ビッシング（vishing）は、音声通話を利用したフィッシング詐欺の一種であり、個人情報や認証情報を盗むために巧妙に仕組まれたサイバー攻撃手法です。
特に近年では、一般消費者だけでなく企業の従業員を標的とするケースも増加しており、セキュリティリスクとして無視できない存在となっています。
本記事では、ビッシングの仕組み、具体的な手口、IT分野における影響、そして効果的な対策方法まで詳しく解説します。
ビッシング（vishing）の基礎知識
ビッシングとは？
ビッシング（vishing）とは、「voice（音声）」と「phishing（フィッシング）」を組み合わせた造語で、電話を用いて情報を詐取する詐欺手法を指します。
典型的な手口としては、金融機関や企業の名を騙って電話をかけ、クレジットカード番号、口座情報、パスワードなどを聞き出すというものがあります。
ビッシングの代表的な手口とそのメカニズム
電話によるなりすまし詐欺
攻撃者は、顧客リストや名簿から取得した電話番号、またはランダム生成した番号に対して電話をかけ、次のようなフローで情報を引き出します：
-
「○○銀行です。口座に不正アクセスがありました」
-
「本人確認のために、カード番号と暗証番号を教えてください」
電話だけでは発信者の正体を確認しにくいため、非常に信じやすいのが特徴です。
自動音声システムによる大量攻撃
効率性を高めるために、偽の自動音声ガイダンス（IVR）を使用して多数のターゲットに一斉発信する手法も存在します。
例：
「このメッセージは、あなたのアカウントに不正なアクセスがあったことを知らせるものです。
セキュリティ確認のため、番号を入力してください。」
企業を狙ったソーシャルエンジニアリング攻撃
最近では、企業従業員を標的にしたビッシングも報告されています。
たとえば：
-
IT部門を装って従業員に電話
-
偽の社内サイトURLを伝え、ログインを促す
-
認証情報を入力させ、アカウントを乗っ取る
これはビジネスメール詐欺（BEC）と同様に、内部情報やアクセス権を盗む目的で行われます。
日本におけるビッシングの類型
オレオレ詐欺・振り込め詐欺との関連
日本でよく見られる「オレオレ詐欺」や「振り込め詐欺」は、音声を利用して相手を騙す点でビッシングの一種とみなすことができます。
-
高齢者を狙い、親族になりすまして金銭を騙し取る
-
架空のトラブルや支払いを理由に現金を要求する
このような手法はサイバー犯罪と詐欺犯罪の境界線が曖昧化していることを示しています。
リバースビッシング（reverse vishing）
攻撃者が投稿型SNSや掲示板に偽の電話番号を記載し、ターゲットから電話をかけさせる手法です。
-
求人情報、製品問い合わせ、サポート窓口を装う
-
電話した相手に自動音声やオペレーターが対応し、情報を聞き出す
これにより、受動的なフィッシングから能動的な誘導型詐欺へと発展しています。
IT分野におけるビッシングのリスクと実害
セキュリティインシデントの発生
-
クラウドサービスの不正ログイン
-
VPNアクセスの乗っ取り
-
システム管理者権限の不正取得
これらはすべて、通話中に得られた情報をもとに行われる可能性があります。
サプライチェーンへの影響
1社が被害を受けたことで、連携先にも影響が広がるサプライチェーン攻撃の一因ともなり得ます。
ビッシングへの効果的な対策方法
組織向け対策
-
セキュリティ教育の強化（従業員に対する模擬ビッシング訓練）
-
二要素認証（2FA）の導入
-
社内連絡手順の明文化（電話連絡時の本人確認フロー）
一般ユーザー向け対策
-
電話で個人情報を絶対に伝えない
-
疑わしいと感じたら公式窓口に再確認
-
電話番号検索サービスなどを活用して番号の信頼性を調査
まとめ
ビッシング（vishing）は、音声通話という信頼されやすい手段を悪用することで、個人・企業を問わず被害をもたらす高度なサイバー詐欺手法です。
単なる電話の詐欺と見過ごすのではなく、ITセキュリティの一環として認識し、防御策を構築することが必要です。
本記事を通じて、ビッシングの実態と対策を理解することが、セキュリティ意識の向上につながれば幸いです。企業でも個人でも、「電話だから大丈夫」という思い込みが最も危険であることを、今一度意識しましょう。