは特にリスクが高くなります。人は自然と、口調、自信、言い淀み、知っている人の声に聞こえるかどうかで発信者を判断します。AIはこれらのキューの多くを再現できるため、なりすまされた役員、同僚、業者、IT従業員の声を、落ち着いた、急いだ、権威のある、あるいは心配そうな声に聞こえさせることができます。

2025年、FBIは警告を発し(新しいウィンドウ)、悪意のある攻撃者がスミッシングやAI生成された音声メッセージを使用して米国の政府高官になりすまし、信頼を築いて個人アカウントへのアクセス権を得ようとしていると発表しました。

企業にとって、攻撃者は完璧な模倣を必要としません。支払いの承認、検証コードの共有、パスワードのリセット、アカウントアクセスの変更など、行動を誘発するのに十分な説得力のある電話をかけるだけでよいのです。

そのため、発信者が従業員の知っている人とまったく同じ声であっても、機密性の高い依頼は別の信頼できるチャンネルを通じて検証する必要があります。

企業を標的とした一般的なビッシングの例

ビッシングは、依頼がもっともらしく感じられるときに最も効果を発揮します。攻撃者は通常、通常の業務ルーチンに合ったシナリオを選択し、そこに緊急性を加えます。一般的なビッシングの例を以下に示します：

ITサポートへのなりすまし

よくあるシナリオとして、ITサポートへのなりすましが挙げられます。従業員は、会社のヘルプデスク、ソフトウェアプロバイダー、またはセキュリティチームの担当者を名乗る人物から電話を受けます。発信者は、ログイン問題、緊急の更新、不審なアクティビティ、または移行が発生しているため、従業員に認証情報の確認やワンタイムコードの読み上げを求めることがあります。

財務担当者へのなりすまし

財務担当者へのなりすましもハイリスクなパターンです。発信者はCEO、CFO、上級管理者、または信頼できる取引先になりすまし、迅速な支払処理を要求します。その要求は機密事項、時間的制限があるもの、あるいは取引、請求書、税金の問題、業者関連の問題に関連していると主張して圧力をかけます。

銀行の詐欺電話

銀行の詐欺電話も一般的です。発信者は会社の取引銀行の担当者を名乗り、不審な取引について警告します。従業員は、詳細の確認、セキュリティ手順の承認、送金、または後で攻撃者がアカウントにアクセスできるようにするための情報の提供を求められます。

政府機関へのなりすまし

政府機関へのなりすましも企業に影響を与える可能性があります。英国の税務署である歳入税関庁(HMRC)を名乗る電話は非常に多いため、HMRCは不審な電話を報告する(新しいウィンドウ)専用ルートを提供しています。発信者は、納税期限、付加価値税(VAT)、給与支払、罰則、還付金、または調査に言及して緊急性を煽ることがあります。

取引先やお客さまへのなりすまし

また、取引先やお客さまへのなりすまし電話もあります。犯罪者は支払い詳細を変更する業者、ポータルへのアクセスを要求するクライアント、またはドキュメントリンクを求めるパートナーの振りをすることがあります。その電話ではすぐにお金を要求しないこともあります。後で行う攻撃のための情報収集のみを目的としている場合もあります。

認証情報との関連性

ビッシングは会話として始まる場合でも、最終的には認証情報を狙うことが多くあります。攻撃者はパスワードを直接要求することもありますが、多くのビッシングの試みはより巧妙です。発信者は従業員にユーザー名の確認、検証コードの読み上げ、2要素認証(2FA)プロンプトの承認、または通話中に偽ポータルへのログインを要求することがあります。

認証情報が露出すると、被害の程度はそれらの認証情報で何が解錠できるかによって決まります。たとえば、再利用されたパスワードは攻撃者に複数のサービスへのアクセス権を与える可能性があります。共有されたログインは誰がアカウントを使用したかを把握するのを困難にし、2FAの要件が欠けているとパスワードだけが唯一の防壁となってしまいます。過剰な権限を持つアカウントは、一回の通話の成功をより広範なアクセスへと繋げてしまう恐れがあります。

