ボイスフィッシング(ビッシング)とは？被害事例や対策を解説

セキュリティ用語

投稿日時: 更新日時:

ボイスフィッシングとは？被害事例や対策を解説

ボイスフィッシングは、電話や音声通話を使って相手をだまし、認証情報、送金、MFAリセット、SaaS連携の承認などを引き出す攻撃です。以前は銀行を名乗る詐欺電話や、サポート窓口を装った個人向け詐欺の印象が強い手口でした。しかし、ここ数年の企業インシデントを見ると、ボイスフィッシングは経理担当者、ITヘルプデスク、SaaS管理者、役員に近い部署を狙う企業侵害の入口に変わってきています。

特に見落としやすいのは、電話だけで完結する攻撃ではない点です。メールで接触し、ビジネスチャットへ誘導し、電話や音声メッセージで心理的な圧力をかけ、最終的に送金やアカウント変更を実行させる。攻撃者は複数の連絡手段を組み合わせ、正規業務に見える流れを作ります。

本稿では、ボイスフィッシングの基本だけでなく、警察関係者を名乗る電話を起点にしたはてなの資金流出事案、国内で報じられた法人向け詐欺、米国FBI・FTC、英国NCSC、CISA、Google Cloud、Verizon DBIRなどの海外ソースをもとに、なぜ今この攻撃が企業にとって危険なのかを整理します。

ボイスフィッシングとは？はてなの資金流出事例と海外統計から見るソーシャルエンジニアリングの危険性のサマリー

  • ボイスフィッシングは、電話だけでなく、メール、SMS、ビジネスチャット、SaaS承認画面、MFAリセットを組み合わせて人をだますソーシャルエンジニアリング攻撃です。
  • はてなの資金流出事案は、警察関係者を名乗る電話を起点にしたボイスフィッシング型の特殊詐欺として整理できます。最終的な被害は不正送金ですが、入口は音声通話であり、経理部門が標的になりました。
  • FBIの2025年Internet Crime Reportでは、インターネット犯罪の苦情件数が100万件を超え、報告損失額は200億ドル超に達しています。
  • FTCは2025年のなりすまし詐欺による報告損失を35億ドルと公表しており、電話、テキスト、メール、SNSなど複数チャネルが使われています。
  • 英国NCSCやCISAは、フィッシング耐性MFA、ヘルプデスク本人確認、送金承認プロセス、外部連携アプリの管理を重視しています。
  • 生成AIと音声クローンの普及により、声が本人らしいことは本人確認の根拠になりにくくなっています。
  • 情報システム部門は、メール対策だけでなく、電話受付、ヘルプデスク、経理承認、SaaS管理者権限まで含めた横断的な対策が必要です。

整理表

観点 内容
攻撃名 ボイスフィッシング、ビッシング、音声フィッシング
攻撃の本質 音声や通話を使って、相手の判断や社内手続きを攻撃するソーシャルエンジニアリング
主な接触手段 電話、IP電話、TeamsやZoomなどの通話、SMS、メール、ビジネスチャット、音声メッセージ
主な標的 経理担当者、役員秘書、ITヘルプデスク、SaaS管理者、営業担当者、カスタマーサポート
企業で起きる被害 不正送金、認証情報窃取、MFAリセット、SaaS不正連携、顧客情報流出、ランサムウェア侵入
国内で関連する事例 警察関係者を名乗る電話を起点にしたはてなの資金流出、山形鉄道の法人ネットバンキング被害、香川県企業の法人向けボイスフィッシング被害など
海外で注目される動向 Scattered Spiderによるヘルプデスクなりすまし、UNC6040によるSalesforce狙いの音声フィッシング、AI音声クローンを使うなりすまし
対策の軸 電話だけで判断しない、登録済み連絡先への折り返し確認、送金承認の二重化、ヘルプデスク本人確認、フィッシング耐性MFA
誤解しやすい点 MFAやEDRを導入しても、人がリセットや承認を実行すれば侵害される可能性がある

ボイスフィッシングは電話詐欺から企業侵害の入口に変わった

ボイスフィッシングは、英語ではvishingと呼ばれます。voiceとphishingを組み合わせた言葉で、電話や音声通話によって相手をだまし、情報や操作を引き出す攻撃です。

