海外ではvishingが初期侵入の第2位に浮上し、社内ITやヘルプデスクを入口にIdentityを奪う攻撃が目立つ。日本もすでにVoice攻撃の中にあり、法人口座vishingは143件・約45億円、2026年には遠隔操作ソフトを入れさせる手口も。違いは電話の先で「銀行口座」を取るか「Identity」を取るか。
| 項目 | 海外（主に欧米・グローバル） | 日本 |
|---|---|---|
| メール／フィッシング | 依然として多いが、初期侵入に占める割合は低下。Mandiant M-Trends 2026ではEmail phishing 6%（2024年は14%） | 2025年のフィッシング報告件数は2,454,297件。過去最多で、前年比約1.43倍。依然として大量に観測されている |
| Voice（vishing） | 急増。Mandiantでは初期侵入の第2位で11%。CrowdStrikeでは2024年から2025年に134%増え、2026年上半期は2025年下半期の2倍 | 2025年のインターネットバンキング不正送金4,747件・約104億円のうち、法人口座を狙うVoice phishingは143件・約45億円。2026年には遠隔操作ソフトを入れさせる手口も確認された |
| 電話の先で狙うもの | 社内ITを装って社員をだます、または社員を装ってヘルプデスクをだます。狙いはSSO、MFA、Salesforce、Okta、Microsoft 365などのアカウント | 公的な注意喚起で目立つのは銀行を装う電話。主な狙いは法人インターネットバンキング。社内IT・ヘルプデスク型は、まだ同じ規模の統計としては表面化していない |
つまり、「日本ではまだ電話攻撃が少ない」という話ではない。
日本でもすでに、電話で人を動かす攻撃は成立している。
違うのは、その先だ。
日本では、電話の先にあるのが銀行口座。
海外では、電話の先にあるのが企業のIdentity、つまりアカウントや認証情報になりつつある。
日本で「電話詐欺」と聞くと、高齢者を狙った特殊詐欺を思い浮かべる人が多い。
確かに2025年の特殊詐欺全体では、被害者の51.3%が65歳以上だった。
しかし、急増したニセ警察詐欺では事情が違う。
最も多く狙われたのは30代で、次が20代だった。警察庁によると、2025年5月時点では20〜30代への接触のほぼすべてが携帯電話だった。
つまり、電話で相手をその場で焦らせ、リアルタイムに操作する攻撃は、すでに現役世代まで広がっている。
企業も例外ではない。
2025年、法人口座を狙ったボイスフィッシングは143件、被害額は約44.8億円。
しかも年間を通して少しずつ起きたわけではない。
2〜4月に66件発生したあと一度落ち着き、11月だけで77件、約23.1億円の被害が出た。
1社で4億円を超える被害も確認されている。
これは、「日本企業にはまだVoice攻撃が来ていない」という数字ではない。
すでに企業向けの攻撃キャンペーンとして成立している。
メールと電話には、大きな違いがある。
メールは非同期だ。届いても、すぐに対応する必要はない。
上司に転送できる。URLを検索できる。セキュリティ担当に聞ける。そのまま翌日まで放置することもできる。
この「考える時間」に、教育や技術対策が効く。
一方、電話は同期だ。相手はその場にいる。
「いま承認してください」「アカウントに異常があります」「この画面を開いてください」「確認のため画面共有してください」
と言われると、考える前に操作してしまいやすい。
Mandiantも、Voiceのような対話型の攻撃は、自動化された技術的な防御をすり抜けやすいと説明している。
Verizon DBIR 2026でも、Voiceやテキストなどモバイル中心の模擬攻撃は、メールより成功率の中央値が40%高かった。
メール対策が強くなるほど、攻撃者にとって「人と直接話す」方法の価値は上がる。
海外で目立つのは、「社内ITです」「MFAの再登録が必要です」「Salesforceを開いてください」といった電話だ。
日本では、なぜ同じ手口がまだ大きな統計として見えてこないのか。
少なくとも、4つの可能性が考えられる。
日本では、
銀行を名乗る → 経理担当者をだます → 法人インターネットバンキングの情報を奪う → 不正送金する
というルートがすでに成立している。電話一本から、そのままお金に行ける。
一方、海外で見られるUNC6040型では、
社内ITを装う → SalesforceやOktaなどのアカウントを奪う → データを取得する → 恐喝や転売につなげる
という流れになる。
攻撃者から見れば、日本ではわざわざSaaSへ入らなくても、銀行を装って直接お金を奪える。これが一つの理由かもしれない。
Google/Mandiantは、UNC6040の成功例について、多国籍企業の英語圏の拠点で働く社員が多かったと報告している。
現在の攻撃者の「台本」は、英語圏向けにかなり作り込まれていると考えられる。
日本企業で「情報システム部の○○です」「Entra IDの再登録が必要です」と自然に話すには、日本語が話せるだけでは足りない。部署名、敬語、社内の呼び方、利用している製品、IT部門の運用まで合わせる必要がある。
ただし、この壁は今後低くなる可能性が高い。生成AI、音声合成、漏えいした社員名簿や組織情報が組み合わされれば、もっと自然な電話を大量に作れるようになるからだ。
