人をだます攻撃 — フィッシングと心のスキ

ばらまき型のフィッシングは「数打てば当たる」。上級の攻撃はその逆で、一人に狙いを定めて作り込みます。

• スピアフィッシング（標的型） — 特定の個人・部署に合わせ、実在の取引や同僚の名を織り込んだ文面を送る
• BEC（ビジネスメール詐欺） — 経営者や取引先になりすまし、業務メールを装って送金や機密を引き出す。マルウェアを使わず「手続きと判断」を突くため、マルウェア 対策では止まらない
• ホエーリング（※1） — 「大物（whale）」＝役員クラスを狙う。決裁権を持つ相手を落とせば被害が大きい

登場人物メモ:

• ※1 ホエーリング — 経営層など権限の大きい人物を標的にする標的型攻撃。ばらまきと違い、1件成功したときの被害が桁違いに大きい

型が「広く浅く」から「狭く深く」へ移るほど、文面の不自然さで見抜くのが難しくなります。だから次に見る下調べが効いてきます。

作り込んだ嘘には、作り込んだ下調べがあります。これが OSINT ※1（公開情報の収集）です。

• 公開情報を集める — 会社サイト・SNS・登記・プレスリリース・求人。組織図や取引関係、担当者の名前や口調まで拾える
• プリテキスト ※2 を組む — 集めた事実で「もっともらしい筋書き」を作る。実在の案件番号や上司の名を混ぜると、受け手は疑いにくい
• 時期を合わせる — 決算期・出張中・担当者の休暇など、確認が取りにくい瞬間を突く

登場人物メモ:

• ※1 OSINT（Open Source Intelligence） — 公開されている情報だけを集めて分析する手法。攻撃にも防御にも使われるが、ここでは「嘘の裏付け作り」に悪用される
• ※2 プリテキスト（口実／筋書き） — 相手を信じ込ませるために用意する、もっともらしい前提の物語。「経理の◯◯です、例の請求の件で」のような

技術的な穴を探す前に、攻撃者は人間関係と業務の文脈を調べます。だから「うちの内情は外から見えない」という思い込みが、そのまま隙になります。

中級では権威・緊急・恐怖・好意を挙げました。これらは心理学者チャルディーニ（Cialdini）が整理した説得の6原理として体系化できます。攻撃はこのテコを悪用します。

• 権威 — 肩書きや公式らしさで逆らいにくくする（上司・銀行・警察を装う）
• 希少性 — 「今だけ」「残りわずか」で、失う恐れから判断を急がせる
• 社会的証明 — 「みんなやっている」「他部署も対応済み」で不安を消す
• 返報性 — 先に小さな親切を見せ、「お返し」の心理で要求を通す
• 一貫性 — 小さな同意を積ませ、断りにくくしてから本命を出す
• 好意 — 親しみ・共通点を装い、警戒を解く

なぜ効くのか。これらは普段は正しく働く社会的な反射です。攻撃はその反射を、判断を鈍らせる方向に逆用します。「テコを使われている」と気づくこと自体が、最初の防御になります。

「MFAを入れたから安全」は、もはや過信になり得ます。上級の手口はMFAごと回避します。

• AiTM（Adversary-in-the-Middle／中間者フィッシング ※1） — 偽サイトを本物のログインに中継し、被害者がパスワードとMFAを通した後の認証済みセッション（クッキー）を横取りする。認証 の関門を通過済みのため、盗んだセッションでそのまま入られる
• ビッシング／スミッシング — 電話（ビッシング）やSMS（スミッシング）で「ワンタイムコードを教えて」と誘い、MFAの1段を人力で突破する
• ディープフェイク ※2 — 生成AIで役員の声や顔を偽り、ビデオ会議や音声で送金を指示する。文面より説得力が高く、不正アクセス の足がかりにもなる

登場人物メモ:

• ※1 AiTM（中間者フィッシング） — 攻撃者が通信の間に割り込み、やり取りをそのまま中継しつつ盗む手口。MFAを「通させて」その結果だけ奪う点が新しい
• ※2 ディープフェイク — AIで作った偽の音声・映像。本人そっくりに見え・聞こえるため、「顔と声で確認」が通用しなくなる

MFAは今も有効ですが、それだけで全部が守れる時代ではない——だから次の組織的な検証が要ります。

個人の注意力には限界があります。上級の攻撃には、仕組みと文化で対抗します。

1. 多経路検証 — 送金や重要操作は、メール以外の経路（あらかじめ知る電話番号など）で必ず裏を取る。BEC・ディープフェイクに最も効く
2. 送信元検証（SPF／DKIM／DMARC ※1） — なりすましメールを技術で弾き、だまされる母数を減らす
3. フィッシング耐性のあるMFA — パスキーなど、偽サイトに出しても使えない方式へ移り、AiTMの効きを下げる
4. 訓練 — 疑似フィッシング訓練で「気づく力」を組織で底上げする
5. 報告文化 ※2 — 「うっかり押した」を責めず、すぐ報告できる空気を作る。早い一報が被害の封じ込めを分ける

登場人物メモ:

• ※1 SPF／DKIM／DMARC — 送信元が本物かをメールの仕組みで検証する3点セット。詐称メールを受信側で弾くための土台
• ※2 報告文化 — ミスを罰するのではなく、早期報告を歓迎する組織風土。隠す方が損だと全員が思える状態を指す

• 技術で防ぎきれない — 人が自分で入力・操作・送金してしまう。だから手続きと文化で支える
• 巧妙化が続く — 生成AIで文面・偽サイト・声・顔まで本物そっくりになる。「見た目で見抜く」は限界に近い
• MFAは万能ではない — AiTMやコードの聞き出しで回避され得る。フィッシング耐性のある方式と多経路検証を重ねる
• 最弱リンクは強くもできる — 訓練と報告文化で、人は「破られる入口」から「最初に気づく検知器」へ変わり得る