昔からある典型例は、銀行やカード会社、警察、配送業者、サポート窓口を名乗る詐欺電話です。口座に不審な取引がある、アカウントが停止される、本人確認が必要だといった説明で、暗証番号、ワンタイムパスワード、クレジットカード情報を聞き出します。

ただ、企業向けのボイスフィッシングはもう少し厄介です。攻撃者は単に情報を聞き出すだけではありません。社内の通常業務に見える形で、担当者に操作をさせます。

たとえば、ITヘルプデスクに電話して、従業員を装い、MFA端末を紛失したので再登録してほしいと依頼する。経理担当者に対して、役員や取引先を装い、急ぎの支払いとして送金を依頼する。SaaS管理者に対して、正規ツールに見えるアプリ連携を承認させる。こうした行為は、システムの脆弱性を突くというより、社内手続きの弱い部分を突く攻撃です。

セキュリティ対策Labの既報であるソーシャルエンジニアリングとは？攻撃手法や事例・対策を解説でも整理しているように、ソーシャルエンジニアリングは人の信頼、焦り、権威への服従、親切心を利用します。ボイスフィッシングは、その中でも声や会話の即時性を利用するため、担当者が冷静に確認する時間を奪いやすいのが特徴です。

はてな事例は電話を起点にしたボイスフィッシング型の特殊詐欺だった

はてなは2026年4月、悪意のある第三者による虚偽の送金指示を受け、従業員が外部口座に銀行預金を送金した資金流出事案を公表しました。その後、同社は2026年6月に被害額の精査結果を開示し、現時点における被害の最大額として11億7,900万円を特別損失に計上しています。さらに、2026年7月には特別調査委員会の調査報告書を公表し、役員報酬の一部自主返上も開示しました。

この事案は、当初は虚偽の送金指示やビジネスメール詐欺に近い事案として受け止められました。ただ、調査報告書の公表後に見え方が変わりました。発端は、警察官等を名乗る詐欺グループによる電話であり、従業員が捜査協力の一環であると信じ込まされ、結果として会社資金の大規模な流出につながったと整理できます。

つまり、はてな事例は、電話を起点にしたボイスフィッシング型の特殊詐欺として見るべきです。最終的に発生したのは不正送金ですが、攻撃の入口は音声通話でした。警察という権威を使い、捜査協力という逆らいにくい文脈を作り、通常であれば疑うべき操作を正当な対応のように見せた点が、この事案の怖さです。

ここで重要なのは、ボイスフィッシングを個人向けの詐欺電話に限定しないことです。企業の経理担当者や管理部門も、十分に標的になります。相手が金融機関を名乗る場合もあれば、警察、監督官庁、取引先、役員、IT部門を名乗る場合もあります。攻撃者が狙っているのは、通話そのものではなく、通話によって人の判断を変え、社内の正規手続きを攻撃者の目的に沿って動かすことです。

セキュリティ対策Labでは、はてなの事案についてはてな、BEC詐欺被害額を11億7900万円と公表やはてなで11億円超の資金流出、ビジネスメール詐欺の可能性で整理してきました。初期段階ではBECに近い構図として見るのが自然でしたが、調査報告書の内容を踏まえると、記事上の整理も更新する必要があります。今回の事案は、ボイスフィッシングを入口とする特殊詐欺・不正送金事案です。

この事案から見えるのは、メールだけを監視しても不十分だということです。攻撃者は、メール、チャット、電話、オンライン会議、SaaS通知を横断して相手を誘導します。経理担当者が見ているのは送金依頼であって、攻撃者のインフラではありません。IT部門が見ているのはログであって、現場の心理的圧力ではありません。この隙間を埋めない限り、同じタイプの被害は形を変えて繰り返されます。

国内の法人向け詐欺はメール、チャット、電話が混ざり始めている

国内でも、法人を狙ったボイスフィッシングやソーシャルエンジニアリングの事例は目立っています。はてな事例のように警察を名乗る電話を入口にするものもあれば、金融機関を装って法人インターネットバンキングを狙うものもあります。

セキュリティ対策Labの2025年に発生したボイスフィッシングの事例まとめでは、金融機関をかたる電話や法人インターネットバンキングを狙う事例を取り上げています。たとえば、山形鉄道がボイスフィッシングで約1億円の被害を公表した事案では、金融機関を名乗る電話を契機に法人向けインターネットバンキングの情報が悪用されたとされています。その後、山形鉄道ボイスフィッシング事件で逮捕者も報じられました。

