FBI、銀行サポートを装うアカウント乗っ取り詐欺に警鐘 -2025年だけで2億6,200万ドル（約409億円）超の被害

2025年に入り、海外では「銀行サポート」を名乗るアカウント乗っ取り詐欺が深刻さを増しています。FBIの公表によると、こうした Account Takeover（ATO）詐欺による被害は、今年だけで少なくとも2億6,200万ドル（約409億円）に達し、個人だけでなく企業や団体のオンラインバンキングやペイロール口座が狙われています。攻撃者は金融機関のサポート担当を装い、ワンタイムパスワード（OTP）や多要素認証（MFA）のコードまで巧妙に聞き出し、正規ユーザーの口座を乗っ取って資金を暗号資産ウォレットなどへ即座に移すソーシャルエンジニアリング攻撃になります

概要

FBIは2025年11月25日付のパブリック・サービス・アナウンスメントで、金融機関のサポート担当になりすました「アカウント乗っ取り（Account Takeover：ATO）詐欺」が急増しているとして注意喚起を行いました。

FBIインターネット犯罪苦情センター（IC3）には、2025年1月以降だけで

• ATO詐欺に関する苦情：5,100件以上

• 被害総額：2億6,200万ドル（約409億円）超

が報告されています。単純平均すると、1件あたり約5万1,000ドル（約800万円） が失われている計算です。

ターゲットは個人だけでなく、中小企業から大企業、各種団体まで幅広く、狙われるアカウントもオンラインバンキング、給与、医療関連の貯蓄口座など多岐にわたります。

手口：銀行サポートやカスタマーサービスのなりすまし

攻撃の中心は、「金融機関の従業員やサポート担当になりすます」パターンです。犯人はテキストメッセージ（SMS）、電話、メールなどさまざまなチャネルを使い分け、正規サポートになりすまして認証情報を引き出します。

ソーシャルエンジニアリングでMFAコードまで盗み取る

代表的な流れは次のようになります。

1. 「金融機関からの緊急連絡」を装う
   「不正な取引を検知しました」「このままだと口座がロックされます」など、不安をあおる文言で連絡が来ます（電話・SMS・メールなど）。

2. ログイン情報や認証コードを確認と称して要求

   • ログインID・パスワード

   • ワンタイムパスワード（OTP）

   • 多要素認証（MFA）の確認コード
     などを「本人確認のため」と説明して聞き出します。

3. 裏側で本物サイトにログインし、アカウントを乗っ取る
   犯人はリアルタイムで正規サイトにアクセスし、利用者に入力・読み上げさせた情報をそのまま使ってログイン、パスワードリセット、連絡先変更などを行います。

さらに一部の事例では、

• 「あなたの情報が銃器購入などの不正取引に使われた」と偽り

• 「これから捜査機関の担当者につなぎます」と言って

• 二人目の犯人が「警察官」や「捜査官」を装って登場

といった手順で、より詳細な個人情報や口座情報を聞き出すケースも報告されています。

フィッシングサイトとSEOポイズニング

もう一つの典型パターンが、偽のログイン画面に誘導するフィッシングです。

• 銀行や給与システムの 本物そっくりのログイン画面 を用意

• メールやSMSで「不正取引の確認」「アカウント更新」などを装ったURLを送り、そこへ誘導

• 利用者がID・パスワードを入力すると、その情報がそのまま犯人の手に渡る

さらにFBIは、「SEOポイズニング」と呼ばれる手法にも警鐘を鳴らしています。

• 検索エンジンの広告枠に、正規企業そっくりの広告を出稿

• ユーザーが銀行名などで検索すると、検索結果の上部にこの広告が表示される

• 利用者が広告をクリックすると、本物そっくりのフィッシングサイトに飛ぶ

このように、検索結果や広告からのアクセスを狙う 点が特徴です。
二要素認証（MFA）を有効にしていても、偽サイトにID・パスワード・認証コードを入力してしまえば、そのまま犯人に使われてしまうため、MFAだけでは防ぎきれません。

アカウント乗っ取り後に起きること

アカウントを掌握した攻撃者は、短時間で次のような行動を取ります。

• 口座から他口座へ、即時送金を実行

• 送金先は、犯罪者が管理する口座や、暗号資産ウォレットに紐づく口座 であることが多い

• オンラインバンキングの パスワード変更 を行い、正規利用者を締め出す

暗号資産口座などを経由して資金が分散されると、追跡や回収は非常に困難になります。FBIは、「多くのケースで資金の回収は難しい」と明言しており、気付いた時には手遅れになりやすいタイプの被害 としています。

FBIが推奨する防御策

FBIは、こうしたアカウント乗っ取りを防ぐために、利用者・企業向けに次のポイントを挙げています。

SNS・ネット上に出す個人情報を絞る

パスワードや秘密の質問の「答え」になりがちな情報は、極力公開しないようにします。

• ペットの名前

• 家族構成や子どもの名前

• 出身校、在籍情報

• 生年月日や記念日

こうした情報を組み合わせて、攻撃者はパスワード推測や本人確認突破を試みます。

口座・カード明細を定期的にチェックする

• 給与入金、振込、引き落とし、カード利用などに 覚えのない動きがないか をチェックします。

• 特に、小額の試し引き出しや不審な送金がないかを注意深く確認することが重要です。

強力でユニークなパスワードを使う

• 各サービスごとに 異なるパスワード を設定する

• 英数字・記号を含む長めのパスフレーズ（12〜16文字以上）を推奨

パスワードを使い回していると、一つのサービスが突破された際に、他の金融サービスまで芋づる式に侵害されます。

MFA（多要素認証）は「必須」、ただし偽サイトには注意

• 利用可能なすべての金融系サービスで、多要素認証（MFA）やワンタイムパスワードを有効にします。

• ただし、偽サイトにコードを入力してしまえば防げない ため、

  • 「本物のログイン画面かどうか」
    を確認する習慣づけが大切です。

ログインは検索ではなく「ブックマーク」から

• 一度正しいURLからアクセスし、ブラウザの「お気に入り／ブックマーク」に登録

• 次回以降は、検索結果や広告からではなく、必ずブックマークからアクセス

これにより、SEOポイズニングによる偽サイト誘導のリスクを下げることができます。

電話・SMS・メールで認証情報は絶対に教えない

• 「銀行」「カード会社」「○○サポート」「捜査機関」を名乗られても、電話口でID・パスワード・認証コードを伝えない ことが鉄則です。

• 不審な連絡が来た場合は、その場でやり取りを続けず、いったん切ってから

  • 公式サイトやカード裏面に記載された番号に
    自分でかけ直して確認します。