.png)
ビッシングとは何ですか？
ヴィッシングはボイスフィッシングの略で、サイバー犯罪者が電話や音声通信を利用して人々を騙して機密情報を漏らしたり、金銭を送金したり、アクセスを許可したり、攻撃者に利益をもたらすその他の行動を取らせるソーシャルエンジニアリング攻撃です。
ビッシングは従来のフィッシングに似ていますが、主に不正なメールやウェブサイトに頼るのではなく、攻撃者は音声通信を利用して信頼関係を築き、標的を操ります。
攻撃者は、銀行、テクノロジー企業、政府機関、経営幹部、ITサポートチーム、その他信頼できる個人や組織になりすます可能性があります。発信者番号表示の偽装やAI生成の音声など、ますます高度な技術は、詐欺電話をより説得力のあるものにします。
主なポイント
- ビッシング(ボイスフィッシング)は、電話や音声メッセージを使って個人を騙して機密情報を漏らしたり、認証情報を共有させたり、不正アクセスを許可させたりするソーシャルエンジニアリング攻撃です。
- 攻撃者は、なりすましや緊急性を装うことで被害者を欺く。一般的な手法には、ITサポート、金融機関、経営者を装い、発信者番号表示の偽装やAI生成の声を使って正当なふりをすることが多いです。
- Vishing攻撃はより大規模なセキュリティ侵害につながることがあります。盗まれた認証情報や不正アクセスによって、攻撃者は他のシステムを侵害したり、権限を昇格させたり、組織環境全体に横方向に移動したりすることが可能になる。
- Preventing vishing requires both employee awareness and technical security controls. Organizations should combine security training, identity verification, threat detection, and network visibility to reduce risk and limit the impact of successful attacks.
フィッシング詐欺はどのように行われるのか？
ヴィッシング攻撃は単に技術的な脆弱性を悪用するのではなく、ソーシャルエンジニアリングに依存しています。
攻撃者は通常、被害者に切迫感、恐怖、好奇心、あるいは信頼感を抱かせるような、信憑性のあるシナリオを作り出す。攻撃者はその後、被害者に情報を提供させたり、何らかの行動を取らせようと説得を試みる。
典型的なビッシング攻撃は以下のステップを含みます:
- 標的選定：攻撃者は、標的とする個人または組織を特定する。
- 調査：攻撃者は、ソーシャルメディア、公開ウェブサイト、 漏洩したデータ、またはその他の情報源から情報を収集する可能性があります。
- なりすまし：攻撃者は、信頼できる人物または組織になりすます。
- 操作：攻撃者は、被害者が迅速に行動するよう、切迫感やその他の理由を作り出す。
- 情報またはアクセス権：被害者は、認証情報、認証コード、金融情報、またはリモートアクセス権の提供を求められる場合があります。
- 悪用：攻撃者は、その情報やアクセス権を利用して、詐欺行為を行ったり、アカウントを侵害したり、他のシステムへのアクセス権を取得したりします。
フィッシング詐欺の効果は、被害者にその要求が正当なものであると信じ込ませることができるかどうかに大きく左右される。
ビッシング攻撃の例は何ですか?
よくあるビッシング攻撃は、発信者が銀行や金融機関の代理を装うというものです。
電話をかけてきた人物は、被害者のアカウントで不審な活動が検出されたため、直ちに本人確認が必要だと主張するかもしれない。攻撃者はその後、口座番号、パスワード、暗証番号、またはワンタイム認証コードを要求します。
職場での攻撃では、サイバー犯罪者が組織のIT部門を装い、従業員にアカウントに問題があると伝えることがあります。攻撃者は、従業員にログイン認証情報の提供、多要素認証（MFA）要求の承認、またはリモートアクセスソフトウェアのインストールを要求する可能性がある。
攻撃者がアクセス権を取得すると、他のシステムへの侵入を試みたり、組織内の環境を横断的に移動したりする可能性があります。
ビッシングとフィッシングの違いは何ですか？
フィッシング は、攻撃者が信頼できる情報源を装い、被害者に情報を漏らしたり安全でない行動を取らせたりする広範なソーシャルエンジニアリング攻撃の一種です。
従来のフィッシング詐欺では、一般的に電子メールが利用される。
ヴィッシングは電話や音声メッセージなどの音声通信を使って攻撃を実行します。
両方の攻撃は欺瞞に依存していますが、通信チャネルは異なります。フィッシングメールは、不正なログインページに誘導する可能性があり、一方、ビッシング攻撃者は、電話で被害者に同じ認証情報を提供するよう説得しようとする可能性がある。
ビッシングとスミッシングの違いは何ですか？
ビッシングとスミッシングはどちらもフィッシングの一種だが、使用する通信手段が異なる。
- フィッシング詐欺は、音声通話または音声メッセージを使用します。
- スミッシングはSMS（ショートメッセージサービス）やテキストメッセージを利用する。
攻撃者はこれらの手法を組み合わせることも可能です。例えば、被害者は、特定の電話番号に電話をかけるよう指示する詐欺的なテキストメッセージを受け取る可能性がある。攻撃者は電話越しにソーシャルエンジニアリング攻撃を続けることができます。
なぜビッシング攻撃は効果的なのか?