香川県の企業では、ボイスフィッシングにより約5,000万円の被害が発生したとされています。福岡銀行を装った事例でも、音声フィッシングにより約8,000万円の被害が確認されています。

こうした事例で共通するのは、攻撃が技術だけで完結していないことです。電話で信用させ、ログイン情報や認証情報を入力させ、送金を実行させる。場合によってはメールやSMSで誘導先を送り、電話で不安をあおる。攻撃者にとって重要なのは、どのチャネルを使うかではなく、被害者に正規の操作をさせることです。

警察庁や金融庁も、法人向けインターネットバンキングの被害拡大を受け、金融機関に対して対策強化を求めています。警察庁の注意喚起では、法人を対象としたニセ社長詐欺について、メールからSNSグループへ誘導し、社長や幹部を装って送金を指示する手口が示されています。IPAも、社長や役員をかたる詐欺メールへの相談が増加しているとして、メールに返信しないこと、別の手段で本人確認すること、組織として送金承認ルールを整備することを求めています。

ここで重要なのは、社内での呼び名にこだわりすぎないことです。メールならBEC、電話ならボイスフィッシング、SMSならスミッシング、チャットならビジネスチャット詐欺と呼ばれます。ただ、現場から見れば、すべて同じ問題です。誰かを装った相手が、通常と違う処理を急がせる。この兆候を、経理、IT、総務、役員室、ヘルプデスクで共有できるかが分かれ目になります。

海外統計では、なりすまし詐欺と音声型ソーシャルエンジニアリングの損失が拡大している

米国FBIの2025年Internet Crime Reportでは、インターネット犯罪に関する苦情が100万件を超え、報告損失額は200億ドルを超えています。日本円に換算すると数兆円規模であり、報告されたものだけでも相当な規模です。

米国FTCも、2025年のなりすまし詐欺による報告損失額が35億ドルに達したと公表しています。FTCは、なりすまし詐欺が電話、テキスト、メール、SNS、検索結果など複数の経路で行われていると説明しています。ここから読み取れるのは、攻撃者が単一のチャネルに依存していないということです。メール対策だけ、電話教育だけ、SMS対策だけでは足りません。

英国政府のCyber Security Breaches Surveyでも、フィッシングやなりすましは依然として企業が経験する代表的な攻撃です。英国NCSCは、フィッシング対策だけでなく、高リスク個人向けのガイダンスの中で、音声クローンやディープフェイクが本人確認を難しくする可能性にも触れています。

Verizonの2026年DBIRは、モバイル中心のソーシャルエンジニアリング、つまり偽SMSや詐欺電話の成功率が従来型メールフィッシングより高いと説明しています。これは現場感覚とも合います。メールなら受信者が後で確認できますが、電話はその場で返答を求められます。相手が焦っている、怒っている、立場が上に見える、取引先らしい事情を知っている。こうした条件が重なると、人はセキュリティ教育で習った内容を思い出す前に、目の前の依頼を処理してしまいます。

Google CloudのMandiantは、UNC6040と呼ばれる攻撃活動で、音声フィッシングを使ってSalesforce環境を侵害し、データ窃取や恐喝につなげる手口を報告しています。セキュリティ対策Labでも、GoogleがShinyHuntersによるSaaS侵害にボイスフィッシングを使う手口を警告した事例や、Salesforceを狙うボイスフィッシングとソーシャルエンジニアリングキャンペーンを取り上げています。

海外事例で特徴的なのは、攻撃の着地点が銀行口座だけではない点です。攻撃者は、SaaSの連携アプリ、管理者権限、SSO、MFAリセット、APIトークン、顧客データを狙います。つまり、企業にとってのボイスフィッシング対策は、経理だけの問題ではありません。ID管理、SaaS管理、ヘルプデスク運用、ゼロトラスト、ログ監視まで関わります。

Scattered Spiderの事例が示すヘルプデスク攻撃の怖さ

海外で特に注目されているのが、Scattered Spiderと呼ばれる攻撃グループです。CISA、FBI、英国NCSC、カナダ、オーストラリアなどの機関は、同グループに関する共同アドバイザリを更新し、商業施設や小売、保険などの分野を狙う手口を説明しています。

