ビッシング(音声フィッシング)とは?主な手口と対策を徹底解説

犯罪者は常に進化し続け、標的とした被害者を騙すために新しい手口を編み出しています。FBIのインターネット犯罪苦情センター(IC3)の報告によると、2018年にはフィッシング被害による損失が4,800万ドルに達しました。現在では多くのユーザーがメールによるフィッシング攻撃に警戒心を持っているため、犯罪者は「声」と「フィッシング」を組み合わせた新たな手法へとシフトしています。

ビッシングの基本

ビッシング(Vishing:Voice + Phishing)とは、サイバー犯罪者が電話を使ってユーザーを騙し、個人情報を引き出す詐欺手法です。ビッシング攻撃では、犯人はソーシャルエンジニアリングを駆使して、ログイン認証情報や銀行口座情報などの重要な情報を提供させようとします。

典型的な手口としては、まず「あなたのアカウントが不正アクセスされました」と被害者に警告を発します。その後、銀行や警察・法執行機関の担当者を装い、中には「セキュリティソフトをインストールしてあげる」と持ちかけるケースもあります。ただしそのソフトウェアは、実際にはマルウェアです。

ビッシングはフィッシングの一種です。フィッシングには、メール、SMS、電話、チャットメッセージなど、さまざまな通信手段を使って標的と接触する手法が含まれており、いずれも目的は個人情報の窃取または金銭の搾取です。

技術の進化により、詐欺師が世界中の人々に一斉に接触することは容易になっています。VoIP(Voice over Internet Protocol)技術を利用すれば、発信者番号を偽装し、銀行や法執行機関など信頼できる組織になりすますことさえ可能です。

フィッシングとビッシングに本質的な違いはありません。ビッシングとは「電話を使ったフィッシング」のことです。詐欺師はさまざまなシナリオを使ってユーザーを騙そうとします。代表的な手口は以下の通りです。

1. 「銀行口座が不正利用された」手口

この手口では、オペレーターまたは録音メッセージを使って「あなたの口座に問題が発生した」と伝えてきます。場合によっては「支払いが不正に処理されたため、エラーを修正するには再度支払う必要がある」などと言われることもあります。さらに「問題を遠隔で解決するためにログイン情報が必要だ」と要求されるケースもあります。しかし、電話で銀行の認証情報や口座情報を伝えることは絶対に避けてください。一旦電話を切り、金融機関に公開されている公式の電話番号からかけ直して確認しましょう。

2. 融資・投資話の手口

この方法では、詐欺師は魅力的な投資案件やローンの話を持ちかけ、まず「手数料」を支払わせたり、個人の銀行情報を提供させたりしてお金を騙し取ろうとします。提示される金額に比べて手数料はわずかに見えるかもしれませんが、正規のローンサービスで前払い金を要求するところは存在しません。個人・法人を問わずローンが必要な場合は、必ず銀行窓口で手続きしましょう。また、投資案件の側から連絡してくることはありません。

3. メディケア(Medicare)詐欺の手口

高齢者層は電話詐欺の最大のターゲットです。米国では、犯人はメディケア(公的医療保険)の登録期間中にメディケアの担当者を装い、メディケア番号や銀行口座情報などの金融情報を収集します。集めた情報は不正行為や金銭の搾取に悪用されます。協力を拒否すると、「社会保障番号(SSN)を停止する」と脅されることもあります。日本でも年金機構や役所、保険会社などを装った電話詐欺が多発しているため、同様に警戒が必要です。

4. 税金還付・申告詐欺の手口

この詐欺はさまざまな形で現れますが、多くの場合、録音メッセージから始まります。「税金の申告に問題がある。至急折り返し電話しなければ逮捕される」といった内容です。発信者番号はIRS(米国内国歳入庁)からの着信に偽装されています。この種の詐欺に対抗するには、税務当局がどのような場合に連絡してくるのか、どのように問題を解決するのかを理解しておくことが有効です。

