ビッシング（）またはボイスフィッシング（）は、電話、IP電話、ボイスメールなどの音声通信を利用し、攻撃者が信頼できる組織や人物になりすまして、認証情報や金融情報を詐取したり、送金などを行わせたりするソーシャル・エンジニアリングおよびフィッシング攻撃の一種である。語名は「voice」（音声）と「phishing」（フィッシング）を組み合わせたかばん語である。
音声通信を攻撃の入口または中心的な手段とし、秘密情報の口頭での開示だけでなく、偽サイトへの入力や送金、端末の遠隔操作を促す場合も含まれる。通話だけで完結するとは限らず、電子メールやSMSで攻撃者の電話番号へ折り返させたり、通話中に偽サイトへのリンクを送ったりする。電子メールと電話を併用する形態はハイブリッド・ビッシングとも呼ばれる。
攻撃の仕組み 具体的な手順は事例によって異なるが、公的機関の注意喚起や事例研究で確認されている典型的な流れは次のように整理できる。各段階は必ずしも分離しておらず、自動音声と人間のオペレーターを切り替えたり、電子メール、SMS、偽サイトを併用したりする。
標的の選定と情報収集 — 無差別の大量発信に用いる電話番号リストを入手するほか、情報漏えい、企業ウェブサイト、SNSなどから、標的の氏名、役職、所属組織、電話番号、音声試料などを収集し、説得力のある口実を準備する。 接触 — 攻撃者側から直接電話をかける、自動音声やボイスメールで折り返しを促す、または電子メールやSMSに電話番号を記載して標的側から発信させる。 なりすましと心理的誘導 — 銀行、行政機関、警察、通信事業者、技術サポート、勤務先の上司、家族などを装い、「口座が不正利用された」「直ちに手続きしなければならない」などと告げる。権威、緊急性、恐怖などを利用し、標的に十分な確認をさせないまま行動を促す。 情報・操作の獲得 — 暗証番号、カード番号、ID・パスワード、ワンタイムパスワードなどを口頭で聞き出すほか、通話を続けながら偽サイトへ入力させたり、遠隔操作ソフトを導入させたりする。 悪用 — 取得した情報を用いてアカウントを乗っ取り、不正送金や決済を行う。標的自身に送金させたり、ギフトカードや暗号資産を購入させたりする場合もある。
実際のビッシング事例86件を分析した研究では、攻撃者が利用する説得原理として、権威、社会的証明、注意のそらしが特に多く、好意・類似性・欺瞞も過半数の事例で確認された。音声通話では、攻撃者が標的の反応に応じて説明や圧力を変えられ、即時の応答を求められた標的は内容を検討する時間を取りにくい。
利用される技術 IP電話と発信者番号の偽装 VoIPはインターネット経由で多数の通話を自動発信することを容易にし、発信に使われた番号を追跡しにくくする場合がある。また、端末に実際の発信元とは異なる番号を表示させ、正規の企業や行政機関からの電話に見せる発信者番号の偽装が併用されることがある。このため、端末に表示された番号だけでは発信者の身元を証明できない。
大量発信には、録音音声、音声合成、自動音声応答装置（IVR）が使われる。自動音声で番号を押すよう求めた後、人間のオペレーターに切り替える形態も確認されている。
AIによる音声の生成・複製 生成AIによる音声ディープフェイクやボイス・クローニングは、家族、上司、企業幹部など、標的が知る人物の声を模倣するために利用され得る。公開された動画やSNS上の短い音声を試料として声を複製し、緊急送金や情報開示を求める手口について、公的機関が注意を呼びかけている。声が似ていることだけを本人確認の根拠とせず、既知の連絡先や別の通信手段で確認することが推奨されている。
遠隔操作ソフトの併用 ビッシングは情報を聞き出すだけでなく、正規の遠隔操作ソフトを「セキュリティ強化」や「システム更新」のためと偽って導入させる入口にもなる。日本で2026年に確認された手口では、攻撃者が企業の端末を遠隔操作し、偽の更新画面などを表示している間に、別途詐取したインターネットバンキングの認証情報を使って不正送金を実行した。