Scattered Spiderの特徴は、ITヘルプデスクを狙う点です。攻撃者は従業員を装ってヘルプデスクに連絡し、パスワードやMFAデバイスのリセットを依頼します。本人確認に使われる情報を事前に集め、もっともらしい説明で手続きを進めさせます。ヘルプデスク担当者から見ると、困っている社員を助けているだけに見えます。しかし、その結果として攻撃者にSSOやクラウド環境への入口を与えてしまうことがあります。

この手口は、日本企業でも無関係ではありません。多くの企業で、アカウントロック、スマートフォン紛失、MFA移行、端末交換、退職者の一時対応など、ヘルプデスクには例外処理が集まります。例外処理は業務継続のために必要ですが、攻撃者から見ると最も狙いやすい場所です。

本人確認を社員番号、生年月日、所属部署、上司名、最近の業務情報だけに頼っている場合、その情報はLinkedIn、公開資料、漏えいデータ、SNS、過去のメール侵害から取得されている可能性があります。電話口の声が本人らしいことも、もはや強い根拠にはなりません。

対策としては、ヘルプデスクの本人確認を手続きとして再設計する必要があります。登録済み端末へのプッシュ確認、事前登録済み番号への折り返し、管理者承認、一定時間の保留、リスクの高いリセット時の二者承認、リセット直後の権限制限などを組み合わせるべきです。ここを運用負荷だけで判断して緩くすると、MFAを導入していても、攻撃者がそのMFAを再登録できる状態になります。

AI音声クローンで本人らしい声は本人確認になりにくくなった

生成AIの普及により、ボイスフィッシングの危険性はさらに高まっています。FBIは、生成AIが金融詐欺に悪用される可能性を警告しており、音声、画像、テキストを使ったなりすましに注意を促しています。また、米国高官を装う悪意あるメッセージキャンペーンでは、AI生成音声によるなりすましが使われる可能性も示されています。

日本でも、AI音声クローンで家族の声を偽装するフィッシング詐欺への注意が必要です。企業の場合は、家族ではなく、社長、CFO、上司、取引先、顧問弁護士、監査法人、金融機関、クラウドベンダーの担当者がなりすまし対象になります。

これまでの本人確認では、声を聞けば分かる、いつもの言い回しだから本人だろう、社内事情を知っているから本物だろう、という判断が暗黙に使われてきました。しかし、公開動画、登壇資料、SNS、採用ページ、IR資料、ポッドキャスト、社内外イベントの録画が増えたことで、攻撃者が本人らしさを作る材料は増えています。

声そのものを疑えという話ではありません。業務上、電話やオンライン会議は必要です。問題は、声だけで重要操作を許すことです。送金、MFAリセット、管理者権限付与、SaaS連携承認、顧客データのエクスポート、機密資料の共有は、音声の本人らしさとは別の検証を要求しなければなりません。

実務では、合言葉を決めるだけでは不十分です。合言葉がチャットやメールに残れば漏えいします。より現実的には、事前登録済みの連絡先への折り返し、ワークフロー上の二者承認、取引先マスタ変更時の別経路確認、役員指示でも例外を認めない送金ルールを組み合わせる必要があります。

ボイスフィッシングはMFAを否定する攻撃ではなく、MFAの運用を狙う攻撃

ボイスフィッシングの話になると、MFAも突破されるのなら意味がないのではないか、という受け止め方をされることがあります。これは少し違います。MFAは依然として重要です。問題は、攻撃者がMFAそのものを暗号的に破るのではなく、人にMFAを承認させたり、ヘルプデスクにMFAをリセットさせたりする点です。

セキュリティ対策LabのAiTM攻撃とMFAの限界でも触れているように、SMS、TOTP、プッシュ通知型MFAは、攻撃者がリアルタイムに誘導した場合に悪用される余地があります。電話でサポート担当者を装い、今から届く承認通知を押してくださいと指示する。あるいは、IT部門を装って、端末交換のためにMFA再登録が必要だと説明する。こうした攻撃では、認証技術より前に、人と手続きが攻撃されています。

CISAやNCSCが重視するフィッシング耐性MFAは、この問題に対する有力な対策です。FIDO2やWebAuthn、パスキーのように、正規ドメインと端末に結びついた認証は、偽サイトや中継型フィッシングへの耐性が高くなります。ただし、フィッシング耐性MFAを導入しても、ヘルプデスクが簡単に再登録できるなら意味が薄れます。

