ヴィッシング詐欺の手口とは：電話で情シスや現場を操るソーシャルエンジニアリングの脅威と対策

社内ヘルプデスクや情シス部門で、日常的に起こり得る緊迫した場面があります。受託業務や商談を控えた慌ただしい時間帯、サポート窓口の内線電話が鳴り響きます。受話器の向こうから聞こえるのは、息を切らした役員や重要案件を抱える営業部長を名乗る切迫した声です。「出張先から重要顧客との商談に臨む直前だが、VPNにログインできない。MFAアプリの調子も悪くアクセスが拒否された。この商談を落とすわけにはいかないため、至急パスワードをリセットし、仮コードを発行してくれ」。

極度の緊急性と上位役職者からの強いプレッシャーを前にして、現場の担当者は「早く業務を支援しなければならない」という親切心と組織階層への遠慮から、定められた本人確認フローを省略してしまうケースが後を絶ちません。

音声（Voice）とフィッシング（Phishing）を組み合わせた造語である「ヴィッシング（Vishing）」は、現代の企業情報システムにとって最も侵入を許しやすい脅威の一つです。メールセキュリティゲートウェイで大部分を検知・遮断できる不審メールとは異なり、直接の音声通話は組織の最も予測困難な脆弱性、すなわち「人間の心理的な隙」をダイレクトに突いてきます。生成AIによる音声クローニング技術が悪用され始める中、その巧妙な心理誘導の手口と対抗策を把握することは、国内企業のCISOや情報セキュリティ責任者にとって喫緊の課題です。

ヴィッシング攻撃で用いられる心理誘導の代表的な手口とは？#

要約：攻撃者は、事前の公開情報調査（OSINT）、社内権威者の偽装、偽の緊急事態の演出、親切なサポート役の演習などを組み合わせ、現場社員や情シス部門に心理的プレッシャーをかけます。これにより、セキュリティポリシーの例外運用やMFA通知の承認、認証情報のリセットを実行させます。

標的型サイバー攻撃において、攻撃者が無作為に電話をかけることはありません。ヴィッシングは、緻密に計算されたソーシャルエンジニアリングのプロセスに沿って実行されます。

• 事前調査（OSINT：オープンソースインテリジェンス）： 攻撃者はLinkedIn、SNS、企業公式サイト、プレスリリースなどを徹底的に調査します。役員や部門長の氏名、部署内の業務フロー、導入されているクラウドツールやコラボレーションツール、さらには役員の出張予定や登壇スケジュールまで把握します。
• 信憑性の高い口実（プリテキスティング）： 攻撃者は疑われにくい役割を完璧に演じます。「初日で設定に戸惑っている新入社員」「経営層直属の緊急セキュリティ監査チーム」「夜間メンテンナンスを担当する外部ベンダーのSE」など、相手が疑いにくいペルソナを設定します。
• 緊急事態による認知機能の麻痺： 「重大なシステム障害が発生する」「今すぐ対応しないと役員会で問題になる」「数千万円規模の取引が破談になる」といった強いストレスを注入し、論理的思考や正規の手順に沿った事実確認を麻痺させます。
• 支援者へのなりすまし（役割の反転）： 攻撃者自身が仕組んだ架空のトラブルを持ち込み、「あなたのアカウントが攻撃されています。被害を防ぐために今から復旧を手伝います」と持ちかけることで、侵入行為を善意の支援活動であるかのように錯覚させます。

なぜ情報システム部門やヘルプデスク、そしてMFAが狙われるのか？#

要約：情シスやヘルプデスクは広範な特権アクセスを管理しており、「困っている社員を迅速に助ける」ホスピタリティ精神を持っています。攻撃者はその親切心や対応時間KPIのプレッシャーを悪用し、MFA疲労攻撃や認証バイパスを狙います。

ヘルプデスクや問い合わせ窓口は、攻撃者にとって最も突破しやすい侵入口になり得ます。サポート担当者は「困っている現場を助けること」を使命としており、問い合わせ対応時間の短縮（チケット消化率）を指標として求められることも少なくありません。電話口で巧妙に社用スマートフォン紛失の緊急事態を訴えられると、顔写真付き身分証の提示やビデオ通話、コールバックによる確認を省略し、新しい認証デバイスを再登録してしまうリスクが生じます。

音声通話と連動するMFA（多要素認証）の突破手口

多要素認証（MFA）を導入していても、人的要因が介在すれば突破される危険性があります。攻撃者は、標的の端末に大量のプッシュ通知を連続で送信する「MFA疲労攻撃（MFA Fatigue）」とヴィッシングを巧妙に連動させます。

スマートフォンに認証要求が次々と届いて標的が困惑しているタイミングで、攻撃者が情シスのセキュリティ担当を名乗って電話をかけます。「現在、社内システムで不正アクセスのアラートが出ており、対処中です。アカウント保護のため、画面に表示される次の認証プロンプトを一度だけ承認してください」。焦った社員が言われるがままに承認ボタンを押した瞬間、攻撃者は正規の権限で社内ネットワークへの侵入を完了させます。

