ビッシング
電話など音声での会話を使って、相手をだまし、認証情報を言わせたり、端末を操作させたりする
フィッシングの手口です（英語では vishing。voice と phishing を合わせた呼び名）。MITRE ATT&CK（攻撃者の手口を整理した公開の知識ベース）では、
初期アクセスの技術「Phishing（T1566）」の下位技術 T1566.004（Spearphishing Voice）にあたります。
定義
MITRE ATT&CK は、次のように説明しています。
- 電話などの音声での連絡で、利用者を操ってシステムへのアクセスを提供させる点で、ほかのスピアフィッシングと異なる（T1566.004）
- 信頼できる相手を装うことや、急ぎや不安を感じさせることを伴うことが多い（T1566.004）
- 電話で相手を説得し、ログインの認証情報を言わせたり、悪意のある Web サイトを開かせたりする。よく狙われるのは、社員、特に組織の経営層と、ヘルプデスクである（Mobile T1660）
よくある形
ATT&CK の記述から、守る側が知っておきたい形を整理します。
| 形 |
内容 |
| 折り返しの電話を求める |
メールなどで電話番号に電話をかけさせ、その通話の中で、悪意のある URL を開かせる、マルウェアを取得させる、攻撃者が操作できる遠隔管理ツールを導入させる（T1566.004） |
| IT 部門を装う |
IT 部門やサポート担当を名乗って電話をかけ、遠隔管理ツールを導入させた事例が記載されている（T1566.004） |
| 多要素認証と組み合わせる |
多要素認証の要求を発生させる手口（T1621）と組み合わせて、認証のコードを言わせたり、認証の要求を承認させたりする（T1566.004） |
| 声を複製する |
AI で人の声を複製し、聞き慣れた声で信じさせる（ディープフェイクの音声）。本人や AI の声で留守番電話を残し、急いで折り返すよう求めることもある（Mobile T1660） |
発信者番号や声だけでは確かめられない
IETF の RFC 7340 は、電話のネットワークと VoIP（インターネットを使う電話）がつながったことで、発信者の番号や表示の信頼性が下がり、攻撃者が安い手段で発信者の番号を偽ったり隠したりできるようになったと書いています。電話に表示される番号や名前、聞き慣れた声だけでは、相手が誰かを確かめられません。
守る手段
| 手段 |
何をするか |
| 相手を確かめる |
ATT&CK は緩和策（M1017）として、電話の相手を疑い、身元を確かめることを挙げている。確かめるときは、受けた電話の中で示された番号ではなく、組織の公式の連絡先を自分で調べてかけ直す |
| 遠隔管理ツールの管理 |
CISA などのランサムウェア対策の指針（#StopRansomware Guide）は、ネットワーク上の遠隔管理ツールを洗い出して許可したものを把握し、実行の記録から異常な使い方を見つけることを勧めている |
| ヘルプデスクの手順 |
ヘルプデスクが電話でパスワードの再設定や認証器の再登録に応じるときの、本人確認の手順を決めておく |
| フィッシングに強い認証 |
NIST SP 800-63B-4 は、ワンタイムパスワードのように利用者が手で入力する方式は、偽の相手が本物へ中継できるので、フィッシングに強いとはみなさないとしている。コードを口頭で伝えさせる手口も、これと同じ構造だと考えられる。FIDO2／WebAuthn（パスキー、セキュリティキー）などを使う（多要素認証）。ただし、遠隔管理ツールを入れさせる手口には効かない |
| 身に覚えのない承認をしない |
自分でログインしていないときに届いた認証の要求は承認せず、報告する |
| 通話の後の動きを調べる |
ATT&CK は検知の考え方として、会社の端末の通話記録や VoIP の記録と、その後のブラウザの操作、遠隔管理ツールの実行、認証の要求の繰り返しなどを突き合わせることを挙げている |
| 教育と報告 |
手口を知り、怪しい電話をすぐ報告できるようにする（M1017） |
関連するページ
出典
確認日：2026年10月16日
ATT&CK：© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation.（
Terms of Use）
最終更新：2026年10月17日 08:01