重要なのは、MFAの導入率だけをKPIにしないことです。どのアカウントに、どの方式のMFAが入っているのか。再登録時の本人確認はどうなっているのか。管理者権限の付与やSaaS連携承認に追加確認があるのか。退職者や休職者、海外出張者、端末紛失時の例外処理は記録されているのか。これらを見ないと、ボイスフィッシングへの耐性は測れません。

攻撃者が利用する心理はかなり地味だが強い

ボイスフィッシングやビジネスメール詐欺は、派手なマルウェアのようには見えません。けれども、攻撃者が使う心理の型は非常に強力です。

一つ目は権威です。社長、役員、金融機関、警察、監査法人、IT部門、クラウドベンダーを名乗るだけで、受け手は通常より慎重に反論しにくくなります。

二つ目は緊急性です。今日中に送金しないと取引が止まる、監査対応で急いでいる、不正ログインを止める必要がある、役員会の前に処理してほしい。こうした言葉は、確認のための時間を奪います。

三つ目は秘密性です。M&A、訴訟、資金調達、新規取引、役員案件、監査対応などを理由に、周囲に相談しないよう求めます。相談を封じられると、通常なら止まるはずの処理が進みます。

四つ目は親切心です。ヘルプデスク担当者は困っている社員を助けたいと思います。経理担当者は事業を止めたくありません。営業担当者は顧客に迷惑をかけたくありません。攻撃者は、この善意を悪用します。

五つ目は業務文脈です。攻撃者が社内用語、部署名、取引先名、上司名、使用しているSaaS名を知っていると、依頼の不自然さは薄まります。これらの情報は、公開情報、過去の漏えい、SNS、採用情報、プレスリリース、メール侵害から集められます。

対策は、従業員にもっと疑えと言うだけでは足りません。疑うための時間と、止めても責められない制度を作る必要があります。現場が確認のために処理を止めた時、上司や役員がそれを支持する文化がないと、教育は机上の話で終わります。

経理部門が取るべき対策

経理部門では、送金と取引先マスタ変更が最も狙われます。攻撃者は、新規口座への送金、既存取引先の振込先変更、海外送金、緊急支払いを装います。はてなの事案も、公開情報上は虚偽の送金指示により従業員が送金した点が中心です。

経理部門で優先すべき対策は、送金額の大きさに応じた段階的な承認です。少額の通常支払いと、数千万円、数億円規模の支払いが同じ確認手順でよいはずがありません。一定額以上の送金、初回送金、振込先変更、海外送金、緊急支払いは、別チャネルでの確認を必須にするべきです。

別チャネル確認では、メールに書かれた電話番号へ連絡してはいけません。攻撃者が用意した番号の可能性があるためです。取引先マスタに事前登録された番号、契約書上の番号、金融機関に届け出た番号など、攻撃者がその場で差し替えにくい連絡先へ折り返す必要があります。

役員指示の例外も危険です。社長案件なので承認を省略する、機密案件なので経理部長だけで処理する、急ぎなので後で承認を取る。この例外が一度でも認められると、攻撃者はその例外を狙います。役員が関わる案件ほど例外を作らない、という方針を経営側が明確に出す必要があります。

ITヘルプデスクが取るべき対策

ITヘルプデスクでは、パスワードリセット、MFA再登録、端末紛失、アカウントロック解除、権限付与が狙われます。Scattered Spiderの事例が示すように、攻撃者はヘルプデスクをだませば、認証基盤を突破するのではなく、正規手続きで入口を作れます。

本人確認は、知識情報だけに頼らない方がよいです。社員番号、生年月日、所属、上司名、入社年、最近のプロジェクト名は、攻撃者が集められる可能性があります。特に役員や管理職、採用ページに出ている社員、登壇経験のある社員は、公開情報が多くなりがちです。

MFA再登録や管理者権限の変更では、登録済み端末や登録済み連絡先への確認を組み合わせるべきです。本人が端末を紛失した場合でも、上長承認、本人確認書類、ビデオ通話、一定時間の保留、再登録後の権限制限など、複数の条件を設ける必要があります。