ハイブリッド・ビッシングの国際的な例として、米国連邦捜査局（FBI）は2025年、偽の購読料金を知らせる電子メールから電話をかけさせ、遠隔操作ソフトを導入させてデータを窃取し、身代金を要求する犯罪集団の活動を報告した。
主な類型 ビッシングで用いられる口実は地域や時期によって変化するが、代表的なものには次がある。
金融機関のなりすまし — 口座の不正利用、本人確認、電子証明書やセキュリティ設定の更新を口実に、口座情報や認証情報を取得する。 行政機関・捜査機関のなりすまし — 税金の未納や犯罪への関与などを告げ、法的な不利益を避けるためとして、個人情報の開示や送金を求める。 企業・取引先のなりすまし — 経営者、上司、取引先、IT部門などを装い、機密情報、認証情報、請求書の支払いや緊急送金を要求する。 家族・知人のなりすまし — 事故などの緊急事態を装い、家族や知人に送金させる。AIによる音声複製が説得力を高めるために使われる場合がある。 技術サポートのなりすまし — ウイルス感染や機器の故障を偽り、料金の支払い、認証情報の開示、端末への遠隔アクセスを求める。
発生と変遷 電話を使った詐欺自体は以前から存在したが、「vishing」という語は2006年7月には、電子メールでフリーダイヤルへ折り返させ、プッシュ信号で個人情報を入力させる手口や、VoIPを使った大量発信を説明する語として報じられていた。2008年には、情報セキュリティ教育に関する学会で新たな脅威ベクトルとして論じられた。
FBIがアメリカ合衆国サイバーセキュリティ・社会基盤安全保障庁（CISA）と調整して2021年に公表した通知によると、遅くとも2019年12月には、米国内外の大企業の従業員がVoIPによるビッシングの標的となっていた。従業員は通話中に偽のログインページへ誘導され、詐取された認証情報は企業のVPNや内部ネットワークへの侵入、権限昇格に使われた。
APWGにデータを提供したFortraは、電子メールと電話を併用するハイブリッド・ビッシングを2023年以前にはほとんど観測していなかったが、2023年第4四半期には同社が記録した攻撃の6.1%を占めたと報告した。典型例は、商品・サービスの料金を請求する電子メールを送り、取り消しや返金のためとして記載された番号へ電話をかけさせるものであった。
欧州刑事警察機構（ユーロポール）は2023年、オンライン詐欺の大半でなりすましが使われ、一部の犯罪ネットワークが発信者番号偽装をサービスとして他の犯罪者へ提供していると報告した。APWGの2026年第1四半期報告では、同団体の構成員であるCrane Authenticationが観測した「ビッシングとスミッシングを合わせた電話系詐欺」が、2025年第4四半期から2026年第1四半期に15%増加した。この数値はビッシング単独の統計ではない。
日本における被害 日本では2024年秋頃から、銀行関係者を装って企業の代表電話へ架電し、インターネットバンキングの更新手続きなどを口実に担当者のメールアドレスを聞き出す手口が増加した。攻撃者は通話後または通話中に担当者宛てのフィッシングメールを送り、偽サイトへID、パスワード、ワンタイムパスワードなどを入力させ、法人口座から不正送金する。
警察庁によると、法人口座を狙うこの型の被害は2024年秋から2025年4月にかけて急増し、同年5月から10月には確認されなかったものの、11月に再び急増した。2025年中のインターネットバンキング不正送金は4,747件、被害総額約103億9,700万円であり、このうち法人口座を狙うボイスフィッシングは143件、被害額約45億円で、件数は全体の1割未満ながら被害額の約4割を占めた。11月だけで77件、被害額約23億1,000万円が記録され、1社で4億円を超える被害も確認された。
