Googleのセキュリティ研究者が、米国の大手金融機関を標的にしたサイバー攻撃について警告しています。攻撃者は金融企業の従業員に電話をかけ、社内システムへの侵入や機密データの窃取、さらに被害者への恐喝につなげていると報じられています。
Googleによると、ハッカー集団は金融企業の従業員に電話をかけ、標的をハッキングして恐喝する攻撃を行っている。
Googleのセキュリティ研究者によれば、複数のハッカー集団が米国の大手金融機関に侵入し、機密データを盗み出して被害者を恐喝している。
電話が入口になる時代──「人」を狙う攻撃が金融業界の弱点に
今回の報道で注目すべき点は、攻撃の入口が必ずしも高度なマルウェアやゼロデイ脆弱性ではなく、「電話」であることです。従業員に直接接触し、社内手続きや認証情報、サポート対応の隙を突く手法は、いわゆるソーシャルエンジニアリングの一種です。
金融機関は技術的なセキュリティ対策を重ねていますが、攻撃者はその防御の外側にいる「人間の判断」を狙います。たとえば、IT部門や外部ベンダーを装って電話をかけ、パスワードリセットや多要素認証の承認を誘導するような手口が考えられます。
日本でも、銀行、証券会社、保険会社、決済事業者などは大量の個人情報と金融データを扱っています。顧客データの流出は金銭被害だけでなく、ブランド毀損や行政処分、長期的な信用低下につながるため、電話を使った攻撃は決して海外だけの問題ではありません。
日本市場への影響──金融DXとサイバーリスクは表裏一体
日本の金融業界では、オンラインバンキング、スマホ証券、キャッシュレス決済、企業向けクラウド会計連携など、金融DXが急速に進んでいます。利便性が高まる一方で、社内外のシステム接続点は増え、攻撃者にとっての侵入口も広がっています。
特に注意すべきなのは、コールセンター、ヘルプデスク、委託先企業、SaaS管理者など、社内システムへの権限や顧客情報にアクセスできる立場の人々です。攻撃者は必ずしも役員やエンジニアだけを狙うわけではありません。むしろ、日常的な業務フローの中で「本人確認」や「緊急対応」を担う部署が狙われやすくなります。
AI音声とディープフェイクがリスクをさらに高める
今後さらに懸念されるのが、生成AIを使った音声なりすましです。経営幹部や取引先担当者の声を模倣し、「至急対応してほしい」「この認証を承認してほしい」といった指示を出す攻撃は、従来のフィッシングメールよりも見抜きにくくなる可能性があります。
日本企業では、電話や口頭確認を重視する文化が残っている現場も少なくありません。だからこそ、「電話だから安全」「声を知っているから本人」という前提を見直す必要があります。金融機関に限らず、重要情報を扱う企業は、電話での依頼に対して別経路で確認するルールを明文化すべきです。
求められる対策──技術だけでなく業務ルールの再設計を
今回のような攻撃に対抗するには、ファイアウォールやEDRといった技術対策だけでは不十分です。重要なのは、従業員が攻撃者に誘導されても被害が拡大しない仕組みを作ることです。
具体的には、多要素認証の承認プロセスを厳格化し、電話だけで認証リセットや権限変更を行わないことが重要です。また、ヘルプデスク業務では、本人確認の手順を統一し、例外対応を最小限に抑える必要があります。さらに、従業員向けの訓練も、単なるメールのフィッシング対策にとどまらず、電話・チャット・ビデオ会議を含む実践的なシナリオへ広げるべきでしょう。
金融機関にとってサイバー攻撃は、もはやIT部門だけの課題ではありません。顧客対応、法務、広報、経営層まで含めた全社的なリスク管理が求められます。Googleが警告する今回の攻撃は、金融業界全体に対し、「システムを守る」だけでなく「業務プロセスそのものを守る」段階に入ったことを示していると言えます。
引用元: Google says hackers are calling financial firm employees to hack and extort victims