リセット後の監視も重要です。MFA再登録、パスワード変更、SSOログイン、VPN接続、SaaS連携、データ大量ダウンロードが短時間に連続した場合、通常のヘルプデスク対応ではなく、侵害の可能性として扱うべきです。SOCやID管理担当とヘルプデスクの連携がないと、ここを見逃します。

SaaS管理者が取るべき対策

Google CloudのMandiantが報告したSalesforceを狙う音声フィッシング事例では、攻撃者が正規ツールに見えるアプリ連携を利用し、データ窃取へつなげたとされています。SaaS時代のボイスフィッシングは、IDとデータの距離が近い点が危険です。

SaaS管理者は、外部連携アプリの承認権限を見直すべきです。誰が連携アプリを承認できるのか。高権限ユーザーが承認したアプリはどのデータにアクセスできるのか。管理者が承認したアプリを定期的に棚卸ししているのか。ここが曖昧なままだと、攻撃者は電話で人を誘導するだけで、大量データに到達する可能性があります。

特にCRM、SFA、マーケティングオートメーション、カスタマーサポート、ファイル共有、ID基盤は注意が必要です。これらには顧客情報、商談情報、問い合わせ履歴、認証情報に近いメタデータが集まります。侵害された場合、情報漏えいだけでなく、顧客への二次攻撃や恐喝にも使われます。

SaaSのログ監視では、ログイン成功だけでなく、OAuthアプリ承認、APIトークン発行、大量エクスポート、通常と異なるIPや端末、短時間での権限変更を確認すべきです。ボイスフィッシングは入口が人間でも、出口はログに残ることが多いからです。

研修はフィッシングメール訓練だけでは足りない

多くの企業では、フィッシングメール訓練を実施しています。これは有効ですが、ボイスフィッシングやチャット詐欺には十分ではありません。従業員は、メールのリンクをクリックしてはいけないとは習っていても、電話で急かされた時、Teamsで上司らしい人物から依頼された時、SaaSの承認画面を共有された時の対応を練習していないことが多いです。

研修では、メール、電話、チャット、SMSを組み合わせたシナリオを扱うべきです。たとえば、社長を名乗るメールが届き、その後ビジネスチャットへ誘導され、最後に取引先への緊急送金を求められる。あるいは、IT部門を名乗る電話があり、MFA再登録を求められ、画面共有で操作を指示される。こうした現実に近い訓練が必要です。

経理、ヘルプデスク、役員秘書、営業、カスタマーサポートなど、狙われる部門ごとに訓練内容を変えることも大切です。全社員向けの一般教育だけでは、実際に攻撃を受ける担当者の判断力は上がりにくいです。

教育のゴールは、すべての詐欺を見抜くことではありません。違和感を覚えた時に止めること、相談すること、別経路で確認することです。従業員が確認のために処理を止めた場合に評価される仕組みがなければ、研修の効果は出ません。

企業が整備すべき実務対策

ボイスフィッシング対策は、技術対策と業務対策を分けずに考える必要があります。メールセキュリティ、EDR、MFA、SIEMだけでは、人が正規操作を実行する攻撃を完全には止められません。逆に、教育だけでも不十分です。現場が守れる手順と、攻撃後に検知できるログが必要です。

送金に関しては、一定額以上の送金、振込先変更、海外送金、新規取引先への送金に二者承認を設けるべきです。承認者は、依頼内容だけでなく、確認経路が正しいかを見る必要があります。メール本文やチャット本文に書かれた連絡先ではなく、事前登録された連絡先へ確認する運用が必要です。

ID管理では、MFA再登録、パスワードリセット、管理者権限付与、休職者や退職者の例外対応を重点的に見直すべきです。特にMFA再登録は、攻撃者にとって正規の入口を作る手続きです。再登録の承認条件、記録、監査、アラートを整備する必要があります。

SaaS管理では、外部アプリ連携の承認権限を絞り、定期的な棚卸しを行うべきです。使われていない連携アプリ、広すぎる権限、個人判断で承認されたアプリは、ボイスフィッシング後のデータ窃取に使われる可能性があります。

電話運用では、発信者番号を信用しすぎないことが重要です。番号表示は偽装される可能性があります。重要操作につながる電話は、必ず登録済み番号へ折り返す。急ぎだと言われても、確認を省略しない。これは個人の注意ではなく、社内規程として決めるべきです。