2026年には、電話でメールアドレスと携帯電話番号を聞き出し、電子メールとSMSを使って遠隔操作ソフトと偽サイトの双方へ誘導する手口が確認された。攻撃者は遠隔操作中の企業端末に偽の画面を表示し、その間に不正送金を行っており、警察庁と全国銀行協会が注意を呼びかけた。
対策 利用者側の対策 カナダ・英国・日本の公的機関などは、発信者番号、相手が知っている個人情報、声の類似だけを信用の根拠にしないよう注意を呼びかけている。不審な通話ではいったん切断し、相手が示した番号ではなく、公式ウェブサイト、カード券面、契約書などから独立に確認した番号へかけ直すことが推奨される。家族や上司の声を名乗る場合も、既知の連絡先や別の通信手段を使って本人に確認する。
金融機関などの正規事業者を名乗る相手であっても、通話中に暗証番号、パスワード、ワンタイムパスワードを伝えたり、送られてきたリンクからログインしたりしない。インターネットバンキングは公式サイトまたは公式アプリから利用し、相手の指示でソフトウェアを導入しないことが勧告されている。
認証情報を伝えた、偽サイトへ入力した、または遠隔操作を許可した場合について、カナダ・日本の機関は、関係する金融機関やサービス提供者へ速やかに連絡して利用停止などを求め、パスワードを変更し、警察や組織の情報セキュリティ担当へ報告するよう案内している。
組織側の対策 警察庁は、銀行を名乗る電話を受けた際には営業店・代表電話へ折り返して確認すること、インターネットバンキングは銀行の公式サイト・アプリから利用することを社内で徹底するよう求めている。カナダのサイバーセキュリティ当局は、従業員への訓練、容易にインシデントを報告できる手順、機密情報を扱う電話についての正式な認証手順を推奨している。FBIも、IT部門が従業員に対してどのように身元を示すかを定め、周知することを勧告している。
ビッシングで認証情報を奪われた後の被害を抑える対策として、FBIは多要素認証、最小権限の原則に基づくアクセス権とその定期的な見直し、不正アクセスの監視、ネットワークセグメンテーションを挙げている。また、電話で聞き出した担当者名や部署名を記載した個別メールは本物らしく見えるため、代表電話の応対者を含め、電子メールと通話を組み合わせた手口を訓練の対象にする必要がある。
通信網・検知技術 発信者番号偽装への技術的対策として、米国では電話事業者間で発信者番号情報を認証・検証する枠組みSTIR/SHAKENが導入された。連邦通信委員会（FCC）の規則は、一定の適用除外・期限延長を除き、音声サービス事業者にIP網での完全実装を2021年6月30日までに求め、その後、通話経路上の中継事業者などにも実装義務を拡大した。この枠組みはSIP通話に付随する発信者番号情報を事業者間で検証するものであり、番号が偽装されていないと判断する助けにはなるが、それだけでは誰が電話しているかまでは分からない。したがって、認証された番号からの通話であっても、通話内容や発信者の意図が正当であることまで保証するものではない。
AI音声への法的対応として、FCCは2024年2月、AIで生成された人間の声を米国の電話消費者保護法上の「人工音声」に含むと判断した。これにより、緊急時や適用除外を除く事前同意、発信主体の識別情報の告知など、人工音声通話に適用される要件の対象となることを明確にした。
通話内容の文字起こしや自然言語処理、話者・合成音声の分析などを組み合わせた自動検知も研究されている。ただし、ビッシングは即時に進行するため実時間での検知が必要であり、実際の双方向通話を収録した公開データセットの不足、誤検知による警告疲れ、通話の収集・分析に伴うプライバシーと同意の問題が課題とされる。
関連項目 フィッシング (詐欺) スミッシング スピアフィッシング 特殊詐欺 サポート詐欺 ディープフェイク なりすまし
脚注