生成AIによる音声クローニングがもたらす脅威の深刻化#

生成AI技術の飛躍的な進化は、電話を通じたソーシャルエンジニアリングの脅威レベルを根本から引き上げました。役員が登壇した決算説明会の動画、ポッドキャスト、YouTubeのインタビューなどから抽出したわずか数十秒のクリアな音声サンプルがあれば、声のトーン、特有の口癖、抑揚まで本物そっくりに再現したディープフェイク音声（音声クローン）を作成できるようになっています。

相手の声が上司や経営幹部そのものである場合、従来の精神論や一般的な注意喚起だけで見破ることは極めて困難です。音声や映像がいかに簡単に模倣・偽造できるかを組織全体で肌感覚として理解するために、Brain Securityではアカウント登録不要でブラウザから即座に利用できる教育用スタジオDeepfake Studioを提供しています。受講者自らがディープフェイク技術の仕組みを体験することで、「聞き覚えのある声だからといって盲目的に信用してはならない」という実践的な防御意識を養うことができます。

BRAIN SECURITY プロダクト実践画面 · Deepfake Studio

悪質な電話攻撃に対抗するための実践的な人的セキュリティ対策#

心理誘導を武器とする攻撃に対しては、技術的ソリューションの導入だけでなく、運用ルールの厳格化と現場の行動変容が不可欠です。

• 折り返し確認プロトコル（Out-of-Band確認）の義務化： パスワードの初期化、MFA認証デバイスの変更、送金口座の変更といった重要操作の依頼を受けた場合、「一度通話を終了し、社内ポータルや公式社員名簿に登録されている電話番号へ折り返す」、または別経路（認証済みビジネスチャット等）で本人確認を徹底するルールを例外なく適用します。
• 「確認のための躊躇」を評価する組織風土： 「急ぎの要件だから」と名乗る相手がどれほど高圧的な役員であっても、手順に沿って身元確認を実施した担当者を決して責めず、むしろセキュリティ規程の遵守として正当に評価するマネジメント体制を整備します。
• 合言葉（コールサイン）や一時リカバリコードの運用： リモートワーク環境や出張時など、対面確認が困難な状況下でのアカウント復旧に備え、あらかじめオフラインまたは安全な経路で配布された一時認証コードの提示を必須とします。
• 体験型シミュレーションによる継続的な訓練： 座学の知識は時間とともに薄れますが、自ら経験した違和感は記憶に強く定着します。リアルなソーシャルエンジニアリングの手口を模した実践シナリオを通じて、緊迫感のある語り口、不自然な急かし、過度なおだてといった「誘導の兆候」に即座に気づける感覚を養います。

社内アクセスの安全性を守る最後の砦は、受話器を握る担当者の冷静な判断力です。自社の人的防御力の現状を可視化し、組織のリスク特性に応じた体験型セキュリティ訓練をご検討の際は、ぜひBrain Securityの専門チームまでご相談ください。

関連コラムおよびBrain Securityのソリューション#

このテーマに関連するおすすめ記事

• BEC攻撃と取引先振込先口座の偽装変更: メール乗っ取り詐欺を防ぐ実務プロトコル (Phishing & Social Engineering) : 取引先メールアカウントが侵害された際の振込先偽装をどう見破るか。IPAも警告するビジネスメール詐欺（BEC）対策として、不審な行動兆候、電話確認（コールバック）手順、経理部門の二重承認プロセスをCISO視点で解説します。
• タイポスクワッティングとホモグラフ攻撃：従業員がURLの偽装を見抜く実践的セキュリティ教育 (Phishing & Social Engineering) : タイポスクワッティングやホモグラフ攻撃など、巧妙化するフィッシングURLの見分け方を解説。情シスやCISO向けに従業員の不審サイト検知能力を高める教育手法と実践的な対策を紹介します。
• AiTMフィッシング攻撃の手口とは: 偽ページで多要素認証(MFA)が突破される理由と対策 (Phishing & Social Engineering) : 多要素認証(MFA)を突破するAiTMフィッシングの仕組みとセッションクッキー強奪の手口を解説。従来の2段階認証の限界と、FIDO2や条件付きアクセス、標的型攻撃メール訓練を組み合わせた実践的な防御策を提示します。
• AI音声クローン対策: 30秒の偽音声を聴かせる体験が座学研修を圧倒する理由 (AI Literacy & AI Act) : 生成AIによる音声ディープフェイクの脅威から企業を守るには座学だけでは不十分です。30秒の偽音声を体験させ、従業員に確実な二重確認プロセスを定着させる実践的アプローチをCISO向けに解説します。

Brain Securityの製品・ソリューション一覧

• 関連ソリューション : Deepfake Studio : ディープフェイク・音声クローン詐欺の体験型啓発：AIによるなりすまし手口を実例で学び、経営層や経理部門を保護。
• 課題・業界別のユースケースを見る
• サイバーセキュリティ＆AI意識向上フォーマットを比較する
• Brain Securityの製品カタログをすべて見る
• 導入のご相談・デモ予約はこちら（担当チームへのお問い合わせ）