ハッキング対策は「人」から｜ヘルプデスク詐称・ビッシングの実例と企業の優先順位
この記事の要点
- Mandiantが2025年に対応した侵害では、電話によるフィッシング（ビッシング）が初期侵入の11%を占め、メールのフィッシング（6%）を上回る2番目の経路になりました。
- 米CISA・FBIなどは、社員になりすましてヘルプデスクにパスワードとMFAを再設定させる手口を警告し、FIDOなどフィッシングに強いMFAを推奨しています。
- 2026年にはIT部門を名乗り「MFA設定の更新」や「パスキーの有効化」を口実に偽サイトへ誘導し、SaaSのデータを持ち出す活動がGoogleから相次いで報告されました。
- 警察庁によると2026年上半期のランサムウェア被害報告は123件で半期として最多となり、バックアップからの復元結果を答えた40件のうち29件が「復元不可」でした。
- 編集部は、ヘルプデスクの本人確認、フィッシングに強いMFA、特権アカウントの分離、公開機器の棚卸し、消されないバックアップの順に固め、訓練とテストで確かめることを勧めます。
企業への侵入は、システムの穴を突くことだけで始まるわけではありません。IT部門を名乗る電話で社員にパスワードや多要素認証（MFA）のコードを入力させる、あるいは社員になりすましてヘルプデスクにMFAを再設定させる――こうした人を騙す入口からの侵入が、2025〜2026年にかけて国内外で相次いで報告されています[1][2][3][12]。
この記事では、米CISA・FBI、Google（Mandiant／Google Threat Intelligence Group）、警察庁の資料と、被害を受けた組織自身の公表をもとに、2026年10月27日時点で分かっている手口と事例を整理します。そのうえで、経営者・情シス・総務・経理の方が社内でそのまま使えるよう、ハッキング対策を優先順位つきの表とチェックリストにまとめ、訓練やペネトレーションテストで何を確かめればよいかまで解説します。
攻撃手法の説明は、見抜き方と防ぎ方に必要な範囲にとどめています。
いま企業への侵入はどこから始まっているのか？
侵入の入口として最も多いのは今も脆弱性の悪用ですが、電話で人を騙す手口が急増しています。Mandiantが2025年に世界で対応した侵害（50万時間を超える調査）では、初期侵入経路の32%が脆弱性の悪用で6年連続の最多、2番目が電話によるフィッシング（11%）でした[2]。
ビッシング（vishing）は、ボイス（声）とフィッシングを合わせた言葉で、電話で相手を騙して情報や操作を引き出す手口です。Mandiantは、自動化された技術的な防御が進んだことでメールのフィッシングが2025年には侵入の6%まで減り、代わりに攻撃者が対話型の音声によるソーシャルエンジニアリングへ移ったと分析しています[2]。
もう一つの変化は速さです。最初に侵入した攻撃者が、ランサムウェアなどを実行する別のグループへ足場を引き渡すまでの時間は、中央値で2022年の8時間超から2025年は22秒に縮まりました[2]。ランサムウェアの侵入経路では、以前の侵害で得たアクセスの再利用（過去の侵害）が30%で最多です[2]。Mandiantは、軽微に見える警告も次の侵入の前触れとして優先して扱うよう勧めています[2]。
2023年11月
CISA・FBIがScattered Spiderを警告
IT担当やヘルプデスクを装う電話・SMSで認証情報を得る犯罪グループについて、共同アドバイザリを公表しました[1]。
2025年5月
英NCSCがヘルプデスクの手順の見直しを要請
英国の小売業界で相次いだ事案を受け、パスワード再設定前の本人確認の見直しなどを推奨しました。攻撃者の特定やヘルプデスクへの攻撃は「報道での推測」としています[14]。
2025年8月
GoogleとCiscoが自社の被害を公表
Googleは、6月に社内のSalesforceインスタンスの1つが、電話を使う攻撃者UNC6040と同様の活動の影響を受けたことを公表しました[5]。Ciscoは担当者がビッシングに遭い、外部のクラウド型顧客管理システムから基本的なプロフィール情報が持ち出されたと公表しました[8]。