米国のIRSは、以下のような行動は一切行いません。

• プリペイドデビットカード、ギフトカード、電信送金など特定の支払い方法での即時支払いを電話で要求する。一般的に、IRSは税金を滞納している納税者に、まず郵送で請求書を送付します。
• 異議申し立てや上訴の機会を与えずに税額の支払いを強要する。納税者には権利がある旨を通知する義務があります。
• 未納を理由に地元警察や入国管理当局などに逮捕させるよう脅す。IRSには運転免許証、営業許可証、移民ステータスを取り消す権限もありません。こうした脅しは、詐欺師が被害者を騙すための常套手段です。

日本においても、税務署職員や警察官を装い「還付金があります」「未納の税金があります」と電話をかけてくる詐欺が後を絶ちません。国税庁や税務署が電話で還付金の手続きを求めることはありませんので、同様に警戒してください。

ビッシングの見分け方

ビッシングから身を守る最良の方法は、不審な電話の特徴を知ることです。サインは必ずどこかに現れます。それを知っていれば安全を確保できます。手口が違っても目的は共通しており、犯人は必ずそこに到達しようとします。ビッシング詐欺を見分ける際のポイントは以下の通りです。

• 相手がIRS、メディケア、法執行機関の担当者だと名乗る。米国の連邦政府機関は、こちらから依頼した場合を除き、市民に電話をかけることはありません。また、SNS、メール、SMSから接触してくることもありません。そのような機関の担当者を名乗る電話がかかってきたら疑い、電話を切りましょう。公開されている公式番号で確認することが大切です。
• 常に焦らせようとしてくる。詐欺の最大の特徴は、恐怖や脅しで相手をパニックに陥れ、即座に行動させることです。そのような電話を受けたら冷静さを保ち、圧力に屈してすぐに要求に応じないようにしましょう。「そちらの事務所に出向いて解決します」と伝え、一切の情報を渡さずに電話を切って調査を行ってください。可能であれば、企業の不正対策部門に通報しましょう。
• 個人情報を必ず聞き出そうとする。相手は「確認作業のため」と称して個人情報を要求します。SSN(社会保障番号)、生年月日、住所、氏名、銀行口座情報などが対象です。これらの情報は不正行為や金銭窃取に悪用されます。

ビッシングへの具体的な防御策

ビッシングの仕組みを知ることに加え、以下の対策を実践することで防御力をさらに高められます。

• 電話番号をナショナル・ドゥ・ノット・コール登録簿に登録する(米国の場合)。テレマーケティング業者からの販売促進電話を防ぐことができます。すべての企業が従うわけではありませんが、宣伝電話が減れば、詐欺電話にも気づきやすくなります。
• 知らない番号には出ない。留守番電話に任せ、内容を確認してから十分な調査を行ったうえで、折り返すかどうか判断しましょう。
• 違和感があれば即座に切る。礼儀として会話を続ける必要はありません。電話を切って、番号をブロックしましょう。
• 自動音声の指示に従わない。「質問の答えとして番号を押してください」といった自動音声ガイダンスの指示には、決して従わないでください。
• 発信者のIDを確認する。折り返し先の番号を教えられた場合は、企業の公式サイトなどに掲載されている公開番号と照合しましょう。そのうえで、当該企業に直接電話し、その担当者が実在するかどうか確認してください。

まとめ

ビッシングから身を守る方法を学ぶことは必須です。攻撃者は非常に狡猾で、自分たちを本物だと思い込ませるためにあらゆる手段を使ってきます。しかし、本記事で紹介したポイントを心に留め、電話で個人情報を決して渡さないことを徹底すれば、被害を防ぐことができます。ビッシングは広大なフィッシング手法の一つにすぎません。信頼できるアンチマルウェア・セキュリティソフトでシステムを保護し、オンライン攻撃にも備えることが重要です。