フィッシング詐欺の進化「Vishing（音声）」と「Smishing（SMS）」

背景と概要

ユーザーを騙して認証情報や金銭をだまし取る「フィッシング（Phishing）」手法は、かつての電子メール中心（Email Phishing）から、多様なコミュニケーションチャネルへと拡大しています。

特に、スマートフォンに届くSMSメッセージを悪用する「Smishing（スミッシング）」や、電話（音声）を介して人間の心理を突く「Vishing（ヴィッシング）」の被害が急増しており、テクノロジーによるメールフィルターを回避する手口として企業や個人を脅かしています。

SmishingとVishingの具体的な手口と特徴

電子メールに比べて警戒心が薄れやすい心理的な隙が狙われます。

1. Smishing（SMSフィッシング）の手口

「宅配便の不在連絡」「銀行口座の利用制限」「電力料金の未払い通知」などのSMSを送信し、記載されたURLをクリックさせます。スマートフォン専用の精巧な偽ログイン画面へ誘導したり、不正なAndroidアプリ（APKファイル）をインストールさせたりして、携帯決済の不正利用や認証情報を強奪します。

2. Vishing（音声フィッシング）と生成AI音声の悪用

ITヘルプデスク、銀行員、あるいは警察や取引先になりすまして直接電話をかけ、「セキュリティ侵害が発生したため、今すぐ画面に表示されたワンタイムパスワードを読み上げてください」と誘導します。最近では、生成AIで実在する上司や役員の「声」を模倣したクローン音声を使うケースも報告されています。

なぜ被害を防ぐのが困難なのか

スマートフォンは個人のプライベートな端末として利用されることが多く、PCに比べてセキュリティソフトによる監視やURLの確認（ドメイン名の視認）が行われにくい傾向があります。また、音声電話によるリアルタイムのやり取りは、人間に焦りを与え、冷静な判断力を奪う効果があります。

Smishing / Vishingに対する多層的な防御アプローチ

技術的対策に加え、人的な運用プロセスのルール化が必須となります。

1. 送信ドメイン認証（DMARC/Smishing対策）とキャリアフィルター

企業側は自社ブランドがSMS等で勝手になりすまされないよう、携帯キャリアと連携した公式共通番号の利用や、DMARC等の送信ドメイン認証を導入します。

2. 「電話口での認証情報共有」を絶対禁止する運用ルールの徹底

ヘルプデスクや上司であっても、電話やチャットでパスワードやワンタイムコード、送金指示を受ける・伝えることを禁止する社内規程を定めます。

3. 別ルート（アウトオブバンド）での本人確認

不審な電話やSMSを受けた場合、メッセージ内の連絡先ではなく、あらかじめ社内名簿や公式サイトに記載された既知の固定電話番号へ折り返し連絡して事実確認を行う「アウトオブバンド確認」を徹底します。