2025年7月29日
CISA・FBIなど7機関がアドバイザリを改訂
社員になりすましてヘルプデスクにパスワードを再設定させ、MFAを攻撃者の端末に移させる手口などを追記しました[1]。
2025年9月12日
FBIがSalesforceを狙う攻撃を警告
IT担当を装ってコールセンターに電話し、不正な連携アプリを承認させる手口などを公表しました[7]。
2026年1月
「MFA設定の更新」を口実にした電話が拡大
Googleは、IT担当を名乗る電話で偽サイトに誘導し、SSOの認証情報とMFAコードを奪う活動の拡大を報告しました[4]。
2026年3月
Auraが社員へのビッシングを公表
社員1人が標的型の電話フィッシングに遭い、約1時間アカウントを使われたと公表しました[9]。
2026年5〜6月
警察庁が法人口座を狙う新手口を警告
銀行を名乗る電話から遠隔操作ソフトを入れさせ、法人口座から不正送金させる手口の被害が5月に急増しました[12][13]。
2026年8月
「パスキーの有効化」を口実にする手口
Googleは、攻撃者が社員の私用の携帯電話に電話し、パスキーの有効化などを口実に偽サイトへ誘導していると報告しました[3]。
2026年9月
国内のランサムウェア被害が半期で最多
警察庁は、2026年上半期のランサムウェア被害報告が123件だったと公表しました[12]。
ヘルプデスクへのなりすましとビッシングはどう進むのか？
攻撃者は2つの方向から電話をかけます。社員になりすましてヘルプデスクにパスワードやMFAを再設定させる方向と、IT部門になりすまして社員を偽のログイン画面や連携アプリの承認へ誘導する方向です[1][5]。どちらも狙いは、正規の社員として会社のシステムに入れる状態を作ることです。
攻撃者は最後に、ITヘルプデスクの担当者を電話で説得してパスワードの再設定やMFAトークンの移行を行わせる。その時点で、SSO環境の利用者のアカウントを乗っ取る。
Finally, the threat actors conduct spearphising calls to convince IT help desk personnel to reset passwords and/or transfer MFA tokens. At which point, the threat actors perform account takeovers against the users in SSO environments.
社員になりすましてヘルプデスクを動かす
CISA・FBIなどの共同アドバイザリによると、Scattered Spiderと呼ばれる犯罪グループは、大企業とその委託先のITヘルプデスクを狙います[1]。電話は複数回に分かれることが多く、まずパスワードの再設定に何が必要かを聞き出し、次に対象社員の再設定に必要な情報を集め、最後にヘルプデスクを説得してパスワードの再設定やMFAの付け替えをさせます[1]。
こうした電話は、SNSや公開情報、商用の調査ツール、過去のデータ漏えいから得た個人情報で補強されています[1]。Mandiantは、Scattered Spiderの公開報告と重なる攻撃者UNC3944について、生年月日のような個人情報をすでに持っていることが多いとして、調べれば分かる情報を本人確認に使わないよう勧めています[6]。編集部の見方では、社員番号・生年月日・上司の名前だけで本人と判断する運用は、日本企業でも同じ弱点を抱えている可能性があります。
乗っ取りに成功すると、攻撃者は自分のMFAを登録し、RMM（遠隔監視・管理）ツールを入れて居座ります[1]。その後は社内の共有サイト、認証情報を書いた文書、仮想化基盤、バックアップ、VPNの接続手順などを探します[1]。CISA・FBIは、信頼できる第三者の情報として、最近の事案でこのグループがDragonForceというランサムウェアを使い、仮想化サーバーを暗号化した可能性があるとしています[1]。
IT部門になりすまして社員を誘導する
逆方向の手口では、攻撃者がIT担当を名乗って社員に電話し、「MFAの設定を更新している」「接続障害のチケットを閉じる」といった口実で偽サイトへ誘導します。そこでSSO（1つのIDで複数の業務システムに入れる仕組み）の認証情報とMFAのコードを入力させ、自分の端末をMFAに登録して入り続けます[4][7]。
