ビッシングとは？手口・被害事例と今すぐ実践できる対策
「知らない番号から電話が来た」その一本が、あなたの銀行口座を空にするかもしれません。
ビッシング（Vishing）は、電話という日常的なツールを悪用したサイバー攻撃の一手法です。フィッシングメールと比べて「声」による心理的な圧力が加わるため、技術的なリテラシーが高い人でも被害に遭うケースが報告されています。
実際、国民生活センターへの電子メール・電話関連の相談件数は年々増加しており、電話を起点とした詐欺は現代のサイバーセキュリティにおいて無視できない脅威となっています（参考：独立行政法人 国民生活センター 相談情報）。
この記事では、ビッシングの定義から手口の詳細、実際の被害事例、そして個人・企業それぞれが今日から取れる対策まで、体系的に解説します。
ビッシングとは
ビッシングとは、「Voice（音声）」と「Phishing（フィッシング）」を組み合わせた造語で、電話を通じて相手を騙し、個人情報や認証情報、金銭を詐取する攻撃手法です。
フィッシングが「偽サイトへ誘導するメール」であるのに対し、ビッシングは「声」という媒体を使います。人間は文字よりも声に対して感情的に反応しやすく、攻撃者はその心理的特性を最大限に利用します。
ビッシングという言葉を初めて目にする方も多いかもしれませんが、電話を使った詐欺自体は「オレオレ詐欺」「振り込め詐欺」として以前から日本に存在します。現代のビッシングはそれらの延長線上にあり、AI音声技術やVoIP（インターネット電話）の普及によって、より巧妙かつ大規模に進化しています。
フィッシング・スミッシングとの違い
ソーシャルエンジニアリング型の攻撃は、使用する「チャネル」によって名称が変わります。
攻撃手法 媒体 特徴 フィッシング メール 偽サイトへの誘導が中心。大量送信が容易 スミッシング SMS・メッセージアプリ URLリンクが主な手口。スマートフォンユーザーが標的 ビッシング 電話（音声） 「声」による心理的圧力。即時の判断を迫る
三者に共通するのは、「信頼できる組織や人物になりすます」という点です。ただしビッシングは、メールやSMSと異なり、リアルタイムの対話が発生します。攻撃者は相手の反応を見ながら言葉を変え、確認する時間を与えず、感情的に追い詰めていきます。
この「動的な詐欺」という性質がビッシングの最大の脅威です。メールであれば受信後に落ち着いて読み直すことができますが、電話では「今この瞬間」に判断を迫られます。攻撃者はその時間的プレッシャーを意図的につくり出します。
ビッシングはソーシャルエンジニアリングの一種
ビッシングは、技術的な脆弱性ではなく「人間の心理」を攻撃する「ソーシャルエンジニアリング」に分類されます。
権威への服従（「警察です」「銀行です」）、希少性の強調（「今すぐ対応しないと口座が凍結されます」）、社会的証明（「他の皆様も対応済みです」）これらは行動心理学が示す人間の意思決定バイアスそのものです。攻撃者は、これらのバイアスを意図的に突いてきます。
セキュリティ教育の盲点は、「技術的な知識が豊富でも、感情的な圧力には弱い」という事実にあります。情報セキュリティの訓練を受けたエンジニアでさえ、家族の声を模倣したAI音声や、職場の上司を騙った緊急電話には対応を誤るケースがあります。知識と行動の間には、感情という橋が必要なのです。
ボイスフィッシングとも呼ばれる
ビッシングは「ボイスフィッシング（Voice Phishing）」とも呼ばれ、韓国では社会問題として長年取り上げられてきた経緯があります。日本でも「振り込め詐欺」「特殊詐欺」として警察庁が年次報告を発表しており、2023年の特殊詐欺被害額は約441億円にのぼります（参考：警察庁 令和5年における特殊詐欺の認知・検挙状況等について）。
デジタル化が進む現在、「電話詐欺」と「サイバー攻撃」の境界は急速に曖昧になっています。ビッシングはその融合地点に位置する脅威です。
ビッシングの手口