ここは統計で確認された事実ではなく、ひとつの仮説である。
海外では、
全社員 → Service Desk → Entra ID / Okta → MFAリセット
のように、問い合わせ先と手続きがかなり標準化されている企業がある。
攻撃者から見ると、「この窓口を突破すれば、社員のIdentityを操作できる」という分かりやすい入口になる。巨大なAPIのようなものだ。
日本企業では、Microsoft 365は本社情シス、Salesforceは営業部門、SAPは別ベンダー、子会社は別のIT担当、というように、管理窓口が分散しているケースもある。
もしそうなら、海外と同じ攻撃を大量展開するのは少し難しくなる。
ただし、標準化されていない＝安全、ではない。
窓口がバラバラなら大量攻撃は難しくなるかもしれない。一方で、本人確認もバラバラなら、「○○部の田中さんから聞いてます」「さっき部長と話しました」といった人間関係を使う個別攻撃には弱くなる。
両面がある。
日本で事例が少なく見える、もう一つの理由がある。公表されないことだ。
個人情報保護法では、一定の個人情報漏えいについて、個人情報保護委員会への報告や本人通知が必要になる。しかし、一般向けのニュースリリースまで必ず出さなければならないわけではない。
たとえば、「社員が社内ITを名乗る電話にだまされてMFAを承認したが、すぐに止めた」「ヘルプデスクが偽社員の依頼でパスワードをリセットしたが、情報漏えいは確認されなかった」という事案なら、会社が外部に発表しないことも十分あり得る。
だから、公開事例が少ないことと、実際の発生件数が少ないことは同じではない。
ここは海外の数字との比較でも注意が必要だ。MandiantやCrowdStrikeは、多数のインシデント対応案件を横断して攻撃経路を見ている。日本で外から見えるのは、警察統計や企業の公表資料が中心だ。
そもそも「見ている場所」が違う。
攻撃者は社員について調べ、その社員になりすましてITヘルプデスクへ電話した。そしてアカウントのリセットを引き出した。
重要なのは、一般社員だけが攻撃対象ではないことだ。「困っている社員を助ける」ことが仕事であるヘルプデスク自身が、攻撃対象になった。
この攻撃では、Salesforceの脆弱性が悪用されたわけではない。Googleは、観測したすべての事例で、攻撃者がエンドユーザーを電話で誘導していたと説明している。
電話しながら、SalesforceのConnected Appを承認させる。社員本人が正規の画面で操作する。一度承認されれば、攻撃者はSalesforceからデータを取得できる。さらにOktaやMicrosoft 365へ進むケースもある。
Google自身も、この型の攻撃でSalesforce環境からデータを取得されたことを公表している。
Talosの観測では、攻撃者はユーザー自身が行うデバイス登録より、管理者を介した登録フローを3倍の割合で狙っていた。
つまり、狙われるのは権限を持つ管理者だけではない。本人確認やアカウント復旧を代行する人も、重要な攻撃対象になる。
日本の法人口座を狙うボイスフィッシングも変化している。
2025年に目立ったのは、
電話 → 偽の銀行サイト → ID・パスワードを入力 → 不正送金
という流れだった。
ところが2026年には、
電話 → 企業PCに遠隔操作ソフトを入れさせる → PCを遠隔操作 → ネットバンキングから不正送金
という手口まで確認された。
これはもう、昔ながらの「電話詐欺」だけでは説明しにくい。Voiceを入口にして、企業のIT環境を操作するサイバー攻撃になっている。
銀行を名乗ってPCを操作させる攻撃と、「社内ITです」と名乗ってMFAやSaaSを操作させる攻撃は、技術的には別物だ。
しかし社会工学としてはよく似ている。どちらも、電話で相手を誘導し、被害者本人に正規の操作をさせる。
違うのは、台本と操作させる画面だ。
メール対策を弱める必要はない。日本では、メールによるフィッシングも依然として大量に発生している。
ただし、電話への対策も同時に始めた方がいい。
日本にvishingが来るかどうか、という話ではない。もう来ている。
海外との違いは、電話の向こうで何を取りに行くかだ。
日本では、銀行口座。海外では、IdentityやSaaSのアカウント。
いま日本で目立つのは銀行なりすましだが、2026年には企業PCへ遠隔操作ソフトまで入れさせるところまで進んだ。
次に台本が「銀行です」から「社内ITです」に変わっても不思議ではない。
必要なのは、技術をもう一つ追加することだけではない。
電話の中だけで本人確認を完結させない。その運用ルールを、今のうちに決めておく必要がある。
参考：Mandiant M-Trends 2026 / Verizon DBIR 2026 / CrowdStrike Threat Hunting Report 2025・2026 / Cisco Talos / Google Threat Intelligence（UNC6040）/ 警察庁・JC3 / 全国銀行協会 / フィッシング対策協議会 / 個人情報保護委員会
Aikido Community Japan
公開日: 2026/8/22
最終更新: 2026/8/23
セキュリティの最新情報をお届けします。