Salesforceなどでは、電話で設定画面に誘導し、攻撃者が用意した連携アプリ（外部のアプリに社内データへのアクセスを許す仕組み）を承認させる手口も報告されています。FBIは、不正な連携アプリの承認が、MFA・パスワードの再設定・ログイン監視といった従来の防御を迂回し、正規の連携のように見えると警告しています[7]。Googleは、確認した事例はいずれもSalesforceの脆弱性ではなく、利用者の操作を悪用したものだとしています[5]。
2026年の新しい口実：パスキーの登録と私用の携帯電話
2026年8月のGoogleの報告では、UNC6671と呼ばれる攻撃者が社員の私用の携帯電話に電話をかけ、一部では正規のヘルプデスクの電話番号を偽装していました[3]。口実は「FIDO2パスキーを有効にする」「MFAの登録を更新する」といった緊急のセキュリティ対応で、偽サイトでは通信を中継して認証情報とMFAトークンを横取りする仕組み（AiTM）が使われています[3]。
侵入後は、パスワード再設定の確認メールやセキュリティ通知を系統的に削除し、本人に気づかれたり自動の警告が出たりしないようにしていました[3]。2026年1月の報告でも、MFAに新しい手段が登録されたことを知らせるメールを削除した事例が挙がっています[4]。Googleは、この攻撃者に関連する恐喝ブランド「BlackFile」の18のビットコインアドレスが、2026年1月7日〜5月12日に計141.65BTC（取引時点で約1,070万ドル）を受け取ったと分析しています[3]。
実際にどんな被害が公表されているのか？
被害を受けた組織自身の公表を見ると、電話をきっかけに、利用者や顧客の連絡先などが持ち出されたりアクセスされたりしたケースと、委託先のアカウントや拠点の機器から入られてランサムウェアに至ったケースがあります[8][9][10][11]。組織名は、各組織が自ら公表した内容に限って記載しています。
| 公表した組織 | 入口（公表の表現） | 何が起きたか |
|---|---|---|
| Cisco（2025年8月公表） | 担当者へのビッシング[8] | 外部のクラウド型顧客管理システムの1インスタンスから、Cisco.com登録者の氏名・メールアドレス・電話番号などの基本情報が持ち出された。パスワードなどは含まれない[8] |
| Google（2025年6月の事案） | 同社が報告したUNC6040（電話で社員を騙す攻撃者）の活動と「同様の活動」。自社事案の入口の詳細は記載なし[5] | 社内のSalesforceインスタンスの1つから、企業名や連絡先など、主に公開済みの基本的な事業情報が取得された[5] |
| Aura（2026年3月公表） | 社員1人への標的型の電話フィッシング[9] | 約1時間アカウントを使われ、約90万件にアクセスされた。大半は2021年に買収した会社のマーケティングツールにあった氏名とメールアドレス[9] |
| アスクル（2025年10月の事案） | 例外的にMFAを適用していなかった業務委託先向け管理者アカウントのIDとパスワードが「何らかの方法で」漏えいし、不正利用された[10] | 6月5日に初期侵入、10月19日にランサムウェアが実行された。バックアップファイルも削除・暗号化され、物流センターの出荷業務が全面停止した[10] |
| アサヒグループ（2025年9月の事案） | グループ拠点のネットワーク機器を経由した侵入[11] | パスワードの弱点を突いて管理者権限を奪われ、9月29日にランサムウェアが一斉に実行されて複数のサーバーなどが暗号化された[11] |
アスクルとアサヒグループは、入口が電話による騙しだったとは公表していません。アスクルは、当時のログが削除されており原因の完全な究明は困難としています[10]。
電話が入口だった事例では、持ち出される範囲は、騙された社員のアカウントや承認された連携アプリから届くデータに左右されます。Googleは、侵入後にどのSaaSへ入られるかは、乗っ取られたSSOセッションが持つ権限と使えるアプリ次第だと分析しています[4]。Auraの事例では、アクセスされた約90万件の大半が、2021年に買収した会社のマーケティングツールにあった氏名とメールアドレスでした[9]。