ヴィッシング攻撃は人間の行動を利用します。
人々は、特に電話をかけてきた相手が知識豊富に見えたり、信頼できる組織を代表していると主張したりする場合、直接話しかけてくる相手をより信頼する傾向があるかもしれない。
攻撃者は一般的に、次のような主張をすることで緊急性を煽ります。
- アカウントが侵害されました
- 支払いは即時承認が必要です
- パスワードの有効期限が間もなく切れます
- 不審な活動が検出されました
- 従業員のアクセス権限が無効化されます
- 金融取引は検証されなければならない
- 上級幹部が緊急の支援を必要としている
プレッシャーは、被害者が時間をかけて独自に要求内容を確認することを阻害する可能性がある。
フィッシング攻撃者はどのような情報を標的にするのか？
フィッシング攻撃者は、詐欺行為を働くのに役立つ情報や、システムへのアクセス権を取得しようとする可能性があります。
これには以下が含まれます。
- ユーザー名とパスワード
- 多要素認証コード
- 財務情報
- クレジットカードまたはデビットカードの番号
- 銀行口座情報
- 社会保障番号やその他の個人情報
- 従業員情報
- セキュリティに関する質問と回答
- 社内情報
- アプリケーションやセキュリティシステムに関する情報
比較的無害に見える情報でも、攻撃者が将来の攻撃をより説得力のあるものにする助けになることがあります。
AIの評価とは何か?
AIビッシングは人工知能を用いて、音声ベースのソーシャルエンジニアリング攻撃をより説得力があり、パーソナライズされ、拡張可能にします。
生成AIや音声クローン技術は、実際の人の声に似たリアルな音声を作り出すことができます。攻撃者はこれらの機能を利用して、経営幹部、同僚、家族、その他の信頼できる人物になりすまし、被害者を騙して機密情報を共有させたり、アクセス権を付与させたりする可能性がある。
FrontierのAIモデルがより高性能になるにつれて、攻撃者はビッシングキャンペーンのより高度な部分を自動化できるようになるかもしれません。こうした変化により、聞き慣れた声や説得力のある会話を本人確認の証拠として頼ることはますます難しくなっている。ユーザーは、認証情報、金銭、機密情報、またはシステムアクセスに関わる不審な要求については、信頼できる通信チャネルを通じて独自に確認する必要があります。
発信者番号偽装とは何ですか？
発信者番号偽装とは、攻撃者が受信者の電話に表示される情報を操作し、電話が別の番号や組織からかかってきたように見せかける行為です。
例えば、詐欺電話は銀行、政府機関、市外局番付きの電話番号、あるいは組織の内部ヘルプデスクからかかってきたように見せかけられることがある。
発信者番号情報は操作される可能性があるため、表示された電話番号が見覚えのある番号だからといって、その電話が正当なものだと決めつけてはいけません。
ビッシング攻撃の警告サインは何ですか?
フィッシング詐欺の潜在的な兆候には以下のようなものがあります。
- 予期せぬパスワードまたは認証コードの要求
- 即座に行動するよう圧力がかかる
- 口座閉鎖、財務損失、その他の影響の脅威
- 送金またはギフトカード購入のリクエスト
- ソフトウェアのインストールまたはリモートアクセス提供のリクエスト
- 個人情報や企業情報を聞き出そうとする電話
- 予期せぬMFA承認リクエスト
- 組織に直接連絡することを思いとどまらせようとする発信者
- 通常の社内手続きを迂回する要求
機密情報、金銭、認証情報、またはシステムアクセスに関わる予期せぬ要求は、独立した機関によって検証されるべきである。
ヴィッシング攻撃をどう防げる?
組織は、従業員教育、身元管理、認証手順、監視、技術的なセキュリティ対策を組み合わせることで、ビッシングリスクを軽減できます。
従業員は以下のことを行うよう訓練されるべきである。
- 電話でパスワードや認証コードを共有することは避けてください。
- 信頼できるチャネルを通じて予期しないリクエストを検証する
- 緊急な言葉や脅迫的な言葉遣いには注意してください。
- 予期しないMFAリクエストを承認しないでください
- 金融取引については、定められた手順に従ってください。
- 不審な電話はセキュリティチームに報告してください
- 身元不明の発信者からの要求に応じてソフトウェアをインストールすることは避けてください。
組織はまた、機密性の高い要求を検証するための明確なプロセスを確立し、従業員が正当なIT、財務、および経営上のコミュニケーションがどのように行われるべきかを理解できるようにすべきである。
フィッシング詐欺の電話を受けた場合、どうすればよいですか？
フィッシング詐欺の疑いがある場合は、情報を提供したり、発信者の要求に応じたりしないでください。
通話を終了し、既知の信頼できる電話番号または通信手段を使用して、その組織または個人に独自に連絡してください。
電話が職場のアカウントやデバイスに関する場合は、組織のセキュリティやITチームにインシデントを報告してください。
もし認証情報や認証情報がすでに提供されている場合は、影響を受けたパスワードを変更し、セキュリティチームは攻撃者がアカウントや他のシステムにアクセスしたかどうかを調査すべきです。
ヴィッシングはデータ侵害につながる可能性があるのか?