ビッシングには複数の手法が存在し、標的によって使い分けられています。手口を知ることは、それ自体が防御になります。
ウォーダイヤリング
電話番号を機械的に自動生成・連続発信し、応答があった番号を「有効なターゲット」として記録する手法です。かつては物理的な電話回線が必要でしたが、VoIPの普及によって、世界中のどこからでも大量発信が可能になりました。
攻撃者はまずこの段階で「つながる番号」のリストを作り、その後のなりすまし詐欺に活用します。ターゲットリストの精度を上げるため、SNSや流出した個人情報データベースと組み合わせて、特定の年齢層・地域・職業に絞った発信を行うケースも確認されています。
VoIP（インターネット電話）の悪用
VoIPは発信者番号を自由に設定できるという特性があります。攻撃者は「03-–」といった実在する企業や金融機関の番号、あるいは「110（警察）」「0120（フリーダイヤル）」に見せかけた番号を表示させ、受信者に正規の機関からの着信だと誤認させます。
スマートフォンの画面に表示される番号だけでは、発信元の真偽を確認できない。これが現在のビッシングを困難にしている構造的な問題です。着信音が鳴った瞬間に「本物に見える」という状況が既に攻撃の一部として機能しています。
自動音声応答（IVR）攻撃
「お客様の口座に不正なアクセスが確認されました。確認のため、1を押してください」こうした自動音声メッセージを大量配信し、反応した人間を次のステップへ誘導する手法です。
自動音声は人件費なしに大規模展開が可能なため、コストパフォーマンスが高く、特定機関のなりすましに多用されます。「1を押す」という小さな能動的行動を取らせることで、受信者の心理的関与を高め、その後の要求に応じやすくする効果もあります。総務省の調査でも、自動音声を用いた詐欺電話の被害は継続的に報告されています（参考：総務省 電気通信消費者相談センター）。
マルチチャンネル詐欺（ハイブリッド型）
メール・SMS・電話を組み合わせる高度な攻撃です。
まず「セキュリティ上の問題を検知しました」というメールやSMSを送り、記載の電話番号に電話させます。電話に出るのは攻撃者が用意した「偽のサポートセンター」です。あるいは逆に、電話で「確認メールをお送りしました、リンクをクリックしてください」と誘導する場合もあります。
複数のチャネルにまたがることで、受信者に「公式感」を演出するのがこの手法の巧みさです。一つの接触では疑わしいと感じる人でも、メールと電話が重なると「本物では」と思い込みやすくなります。また、複数チャネルにまたがる攻撃は後から被害を振り返ったときにも「どこから始まったのか」が分かりにくく、調査を困難にするという副次効果もあります。
テクニカルサポート詐欺
「あなたのパソコンにウイルスが検出されました」と称して、遠隔操作ソフトのインストールを要求する手法です。Microsoft、Apple、Googleなど有名テクノロジー企業を騙ることが多く、要求に応じると攻撃者にPCへの完全なアクセス権を渡すことになります。
このとき使われる遠隔操作ソフト自体は、「TeamViewer」「AnyDesk」といった正規のリモートサポートツールである場合がほとんどです。ソフトウェア自体は無害であるため、セキュリティソフトでは検知されず、被害者も「プロが作業している」と思い込みやすい。IPA（情報処理推進機構）の「情報セキュリティ10大脅威」でも、サポート詐欺は継続的にランクインしています（参考：IPA 情報セキュリティ10大脅威 2024）。
AI音声クローニングを悪用したビッシング
2023年以降、急速に台頭しているのが、生成AIによる「音声クローニング」を活用した攻撃です。SNSや動画サービスに公開された音声データをわずか数秒分学習させるだけで、特定の人物の声を再現するAIが登場しています。
「お父さん、事故を起こして今警察にいる、すぐお金が必要だ」この声が、実際に家族の声に聞こえたとしたら。FBIは2023年、AIを用いた音声詐欺の増加に関する注意喚起を発出しています（参考：FBI IC3 Annual Report 2023）。