国内の2件は、電話による騙しが入口だったとは公表されていませんが、入られた後の展開に学ぶ点があります。アスクルでは初期侵入から約4か月半後にランサムウェアが実行され、その際にバックアップファイルも削除されました[10]。同社は2026年7月30日、追加の調査で漏えいのおそれを否定できない個人情報約60万件を特定したと公表し、第13報の後に新たなシステム侵害が起きたものではないとしています[17]。アサヒグループでは、攻撃者が主に業務時間外に複数のサーバーへの侵入と偵察を繰り返していたとされています[11]。入られた後に早く気づく仕組みと、消されないバックアップの重要性を示す事例と考えられます。
日本企業にとって、何がリスクになっているのか？
国内では、ランサムウェアの被害と、電話を起点にした法人口座の不正送金がともに続いています。警察庁によると、2026年上半期のランサムウェア被害報告は123件で、半期としては統計を取り始めた2020年下半期以降で最多でした[12]。
侵入経路は、VPN機器（社外から社内ネットワークに安全につなぐための装置）が約5割を占めます[12]。警察庁は、インターネットに露出した箇所から遠隔で侵入する手口が多くを占め、添付ファイルによる感染は少なくなっていると説明し、攻撃者は未修正の脆弱性や漏えいした認証情報を悪用するとしています[12]。漏えいした認証情報が使われる以上、人を騙して認証情報を得る手口とVPN機器の対策は、別々の問題ではないと言えます。
被害の重さも数字に表れています。同じ調査では、復旧に総額1,000万円以上かかった組織が6割を占め、1か月未満で復旧できた組織は5割弱にとどまりました[12]。バックアップからの復元結果を答えた40件のうち29件は「復元不可」で、理由の最多は「バックアップの暗号化・消去」（14件）でした[12]。被害組織の約6割は中小規模の企業で、大企業だけの問題ではありません[12]。
電話から始まる法人口座の不正送金
警察庁は、2024年秋から、企業に電話してネットバンキングの更新手続をかたり、メールアドレスを聞き出してフィッシングメールを送る手口で、法人口座の不正送金被害が急増したと報告しています[12]。2026年5月には、銀行を名乗る自動音声から犯人の肉声につなぎ、「セキュリティ強化のためのソフト」と称して遠隔操作ソフトを入れさせ、偽サイトで盗んだIDとパスワードで送金する新しい手口の被害が急増しました[12][13]。なお、2026年上半期のネットバンキング不正送金は全体で253件・約20億7,000万円と前年同期比51%減で、法人分も前年同期（約22.8億円）より減っていますが、5月以降は新しい手口の被害が急増しています[12]。
警察庁は、遠隔操作で企業がふだん使う端末から送金することで、金融機関の端末認証や不正取引の監視を回避しようとする意図があると考えられるとしています[12]。対策として、銀行をかたるメールやSMSのリンクを開かないこと、銀行から電話があれば営業店や代表電話に折り返して確認すること、国際電話の着信ブロックを挙げています[13]。経理・総務の担当者も、IT部門を名乗る電話と同じ考え方で守るべき入口です。
メールを使ったなりすましでは、新しい手口も出ています。2026年1月頃から、経営者になりすまして会社の公開アドレスにメールを送り、SNSのグループに誘導して送金させる「ニセ社長詐欺」は、2026年1〜6月に認知127件・被害約38億8,000万円でした[12]。声や映像を使ったなりすましは、AI詐欺・ディープフェイクの事例で詳しく扱っています。
IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」でした[16]。CISA・FBIのアドバイザリが委託先のヘルプデスクを、アスクルの事案が委託先向けのアカウントを入口としていたことを考えると、委託先まで含めた本人確認と認証の管理が、日本企業にとって大きな論点になっています[1][10]。
