ビッシング
Vishing
概要（サマリー）
ビッシングとは、電話の音声で相手をだまし、認証情報や金銭、その場の操作を引き出す詐欺である。
voice と phishing を組み合わせた呼び名である。
画面の偽サイトではなく、声の会話で判断を急がせる。
ソーシャルエンジニアリングのうち、電話を入り口にするものだ。
詳細解説
声だと、文章より信じやすい
人は、声を聞くと相手がそこにいると感じやすい。
攻撃者は銀行、宅配、有名サービスのサポート、警察、役所などを名乗り、口座の停止や捜査への協力を理由に急がせる。
こちらが電話に出ただけで、相手の身分が証明されるわけではない。
MITRE ATT&CK では、音声で特定の相手から情報を引き出す手口を Spearphishing Voice として整理している。
不特定多数へかける詐欺電話と、会社の担当者を名指しで狙う電話の両方がある。
日本では、警察官や捜査機関を名乗って「あなたの口座が犯罪に使われた」と不安にさせる、いわゆるニセ警察詐欺が目立つ。
警察庁は、「+1」などで始まる国際電話番号が詐欺に使われる例が急増しているとして、国際電話の着信を休止する手続きも案内している。
身に覚えのない国際電話番号からの着信は、出る前に一度疑ってよい。
その場で、秘密の入力や操作をさせる
会話のゴールは、雑談ではない。
パスワード、二要素認証の番号、カードの暗証番号を口頭で聞き出す。
あるいは「今から言うとおりに画面を操作して」と、振込や設定変更をその場で実行させる。
スミッシングの SMS を先に送り、本文の電話番号へかけさせる流れもある。
メッセージと電話が続いても、どちらも相手の用意した連絡先である。
本物の確認なら、自分で公式アプリを開くか、契約書やカード裏面など以前から知っている番号へかけ直せる。
リンクを開かせてフィッシングサイトへ進ませる電話もある。
「セキュリティ部署の者です。今送ったページでパスワードを更新してください」は、典型的な急がせ方である。
発信者番号は、相手の身分ではない
電話の画面に銀行名や公的機関の名前が出ても、表示は偽装できることがある。
知っている番号に似せてかけることもできる。
番号表示を、本人確認の代わりにはしない。
相手がこちらの氏名や住所の一部を知っていても、公開情報や過去の漏えいから得ている場合がある。
個人情報を少し言えたことと、その組織の担当者であることは別である。
声が本人そっくりでも、折り返し先を自分で選ぶ
家族や経営者の声に似せたディープフェイクを、電話の説得に使う事例が報告されている。
声の自然さだけで、指示を実行しない。
お金、認証コード、遠隔操作の許可を求められたら、いったん電話を切る。
かけ直すときは、相手が今の通話で指定した番号を使わない。
自分の連絡先リスト、公式サイト、契約書類に載っている番号を使う。
家族への確認も、かかってきた通話の途中ではなく、いつもの連絡手段で行う。
切ったあとに残ること
電話を切れば、すでに読み上げた番号や、実行した振込が取り消されるわけではない。
認証コードを伝えた場合は、そのサービスに自分で入り、パスワードを変え、身に覚えのないログインを確認する。
送金してしまった場合は、金融機関へすぐに連絡する。
組織の電話なら、担当窓口へ「どの番号から、何を求められたか」を共有する。
一人が断っても、同じ手口が別の人へ続くことがある。
仕事の電話と、個人のスマホが混ざる
在宅や個人の番号を仕事に使っていると、私用の電話と会社の確認が同じ画面に届く。
相手は「総務です」「情報システムです」と名乗り、今すぐパスワードを変えるよう急がせる。
社内の本物の連絡は、普段のチャットや、社内で周知された窓口から来るはずである。
知らない番号からの指示で、会社の管理画面を開かない。
電話を切ったあと、社内の既知の窓口へ「このような電話があった」と伝える。
内容を共有するときは、相手に読み上げた番号や、画面に出ていた秘密の文字列を、再度チャットへ書き写さない。
AIコーディングとの関係
サポート用の電話原稿や、本人確認の質問文を AI に作らせることがある。
正規の案内でも「パスワードを口頭で教えてください」という文は、ビッシングと同じ形になる。
AI には「利用者に秘密情報を口頭で言わせない、サポート電話の確認手順を書いてください」と頼む。
自分のサービスが電話サポートを持たないなら、その旨をヘルプに書いておくと、偽の電話を疑う材料になる。
通話の録音や、顧客の認証コードを AI の会話へ貼らない。手順の一般論だけを相談する。
よくある勘違い
電話に出た相手は、画面の偽サイトより信用できる？
声も、名乗りも、演出できる。
信頼の根拠は声の感じではなく、自分で選んだ公式の連絡先に戻れるかどうかである。
発信者番号が銀行なら本物？
表示名や番号は偽装できることがある。
画面の名前で手続きを続けず、自分で公式の番号を調べてかけ直す。
切電すれば、話した内容も無効になる？
すでに伝えた認証コードや、完了した送金は残る。
秘密を話した、または操作したあとは、サービスの保護手続きと相談を優先する。
まとめ
- ビッシングは、電話の音声で認証情報や金銭、その場の操作を引き出す詐欺である。
- SMS や偽サイトと組み合わさることがある。
- 発信者番号や、個人情報を少し知っていることだけでは、相手の身分は確認できない。
- 急かされたら切り、自分で選んだ公式の番号からかけ直す。
情報ソース
より詳しくAIに聞いてみよう
- ビッシングを、銀行の担当者を名乗る電話の例で説明してください。
- スミッシングとビッシングが連続するとき、どこで手続きを止めるべきか教えてください。
- 発信者番号が表示されていても、かけ直した方がよい理由を説明してください。
- サポート電話で、利用者にパスワードを言わせない案内文を AI に作らせる指示を書いてください。
- 通話内容を AI に貼らずに、確認手順だけを相談する方法を教えてください。