特筆すべきは、この技術のコストがほぼゼロに近い点です。以前は高度な機材と専門知識が必要だった音声合成が、今では無料または低価格のオンラインサービスで誰でも使える状態になっています。技術的参入障壁の崩壊が、ビッシングの「民主化」とでも呼ぶべき状況を生み出しています。
リバースビッシング（折り返しを誘導する手口）
「折り返し電話をください」という留守電やSMSを残し、被害者に自発的に電話させる手口も増えています。これを「リバースビッシング」と呼びます。
自分から電話した場合、人は「騙されている」という警戒感を持ちにくくなります。能動的な行動がそのまま信頼感に変わる。攻撃者はこの心理を逆手に取っています。「口座に問題があります、0120-XXX-XXXまでご連絡ください」というSMSを受け取ったとき、その番号に電話することが既に罠への入口になっているわけです。
ビッシングの被害事例
抽象的な脅威として認識するより、実際に起きた事例を知ることのほうが対策に直結します。
事例①：ゆうちょ銀行社員を騙ったビッシング
「ゆうちょ銀行のセキュリティ部門です。お客様の口座から不審な引き出しが確認されました」と語りかけ、口座番号・暗証番号・ワンタイムパスワードを聞き出す手口です。攻撃者はリアルタイムでオンラインバンキングにログインし、被害者が電話で話している間に送金を完了させます。
恐ろしいのは、攻撃者が被害者を電話で「引き留めている」間に全ての不正操作が完了する点です。電話を切った後に気づいても、すでに手遅れになっているケースが多い。ゆうちょ銀行は公式サイトで「電話で暗証番号やパスワードを聞くことはない」と繰り返し注意喚起を行っています。
事例②：公的機関を騙ったビッシング
「マイナンバーが犯罪に使用されています」と称して、個人情報の確認を求める手口は、行政機関を装った典型的なビッシングです。特に高齢者を狙うケースが多く、「逮捕を免れるために資産を保護する必要がある」という偽の説明で、現金の振り込みやギフトカードの購入を誘導します。
この手口の巧妙な点は、「あなたは被害者だ」という立場で語りかける点です。被害者を守るふりをしながら、実際には被害者にさせるという構造は、詐欺の古典的なパターンでもあります。消費者庁も同様の手口への注意喚起を継続しています（参考：消費者庁 特殊詐欺注意喚起）。
事例③：ITヘルプデスクを騙った企業向けビッシング
ITヘルプデスクや情報システム部門を装い、「システムメンテナンスのためにVPN接続のパスワードをリセットする」と告げて認証情報を搾取する手口は、企業への標的型攻撃として急増しています。
2022年にはUber社が、ヘルプデスクへのソーシャルエンジニアリング攻撃によって社内システムへの不正アクセスを許しました。攻撃者はまずSlackで社員に接触し、その後MFA（多要素認証）疲労攻撃と組み合わせて認証を突破しています（参考：Uber Newsroom）。
この事例が示すのは、ビッシングが単体の攻撃手法ではなく、より大きな侵害シナリオの「入り口」として機能するという点です。VPN認証情報を一度取得されると、そこから内部ネットワーク全体への横断移動（ラテラルムーブメント）が始まります。
事例④：警察庁職員を装った詐欺電話
「警察庁のサイバー犯罪対策課です。あなたの口座が不正送金に利用されています」という電話で、被害者が自ら銀行に出向いて現金を引き出し、指定の口座に送金させられるケースが国内でも報告されています。
警察という高い権威を持つ機関の名前を出すことで、被害者は反論や確認をしにくくなります。さらに「捜査中のため他言無用」という指示を加えることで、家族や友人への相談を封じ込める。これは情報の孤立化を意図した典型的な手口です。
ビッシングに遭ったときの見分け方
ビッシング被害を防ぐ第一歩は、「おかしいと気づく」ことです。攻撃者はシナリオを事前に準備していますが、いくつかの共通パターンがあります。