ハッキング対策は何から優先すべきか？
編集部は、次の6つの領域を上から順に固めることを勧めます。最初に手を付けるべきは、費用がほとんどかからず、攻撃者が直接突いてくるヘルプデスクの本人確認手順です。各領域の中身は、CISA・FBI、Mandiant、英NCSC、警察庁の推奨に基づいています[1][6][14][12]。
| 優先 | 領域 | まずやること | 主な担当 |
|---|---|---|---|
| 1 | ヘルプデスクの本人確認 | パスワード・MFAの再設定では本人確認を必須にし、登録済みの番号への折り返しや、カメラ越し・対面での確認を組み合わせる。生年月日など、公開・流出していて攻撃者が持っていることの多い情報だけで本人と判断しない[6][14]。編集部は上長の承認を加えることも勧めます | 情シス・委託先のヘルプデスク |
| 2 | フィッシングに強いMFA | 管理者、リモートアクセス、メール、SSOから順にFIDO2セキュリティキーやパスキーへ移す。SMS・電話・メールによる認証をやめる[1][6][15] | 情シス |
| 3 | 特権アカウントの分離 | 管理者用と日常業務用のアカウントを分け、委託先に渡す管理者アカウントにも例外なくMFAをかける。仮想基盤やバックアップは別の認証で管理する[6][10] | 情シス・委託先の管理部門 |
| 4 | 公開している機器とSaaS連携 | VPN機器・リモートデスクトップ・ネットワーク機器を一覧にして修正を適用し、不要なものを止める。SaaSの連携アプリを承認できる人を絞る[12][11][5] | 情シス |
| 5 | 消されないバックアップと初動 | オフラインまたはイミュータブル（書き換え・削除できない）なバックアップを本番と別の認証で持ち、少なくとも年1回は復元を試す[1][6]。侵入時の連絡手段を社内チャットとは別に用意する（編集部の提案） | 情シス・経営 |
| 6 | 訓練とテストで確かめる | 社員・ヘルプデスク・経理へのビッシング訓練と、ペネトレーションテストで、1〜5が実際に機能するかを確かめる[1][6] | 経営・情シス・総務 |
優先順位は編集部の見解です。業種や導入済みの仕組みに応じて入れ替えてください。VPN機器などをインターネットに公開している企業は、4を1〜3と並行して進めてください。
1. ヘルプデスクの本人確認を「仕組み」にする
Mandiantは、ヘルプデスクがセキュリティ情報を変更する前に本人を確実に確認すること、少なくとも特権アカウントではこの確認を必須とし、カメラ越しや対面での確認、身分証の確認、質問への回答といった方法を使うよう勧めています[6]。高いリスクの変更では、登録済みの番号への折り返しや、既知の社用メールでの確認といった別経路での確認も求めています[6]。英NCSCも、とくに高い権限を持つアカウントについて、再設定前の本人確認の方法を見直すよう求めています[14]。
あわせて、MFAの新しい手段が登録されたら本人に通知が届くようにし、認証方法を変える前には強い認証を求めます[6]。脅威が高まっている時期には、利用者が自分でMFAをリセットできる機能を一時的に止め、手動の手順で厳しく確認することも選択肢です[6]。ヘルプデスクを外部に委託している場合は、同じ手順を契約や運用手順書で委託先にも求めてください。
2. MFAを「フィッシングに強い方式」へ移す
MFAはどの方式でも無いよりは良いものの、方式によって強さが違います。CISAは、FIDO/WebAuthn（パスキーやセキュリティキーで使われる標準）やPKI（電子証明書）を使う方式を「ゴールドスタンダード」と位置付け、フィッシングに強く、通知を連打して承認させる攻撃やSIMの乗っ取りも当てはまらないとしています[15]。
Googleは、こうした認証器はログイン先のドメインと暗号的に結び付くため、偽のドメインや通信を中継する偽サイトを無効にできると説明しています[3]。Mandiantは、SMS・電話・メールを認証手段から外し、特権を持つアカウントにはFIDO2セキュリティキーを使い、管理者が古い方式のMFAを登録できないようにすることを勧めています[6]。MFAの登録や変更は、信頼できる場所と会社が管理する端末からに限ることも推奨されています[6]。