はい。成功したビッシング攻撃は攻撃者に認証情報やアクセス権を与え、それが大規模な サイバー攻撃の最初の侵入口となる可能性があります。
いったん攻撃者の侵入環境に入り込むと、攻撃者は権限の昇格、機密データへのアクセス、追加アカウントの侵害、あるいはシステム間の横方向の移動などを試みる可能性があります。
だからこそ、最初のソーシャルエンジニアリング攻撃を防ぐことが重要ですが、組織はユーザーが成功裏に侵害された場合に攻撃者ができることを制限するコントロールも必要です。
ビッシングとラテラルムーブメント
成功したビッシング攻撃は必ずしも攻撃の終わりを意味するわけではありません。それは始まりに過ぎないかもしれない。
攻撃者が有効な認証情報を盗んだり、従業員を説得してアクセスを許可させたりした場合、攻撃者は正当なユーザーであるかのように見せかけることができる。その後、攻撃者は追加のシステムを発見したり、アプリケーションにアクセスしたり、権限を昇格させたり、機密データや重要なリソースへと横方向に移動しようと試みる可能性がある。
システム間の不要な通信を制限することで、最初の侵害後に攻撃者が利用できる経路を減らすことができる。
組織はビッシング攻撃後の活動をどのように検知できるのか?
セキュリティチームは最初の不正な電話を超え、認証情報や endpoints、アカウントが侵害された場合に何が起こるかを監視すべきです。
ワークロード間の予期せぬ通信、異常なネットワーク接続、通常は通信しないシステムへのアクセス、その他の動作の変化は、攻撃者がアクセス権限を拡大しようとしていることを示している可能性があります。
ネットワークの可視性と文脈的なセキュリティインテリジェンスは、チームが不審な活動を調査し、攻撃者が次にどこに動こうとしているかを理解するのに役立ちます。
イルミオ・インサイトで脅威が広がる前に検知
巧妙なフィッシング詐欺の電話に人が応答するのを常に防ぐことはできません。しかし、次に何が起こるかを制限することは可能です。
Illumio Insightsは、セキュリティチームに環境全体のコミュニケーションを可視化し、初期の侵害後の疑わしい接続、リスクの高い経路、ラテラルムーブメントの可能性を特定するのに役立ちます。
Turn network activity into actionable intelligence and uncover threats before they become widespread breaches.
よくある質問
ビッシングとはどういう意味ですか？
ビッシングとは、音声を使ったフィッシングのことです。これは、電話やその他の音声通信を利用して被害者を騙し、機密情報を提供させたり、危険な行動を取らせたりするソーシャルエンジニアリングの手法である。
ビッシングはサイバー攻撃ですか？
はい。ビッシングは、ソーシャルエンジニアリングを利用したサイバー攻撃の一種です。技術的な脆弱性だけに頼るのではなく、人々を標的にしています。
フィッシング詐欺の例を教えてください。
攻撃者は、ITサポート担当者を装って従業員に電話をかけ、アカウントに問題があると主張する可能性がある。攻撃者はその後、従業員のパスワード、多要素認証コード、または認証要求の承認を要求する可能性がある。
フィッシングとビッシングの違いは何ですか？
フィッシング詐欺は、被害者を騙すために偽のメールやウェブサイトを利用するのが一般的です。フィッシング詐欺は、電話などの音声通信を利用します。どちらも社会工学の一形態である。
AIはビッシングに使えますか?
はい。攻撃者はAI生成やクローン音声を使って信頼できる人物になりすまし、詐欺電話をより説得力のあるものにすることができます。
組織はどのようにしてフィッシング詐欺から身を守ることができるでしょうか？
組織はセキュリティ意識向上トレーニング、強力な認証、検証手順、監視、ネットワーク可視性、セグメンテーションを組み合わせることができます。これらの対策は、認証情報やシステムが侵害された場合の攻撃を防止し、その影響を抑えるのに役立ちます。
フィッシング詐欺はなぜ企業にとって危険なのか？
成功したビッシング攻撃は、認証情報、財務情報、機密データ、内部システムなどを漏らす可能性があります。攻撃者が組織の環境へのアクセス権を獲得した場合、その足がかりを利用して権限を昇格させ、他のリソースへと横方向に移動する可能性がある。