緊急性を過度に強調する 「今すぐ対応しなければ口座が凍結されます」「あと30分で手続きが必要です」正規の機関がこのような圧力をかけることはまずありません。緊急性の演出は、冷静な判断を奪うための最も基本的な心理的テクニックです。
個人情報・認証情報の要求 銀行、警察、マイナンバーカードセンターなど、いかなる公的機関も電話口でパスワード・暗証番号・ワンタイムパスワードを尋ねることはありません。「本人確認のために」という前置きがあっても、この原則に例外はありません。
発信者番号が「正規」すぎる 画面に公的機関の番号が表示されていても、VoIPによる偽装の可能性があります。番号の一致は「本物の証明」にはなりません。むしろ、完璧に正規に見える番号ほど疑うべきという逆説的な視点が重要です。
話を切り上げようとすると強引に引き留める 「確認してから折り返します」と伝えたときに「その必要はありません」「時間がありません」と返ってくる場合は強く疑ってください。正規の機関は、折り返しを拒否しません。
「他言無用」の指示 「捜査に関わるので、ご家族にも話さないでください」という指示は、詐欺の強烈なシグナルです。孤立させることで、第三者からの救いの手を遮断しようとしています。
ビッシングの被害にあわないための対策（個人）
知らない番号からの着信はすぐに出ない
まずは「出ない」という選択肢を持つことが、リアルタイムの心理的圧力から身を守る基本です。着信を受けた後、公式サイトに掲載されている番号に自分から電話して確認する。この一手間が被害を防ぎます。
番号検索サービス（「電話番号 ○○○-○○○○」で検索）を使って、着信番号が詐欺として報告されていないか確認する習慣も有効です。「知らない番号には出ない」というルールを家族全員で共有するだけで、リスクは大幅に下がります。
電話で個人情報・認証情報を教えない
金融機関、通信会社、公的機関は、電話口で暗証番号・パスワード・ワンタイムパスワードを尋ねることはありません。「本人確認のために」という前置きがあっても、認証情報を伝えることは絶対に避けてください。
特に注意が必要なのが「折り返し確認したうえで教えてしまう」パターンです。着信元に折り返しても、攻撃者が転送設定などを使って同じ偽オペレーターに繋がるよう仕組んでいることがあります。折り返す際は、着信履歴の番号ではなく、公式サイトから直接番号を確認してください。
「折り返し確認」を徹底する
「内容を確認してから折り返します」と伝えて一旦電話を切る。これが最も有効な対処です。焦らせようとする相手は、時間の余裕を奪うことで判断力を低下させようとしています。
公式サイトから確認した問い合わせ先に連絡し、「先ほど○○という内容で電話がありましたが、本当ですか」と確認するだけで詐欺かどうかを見極めることができます。正規の機関であれば、折り返しを快く受け入れます。
スパムフィルターアプリの活用
iPhoneの「着信拒否・フィルタリング」機能や、「Whoscall」「電話帳ナビ」などのアプリは、既知の詐欺番号からの着信を事前に警告・ブロックします。完全ではありませんが、第一の防衛線として有効です。
日本では「迷惑電話チェッカー」などのサービスが詐欺番号のデータベースを持っており、報告数が多い番号にはリアルタイムで警告が表示されます。テクノロジーを活用した「受け身の防御層」として積極的に使いましょう。
家族間でのコードワード設定
AI音声クローニング詐欺への対策として、家族や信頼できる知人との間で「コードワード（合言葉）」を事前に決めておく方法があります。声が本物に聞こえる状況でも、合言葉を知らなければ本人確認ができないという仕組みです。
コードワードは日常会話では使わない、かつ第三者が推測しにくい言葉を選んでください。緊急の電話がきたら「合言葉を言って」と求めるルールを家族で徹底するだけで、音声クローニング詐欺への耐性が大幅に高まります。
ビッシングの被害にあわないための対策（企業）
個人と異なり、企業でのビッシング被害は情報漏洩・システム侵害・業務停止へと直結するリスクがあります。対策も組織的・体系的に行う必要があります。