3. 管理者権限と委託先アカウントを特別扱いする
アスクルの事案では、例外的にMFAを適用していなかった業務委託先向けの管理者アカウントが入口になりました。同社は再発防止策として、自社と委託先のすべてのリモートアクセスへのMFAの徹底、管理者権限の厳格な運用、従事者の再教育を挙げています[10]。委託先などのために例外扱いしているアカウントは、どの会社にもありうる弱点です。
Mandiantは、仮想基盤やクラウドの管理画面には社内の共通ID基盤と切り離した管理者アカウントを使い、必要なときだけ権限を貸し出す仕組み（ジャストインタイム）を使うよう勧めています[6]。英NCSCも、ドメイン管理者やクラウド管理者のアカウントについて、その利用が正当かどうかに特に注意するよう求めています[14]。
4. 外から見える入口と、SaaSの連携を棚卸しする
アサヒグループは、グループ拠点のネットワーク機器を経由した侵入を受け、再発防止策としてリモートアクセスVPN装置の全面廃止、外部からの侵入リスクを抱えるデバイスの全面廃止、IT資産の管理の徹底を挙げました[11]。警察庁の統計ではVPN機器が侵入経路の約5割を占めており、公開している機器の一覧と修正の状況は、経営層が定期的に報告を受けるべき項目と言えます[12]。
SaaSについてGoogleは、連携アプリを承認できる権限を信頼できる管理者に限り、データを一括で取り出せるツールの権限を必要な人だけに絞り、許可したIPアドレス以外からのログインや承認を拒否するよう勧めています[5]。FBIも、IPアドレスによるアクセス制限とAPIの利用状況の監視を挙げています[7]。
5. 消されないバックアップと、入られた後の連絡手段
CISA・FBIなどは、本番と分けたオフラインのバックアップを持ち、少なくとも年1回は復元をテストするよう勧めています[1]。Mandiantは、バックアップ基盤をID基盤と連携しない別の認証情報とMFAで管理し、本番から分離したネットワークに置き、イミュータブルな仕組みにすることを求めています[6]。警察庁の調査で「復元不可」の理由の最多が暗号化・消去だったことを考えると、要点はバックアップがあることではなく攻撃者に消されないことです[12]。
初動の備えも見直してください。CISA・FBIのアドバイザリは、Scattered SpiderがSlackやMicrosoft Teams、メールで自分たちへの対応が話されていないかを探し、インシデント対応の会議に参加することもあると警告しています[1]。編集部の見方では、侵入が疑われるときに使う連絡手段を、社内チャットとは別に決めておくことが有効です。
訓練とペネトレーションテストで何を確かめるべきか？
対策は導入しただけでは足りず、実際の攻撃と同じ流れで機能するかを確かめる必要があります。CISA・FBIなどは、アドバイザリに挙げた手口に対して自社の対策を試し、結果をもとに人・手順・技術を調整するよう勧めています[1]。Mandiantも、攻撃者の動きを模したレッドチームでバックアップの保護を定期的に確かめるよう求めています[6]。
ペネトレーションテストは、専門家が攻撃者と同じ視点で実際に侵入を試み、弱点を確かめる検査です。ビッシング訓練は、経営層の承認を得たうえで社員やヘルプデスクに「それらしい電話」をかけ、手順どおりに断れるか、報告できるかを確かめます。CISA・FBIなどは社員へのビッシング・スピアフィッシング訓練を続けるよう求め[1]、Ciscoも事案後の対策として社員の再教育を挙げています[8]。
| 確かめたいこと | 方法 | 合格の目安（編集部の考え） |
|---|---|---|
| ヘルプデスクが、社員を名乗る電話でのパスワード・MFAの再設定依頼を断れるか | ヘルプデスク（委託先を含む）へのビッシング訓練 | 名乗りや個人情報だけで再設定せず、折り返しと上長確認の手順を踏み、記録して報告する |
| 社員が、IT部門や銀行を名乗る電話・SMSに応じないか | 社員・経理担当へのビッシング訓練、SMSを使った訓練（スミッシング訓練） | コードを伝えない、ソフトを入れない、正規の窓口に自分から連絡し直して報告する |