認証情報の適切な管理は、ビッシング攻撃対策の不可欠な要素です。サービスごとに固有のパスワードを設定することで、盗まれたパスワードの影響範囲を制限できます。ビジネス向けパスワードマネージャーを使用すると、従業員がパスワードを記憶したり再利用したりする必要性が減り、内蔵のパスワード生成ツール⁠により、すべてのアカウントに対して強力で固有のパスワードをはるかに簡単に作成できます。安全な共有により、通話、チャット、ドキュメントに認証情報が含まれるのを防ぎます。パスワードが侵害された場合でも、2FAがさらなる防壁となります。

露出したデータがビッシングの信憑性を高める理由

攻撃者が事前にその企業について知っている場合、ビッシング電話はより説得力を増します。その情報は、役職、取引先、役員、組織構造、プレスリリース、SNSの投稿、会議の動画、ポッドキャスト、従業員のプロフィールなどの公開情報源から得られることがあります。

また、メールアドレス、電話番号、アカウント詳細、露出した認証情報、内部文書などの漏洩データや盗難データから得られることもあります。

ProtonのData Breach Observatory⁠は、露出したデータが最初の侵害を超えてどのようにリスクを生み出すかを示しています。犯罪者が信憑性を得るために必要なのは、電話番号、役職、業者名、そして古いパスワードだけです。

従業員が他の場所で詳細を再利用していたり、取引先が侵害されていたり、攻撃者が複数の公開ソースや漏洩ソースを組み合わせて信憑性のあるストーリーを作り上げたりすることがあります。実際には、企業は露出したデータを将来の詐欺の燃料として扱う必要があります。攻撃者が知っている情報が多いほど、電話がランダムであるようには聞こえなくなります。

不審な電話を検証する方法

不審に思った場合は、通話を終了し、依頼が本物かどうかを自分で検証してください。ビッシングはお客様を通話に繋ぎ止め、今すぐ答えさせ、今すぐ行動させることに依存しています。検証が機能するのは、従業員が一時停止し、そのプレッシャーから離れ、企業がすでに信頼しているチャンネルを通じて確認し直すことができる場合のみです。

認証情報、支払い、2FAコード、リモートアクセス、銀行詳細、アカウント復旧、または権限変更に関する依頼については、通話を終了し、別途その依頼を確認してください。これには、社内連絡網を使用して相手に折り返し電話する、公式サイトの番号から銀行に連絡する、社内ITチケットを発行する、または会社の記録に保管済みの取引先詳細を確認するなどの方法があります。

折り返し用の電話番号は、決して発信者から教えてもらったものであってはなりません。電話番号は偽装される可能性があるため、発信者IDだけでも不十分です。重要なのは、攻撃者がコントロールしている可能性のある会話を続けるのではなく、信頼できる情報源に戻ることです。

正当な役員、取引先、銀行、ITチームは、機密性の高い依頼に対して確認が行われることを想定しているはずです。攻撃的になったり、秘密保持を要求したり、折り返し電話を拒否したりする発信者は、従業員に迅速に対応する理由ではなく、一度立ち止まる理由を与えています。

スクリプトではなく手口に基づいたビッシング対策の意識を高める

ビッシング対策の意識向上トレーニングは、単に詐欺フレーズのリストを識別できるように教えるだけでは不十分です。スクリプトは急速に変化します。しかし、誘導の手口のパターンはより不変です。

従業員は単なるスクリプトだけでなく、通話の背後にある手口を見抜くことを学ぶべきです。また、判断に迷ったときに頼れる独自の対応策も必要です：

  • 発信者が相手に焦り、不安、あるいは直ちに問題を解決する責任を感じさせる場合、それは手口であり、緊急性の証拠ではありません。発信者は経営幹部、銀行の不正調査官、税務当局、取引先、あるいはセキュリティチームのメンバーを自称することがあります。ストーリーは変わるかもしれませんが、圧力の掛け方は往々にして似ています。今すぐ行動しろ、秘密にしておけ、私の権限を信用しろ、通常のチェックを回避しろ、といった具合です。
  • トレーニングにはAI音声クローン技術も含める必要があります。恐れを抱かせずにメッセージを明確に伝えることが重要です。聞き覚えのある声だからといって、リスクを伴う行動を承認するのに十分ではありません。従業員には、確認のために時間を置く権利があることを教えるべきです。発信者が支払い、認証情報、コード、アクセス変更、緊急の回避策を求めてきた場合、安全な対応は会話を一時停止し、数分間時間をもらい、既知の番号またはその他の信頼できるチャンネルを通じて依頼を検証することです。
  • 安全な合言葉、折り返しルール、または書面による承認ワークフローは、相手の声が「何かおかしい」かどうかを判断しようとするよりも信頼性があります。検証のための短い遅延のせいで、正当な緊急依頼が失敗することはありません。