情報セキュリティ教育の定期的な実施
ビッシングの脅威を「知っている」かどうかで、被害確率は大きく変わります。社員向けのセキュリティ教育では、実際の手口や被害事例を用いたロールプレイング型の訓練が特に効果的です。
座学形式の研修だけでなく、実際に「不審な電話への対応」をシミュレーションする訓練を取り入れると、有事の際に体が自然と動くようになります。電話口での情報提供ルールを明文化し、「VPN認証情報をヘルプデスクから電話で要求されることはない」という知識を全社員が持つことが重要です。
また、新入社員や異動直後の社員は特に狙われやすい傾向があります。「社内の誰かからの電話」を装った攻撃に対して、職場の顔ぶれが分からない時期は特に注意が必要です。入社・異動後の早期にセキュリティ教育を実施する体制が求められます。
多要素認証（MFA）の導入
ビッシングで認証情報が漏洩した場合でも、MFAが設定されていれば不正ログインの多くを防げます。ただし、前述のUber事例のように「MFA疲労攻撃（プッシュ通知を大量送信して承認させる手法）」も存在するため、FIDO2準拠の物理セキュリティキーや認証アプリの数字入力式（TOTPなど）の採用がより安全です。
スマートフォンへのプッシュ通知型の承認は手軽ですが、大量送信に対する耐性が低いという弱点があります。セキュリティの重要性が高いシステムほど、よりフィッシング耐性の高い認証方式（パスキー、ハードウェアトークンなど）への移行を検討してください。
緊急対応マニュアルの整備
「不審な電話を受けた場合の対応フロー」を事前にマニュアル化しておくことで、従業員がパニックで判断を誤るリスクを低減できます。フローの核心は次の三点です。
まず、ヘルプデスクや情報システム部門への確認手順を明確にします。「○○システムのパスワードをリセットしたい」という申し出があった場合、電話一本で処理するのではなく、本人確認の手順を踏む運用にします。次に、不審な電話を受けた際の上長への報告ルートを定めます。そして、もし実際に情報を渡してしまった可能性がある場合の初動対応（パスワードの即時変更、ログ確認など）を手順として準備します。
発信者認証・音声セキュリティツールの活用
企業向けには、着信時に発信元の正当性を確認する「STIR/SHAKEN」プロトコル対応の通信サービスや、AI検知による異常通話アラートを提供するサービスが登場しています。STIR/SHAKENは米国では義務化が進んでおり、日本でも同様の枠組みの検討が進んでいます（参考：総務省 偽装電話対策）。
加えて、コールセンターや問い合わせ窓口を持つ企業では、受電記録・通話録音の仕組みを整備しておくことで、インシデント発生後の調査を迅速に行えます。
インシデント発生後の対応計画
万一、従業員がビッシングの被害を受けた場合の対応計画（IR：インシデントレスポンス）も必須です。
漏洩した可能性がある認証情報の即時変更、アクセスログの確認と不正アクセスの特定、関係機関（JPCERT/CCなど）への報告。これらを72時間以内に実施することが、被害拡大の抑止につながります（参考：JPCERT/CC インシデントハンドリングマニュアル）。
被害者となった社員を責めず、報告しやすい組織文化を作ることも重要です。隠蔽・遅延によって被害が拡大するケースは多く、「報告を歓迎する文化」がインシデント対応のスピードを左右します。
AI時代のビッシング｜深刻化する音声クローニング詐欺
ビッシングの未来を語るうえで、AIの悪用を避けては通れません。
音声クローニング技術は、2024年時点で数十秒の音声サンプルから「本人と区別がつかない」偽音声を生成できる段階に達しています。SNS、YouTube動画、ポッドキャストなど、公開されている音声はすべてサンプルとして使われ得ます。
カナダでは2023年に、祖母が孫の声を模倣したAI音声に騙され、保釈金と称して約3,000カナダドルを振り込む被害が発生しました（参考：CBC News）。