| MFAの登録・変更や連携アプリの承認が悪用されないか | ID基盤・SaaSの設定レビューとペネトレーションテスト | 会社が管理する端末と信頼できる場所以外から登録・承認できず、変更時に通知が届く |
| 外部に公開している機器から入れないか | 外部からのペネトレーションテスト・脆弱性診断 | 既知の脆弱性、不要な公開、MFAの例外がない |
| 社員1人のアカウントが奪われたとき、管理者権限やバックアップまで届くか | 侵害を前提にした内部からのペネトレーションテスト | 管理者権限・仮想基盤・バックアップに到達できない、または到達する前に検知される |
| バックアップから戻せるか、対応の連絡が回るか | 復元テストと机上演習 | 目標の時間内に復元でき、社内チャット以外の連絡手段で初動が回る |
合格の目安は編集部の考え方です。訓練は対象者・範囲・中止の条件を事前に決めてから行ってください。
メールからSMS、電話、ビデオ会議へと経路を変えていく攻撃の流れは、AI詐欺・ハッキングの手口とはで整理しています。訓練で再現できる攻撃シナリオの例は、訓練・テストのメニューに載せています。
今週中に確認すべきことは？
まずは費用をかけずに確認できることから始めてください。次のチェックリストは、情シス・総務・経理の担当者がそのまま社内の点検に使える粒度にしています。各項目は、本文で紹介した各機関の推奨と、それを踏まえた編集部の提案をもとにしています[1][6][13]。
情シス・総務・経理が今週確認すること
- ヘルプデスク（委託先を含む）のパスワード・MFAの再設定手順を書き出し、本人確認に何を使っているかを確認する。生年月日など、公開・流出していて攻撃者が入手できる情報だけで通していないか[6][14]
- 管理者アカウントとリモートアクセス（VPN・リモートデスクトップ）に、例外なくMFAがかかっているかを確認する。委託先に発行したアカウントも含める[10][1]
- MFAの新規登録や変更があったときに、本人と管理者へ通知が届く設定かを確認する[6]
- IT部門を名乗ってパスワード・MFAの再設定やワンタイムコードを求める電話は報告するよう社員に周知し、報告先を1つに決める[6]。あわせて「IT部門は電話でコードを聞かない・登録サイトへ誘導しない」と明示する（編集部の提案）
- Salesforce・Microsoft 365などのSaaSで、連携アプリを承認できる人を絞り、承認済みのアプリの一覧を見直す[5][7]
- インターネットに公開しているVPN機器・ネットワーク機器・リモートデスクトップを一覧にし、修正の適用状況と使っていない機器を確認する[12][11]
- バックアップが本番と同じ管理者アカウントで削除できないか、最後に復元テストをしたのはいつかを確認する[1][6]
- 銀行を名乗る電話への対応ルール（営業店・代表電話への折り返し、遠隔操作ソフトを入れない）を経理・総務で共有する[13]
まとめ
この記事で取り上げた侵入は、電話で社員やヘルプデスクを動かす手口や、例外扱いのアカウント、拠点のネットワーク機器から始まっていました[1][10][11]。Mandiantは、AIの進歩を踏まえても、成功した侵入の大半は今も人と仕組みの基本的な失敗から生じていると指摘しています[2]。
こうした急速な技術の進歩にもかかわらず、2025年が、侵害がAIの直接の結果として起きた年だったとは考えていない。現場から見る限り、成功した侵入の大半は今も、人と仕組みの基本的な失敗から生じている。
Despite these rapid technological advancements, we do not consider 2025 to be the year where breaches were the direct result of AI. From our view on the frontlines, the vast majority of successful intrusions still stem from fundamental human and systemic failures.