ビッシングの疑いがある電話を受けた後の対応

電話によるフィッシング詐欺の疑いがある場合は、金銭が送信されておらず、パスワードも共有されていない場合でも、迅速に報告する必要があります。ヒヤリハット事例は、攻撃者がどの従業員、取引先、またはプロセスを標的にしているかを示すため有用です。

最初のステップは、詳細を記録することです：

  • 通話日時
  • 表示された電話番号
  • 発信者の主張・名乗り
  • 要求された行動
  • 言及された名前
  • 関連するシステム
  • 情報が共有されたかどうか。

発信者から提供された電話番号には二度と連絡しないようにしてください。

認証情報、ワンタイムコード、支払い詳細、またはリモートアクセスが共有された場合は、緊急事態として対応してください：

  • 影響を受けるパスワードをリセットする
  • 可能な場合はセッションを失効させる
  • アカウントのアクティビティを確認する
  • 2FAを強制適用する
  • 同じパスワードが他の場所で使用されていないか確認する。

Proton Pass for Businessが認証情報のリスク削減に役立つ理由

ビッシングは人間を狙った攻撃ですが、その被害の程度はパスワード、共有アクセス、アカウント保護などの認証情報管理コントロールに依存することが多くあります。Proton Pass for Businessのようなビジネス向けパスワードマネージャーは、一回の通話の成功がより広範なアクセスへと繋がるリスクを削減するのに役立ちます。

従業員は、Proton Passの内蔵パスワード生成ツール⁠を通じてすべてのサービスに対して強力で固有のパスワードを生成し、暗号化済みの保管庫に保存し、自動入力を使用し、認証情報を安全に共有し、パスキーを管理し、組み込みの2要素認証を使用できます。

これはビッシング保護に非常に役立ちます。なぜなら、攻撃者が電話でパスワードを入手したとしても、2つ目の要素がなければアカウントにアクセスできないからです。Proton Passにはダークウェブモニタリング機能を備えたPass Monitorも含まれており、公知のデータ侵害にお客様のメールが登場した場合に警告を発するため、認証情報がすでに侵害されている可能性のあるタイミングを把握できます。

また、Proton Passは企業の日常のアクセスにおいて、より安全なデフォルトを提供します。従業員が認証情報を保存および共有するための承認された方法を持っている場合、パスワードの読み上げやチャットを介したアクセスの送信を求めてくる発信者に対して、すぐに違和感を抱くようになります。

音声による依頼はデフォルトで確認可能にする

ビッシングが機能するのは、音声が即時的で個人的に感じられるためです。発信者は自信に満ち、親しみやすく、協力的で、あるいは威厳があるように聞こえます。AI音声クローン技術により、そうした信頼感はさらに当てにならなくなります。企業には、発信者の声がどれほど説得力があるかに依存しない検証の習慣が必要です。

最も重要なルールはシンプルです：通話中に認証情報を共有しないこと、電話による依頼だけで異例の支払いを承認しないこと、発信者IDをユーザー情報の証明として信頼しないことです。電話を切り、既知のチャンネルを通じて検証し、不審な点はすべて記録してください。

中小企業(SMB)にとっても、プロセスはシンプルなままで機能します。機密性の高い依頼には折り返しルールを設定し、支払いおよびアクセスの変更には別のチャンネルを通じた確認を必須とし、従業員にはビッシングの説得力を高める権限や緊急性の手口を周知しておくべきです。また、認証情報はビジネス向けパスワードマネージャー内に保管し、パスワードを固有にし、安全に共有し、電話が原因で露出した場合にも簡単にローテーションできるようにする必要があります。

ボイスフィッシングは今後も進歩し続けます。特にAIによってなりすましがより低コストで説得力のあるものになっていきます。その防御策は、誰かが行動を起こす前に、すべての機密性の高い依頼を確認可能にすることです。

ビジネス向けパスワードマネージャー⁠で、ボイスフィッシングから企業の認証情報を保護しましょう。