この脅威への対策として注目されているのが「コードワード」の活用です。家族や信頼できる少人数の間で事前に取り決めた合言葉を電話で確認し合うことで、たとえ声が本物に聞こえても詐欺を見破ることができます。軍や外交官が使う「チャレンジ・レスポンス」認証を個人の日常に適用する発想であり、テクノロジーに対して人間の「知識」で対抗する方法です。
ディープフェイクのビデオ通話を使った攻撃も実際に発生しています。2024年に香港で、企業の財務担当者がビデオ会議で「CFO」の映像と声に騙され、約25億円を送金した事件が報告されました。声だけでなく映像も偽造できる時代において、「見た」「聞いた」という感覚的な確認は信頼できなくなりつつあります。
ビッシングとフィッシングの連携攻撃（マルチチャンネル詐欺の深層）
攻撃者の視点から見ると、ビッシング単独よりも、フィッシングメールや偽SMSと組み合わせた「マルチチャンネル攻撃」のほうが成功率が高い。これは、複数の接触点を持つことで相手の「本物感」の閾値を下げられるからです。
典型的なシナリオは以下のような流れです。まずフィッシングメールで「アカウントに問題が発生しました」と通知し、電話番号を記載します。被害者が記載番号に電話すると偽のサポートセンターに繋がり、オペレーターが「確認のために」認証情報を要求します。その間に攻撃者は同時並行でオンラインバンキングへの不正ログインを実施します。
重要なのは、被害者が「自分から電話した」という事実です。自発的な行動は疑念を下げ、攻撃者が要求する情報提供への心理的ハードルを著しく低下させます。
電話をかける際は、メール本文やSMSに記載された番号ではなく、公式サイトから直接番号を確認する習慣が不可欠です。この一点を徹底するだけで、マルチチャンネル攻撃の大半を無効化できます。
ビッシングへの対策でセキュリティ全体を強化する
ビッシング対策を「電話詐欺への注意」と限定的に捉えるのは、リスクを見誤ります。ビッシングの多くは、認証情報の窃取を入口とした「より大きなサイバー攻撃の前段階」です。
攻撃者がビッシングで得たVPN認証情報を使って社内ネットワークに侵入し、ランサムウェアを展開した事例は国内でも確認されています。「電話一本」が企業全体のシステム停止につながりうる。そう理解することで、ビッシング対策の優先度が変わるはずです。
セキュリティは「弱いところから崩れる」という原則があります。ファイアウォールやEDRを整備していても、社員一人が電話口でパスワードを教えれば全ての防衛が無力化されます。技術的な防御と、人間の判断力強化の両輪が求められます。
ビッシングを含むサイバー攻撃への対策を包括的に検討したい場合は、専門のセキュリティベンダーや情報セキュリティの専門家への相談も有効な選択肢です。組織の規模や業態に応じたリスク評価と対策設計は、専門家の知見なしに最適化することが難しい領域です。
まとめ
ビッシングについて整理すると、以下の点が核心です。
ビッシングは「声」を使ったフィッシング攻撃であり、リアルタイムの心理的圧力が最大の特徴です。VoIPによる番号偽装とAI音声クローニングの組み合わせによって、電話という通信手段の「信頼性」が根底から揺らいでいます。
個人が今日から取れる最も有効な対策は、「折り返し確認」の徹底です。どれほど緊急に聞こえても、一度電話を切って公式サイトから確認した番号に折り返す。この一手間が、ほとんどの被害を防ぎます。
企業に求められるのは、MFAの導入と定期的なセキュリティ訓練、そしてインシデント発生後の対応計画の三本柱です。技術的な対策だけでなく、「報告しやすい文化」という組織的な側面も等しく重要です。
AI技術の進化により、ビッシングの脅威は今後さらに高度化していきます。音声クローニング、ディープフェイクビデオ、そして大量発信の低コスト化。これらの流れは止まりません。だからこそ、知識と習慣を今のうちに身につけることが、将来の被害を防ぐ最善の投資です。
不審な電話が来たらまず一度切って、公式の番号に折り返す。その習慣が、あなたと組織を守ります。