ハッキング対策の出発点は、ヘルプデスクの本人確認手順とMFAの方式という、攻撃者が直接突いてくる2点です。そのうえで、管理者権限と委託先アカウントの例外をなくし、公開している機器を棚卸しし、消されないバックアップを持ち、訓練とペネトレーションテストで実際に機能するかを確かめてください。よくある疑問はよくある質問にもまとめています。
よくある質問
ビッシングとは何ですか？
電話（ボイス）を使ったフィッシングのことです。IT部門や銀行の担当者を名乗って電話をかけ、パスワードや多要素認証のコードを聞き出したり、偽のログインページや遠隔操作ソフトに誘導したりします。Mandiantの調査では、2025年の初期侵入経路の11%をこの手口が占め、脆弱性の悪用に次ぐ2番目に多い経路でした。
ヘルプデスクへのなりすましを防ぐには、まず何をすればよいですか？
パスワードや多要素認証の再設定手順を見直すことから始めてください。電話の相手の名乗りや、生年月日のように攻撃者が入手しうる個人情報だけで本人と判断せず、登録済みの番号への折り返しやカメラ越しの確認などを組み合わせます。編集部としては、上長の承認を加えることも勧めます。ヘルプデスクを委託している場合は、委託先にも同じ手順を求めることが大切です。
多要素認証を導入していれば、ビッシングは防げますか？
多要素認証だけでは防ぎきれません。SMSや認証アプリのコード、プッシュ通知の承認は、電話で誘導されると入力や承認をさせられるおそれがあり、米CISAはFIDO/WebAuthnやPKIを使うフィッシングに強い多要素認証を推奨しています。ただし、ヘルプデスクに攻撃者の端末をMFAとして登録させる手口や、連携アプリを承認させる手口（FBIはMFAなどの防御を迂回すると警告）のように、方式に関係なく通ってしまう手口もあります。パスキーの登録を口実に偽サイトへ誘導する例もあるため、登録・変更・承認の手続きそのものも守る必要があります。
大企業でなくても、ヘルプデスク詐称やビッシングの対策は必要ですか？
必要です。警察庁によると、2026年上半期にランサムウェアの被害を報告した企業・団体の約6割は中小規模の企業でした。また、銀行を名乗る電話から遠隔操作ソフトを入れさせて法人口座から送金させる手口も急増しています。社員数が少ない会社でも、パスワード再設定の手順と、銀行やIT担当を名乗る電話への対応ルールは決めておくべきです。
訓練やペネトレーションテストでは何を確かめればよいですか？
ヘルプデスクが社員を名乗る電話での再設定依頼を断れるか、社員がIT部門や銀行を名乗る電話に応じず報告できるか、多要素認証の登録や連携アプリの承認が悪用されないか、公開している機器から入れないか、1人のアカウントが奪われても管理者権限やバックアップに届かないか、バックアップから実際に戻せるか、の6点が目安です。
出典・参考資料
- 注意喚起Scattered Spider
- 調査レポートM-Trends 2026: Data, Insights, and Strategies From the Frontlines
- 調査レポートUNC6671 Rebrands: Multi-Brand Vishing Extortion Targets Financial Services and Enterprise Cloud Environments
- 調査レポートVishing for Access: Tracking the Expansion of ShinyHunters-Branded SaaS Data Theft
- 調査レポートThe Cost of a Call: From Voice Phishing to Data Extortion
- 調査レポートDefending Against UNC3944: Cybercrime Hardening Guidance from the Frontlines
- 注意喚起Cyber Criminal Groups UNC6040 and UNC6395 Compromising Salesforce Instances for Data Theft and Extortion
- 公式発表Cisco Event Response: Vishing Attack Impacting Third-Party CRM System
- 公式発表Aura Statement on Exposure of Limited Customer Information
- 公式発表ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（ランサムウェア攻撃によるシステム障害関連・第 13 報）
- 公式発表サイバー攻撃被害の再発防止策とガバナンス体制の強化について
- 調査レポート令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について
- 注意喚起サイバー警察局便り R8 Vol.6 巧妙化する「ボイスフィッシング」被害に注意
- 注意喚起Incidents impacting retailers – recommendations from the NCSC
- 注意喚起Implementing Phishing-Resistant MFA
- 調査レポート情報セキュリティ10大脅威 2026
- 公式発表ランサムウェア攻撃に伴う情報漏えいのおそれに関する本人通知の追加実施について（ランサムウェア攻撃によるシステム障害関連・第 19 報）
本記事の事実関係は、2026.10.27 時点で上記の出典をすべて再確認しています。 独立ファクトチェック（全出典の再確認）の指摘を反映済み。