インシデント対応では、送金後、アカウント変更後、SaaS承認後に不審を感じた場合の連絡先を明確にする必要があります。経理は金融機関と警察、ITはSOCやCSIRT、法務は取引先対応、広報は公表判断というように、初動の役割をあらかじめ決めておかないと、被害拡大を止める時間を失います。

情報システム部門への示唆

情報システム部門にとって、ボイスフィッシングはメール対策の延長ではありません。ID、ヘルプデスク、経理システム、SaaS、電話運用、教育、内部統制をつなぐ問題です。

最初に確認すべきなのは、自社でMFA再登録やパスワードリセットがどのように行われているかです。ヘルプデスクが電話だけで再登録を進めていないか。本人確認に公開情報を使っていないか。役員や管理職のアカウントで例外が常態化していないか。ここは早めに点検する価値があります。

次に、送金と取引先マスタ変更の手順を経理部門と一緒に見直すべきです。情報システム部門だけでは送金承認ルールを変えられませんが、攻撃者がどのようにメール、チャット、電話を組み合わせるかを説明することはできます。はてなの事案のように、警察や金融機関を名乗る電話から始まり、虚偽の送金指示が企業業績に影響する規模の損失につながることを、経営層にも共有すべきです。

SaaSについては、外部連携アプリと管理者権限の棚卸しが必要です。ボイスフィッシングで侵害されるのは端末だけではありません。Salesforce、Microsoft 365、Google Workspace、Okta、Slack、Box、Zendeskなど、業務データが集まるSaaSこそ狙われます。管理者権限を持つユーザー、API連携、OAuth承認、データエクスポートのログは、重点監視の対象にした方がよいです。

従業員教育では、フィッシングメール訓練に加えて、電話とチャットを組み合わせた訓練を入れるべきです。社長や金融機関を名乗る相手から急ぎの依頼が来た場合、どこへ相談するのか。確認のために処理を止めても責められないのか。ここまで決めなければ、教育は現場で使えません。

最後に、声を本人確認の根拠にしないという考え方を社内に浸透させる必要があります。AI音声クローンやディープフェイクが一般化した環境では、本人らしい声、詳しい社内事情、自然な会話だけでは安全を判断できません。重要操作には、登録済み連絡先への折り返し、ワークフロー承認、フィッシング耐性MFA、ログ監視を組み合わせる。これが、今のボイスフィッシング対策の現実的な落としどころです。

出典

関連記事

インゲージ、メールデータ移行サービスでログイン情報の誤送付-他社顧客情報が一時的に閲覧されるインシデントが発生インゲージ、メールデータ移行サービスでログイン情報の誤送付-他社顧客情報が一時的に閲覧されるインシデントが発生 SonicWall、9月の不正アクセスは国家支援型 ハッカーによるサイバー攻撃SonicWall、9月の不正アクセスは国家支援型 ハッカーによるサイバー攻撃 7-Zipの脆弱性 CVE-2025-11001 のPoCが公開-引き続きアップデート推奨7-Zipの脆弱性 CVE-2025-11001 のPoCが公開-引き続きアップデート推奨 エネルギー・水道インフラ向けスマートメーター大手 Itron、社内システムへの不正アクセスエネルギー・水道インフラ向けスマートメーター大手 Itron、社内システムへの不正アクセス テイン、ランサムウェアによるサイバー攻撃から「概ね通常業務へ復旧、情報漏えいは未確認」テイン、ランサムウェアによるサイバー攻撃から「概ね通常業務へ復旧、情報漏えいは未確認」 ジモティーの開発環境に不正アクセス、問い合わせ情報など一部個人情報が閲覧可能状態にジモティーの開発環境に不正アクセス、問い合わせ情報など一部個人情報が閲覧可能状態に OAuthクライアントIDの偽装で数百万件のMicrosoft Entraアカウントがサイバー攻撃の標的にOAuthクライアントIDの偽装で数百万件のMicrosoft Entraアカウントがサイバー攻撃の標的に ランサムウェア グループ「エベレスト」がアンダーアーマーへのサイバー攻撃を主張ランサムウェア グループ「エベレスト」がアンダーアーマーへのサイバー攻撃を主張 バンダイチャンネル、不正アクセスによるサイバー攻撃で一部会員の個人情報漏洩の恐れバンダイチャンネル、不正アクセスによるサイバー攻撃で一部会員の個人情報漏洩の恐れ