"電話一本"でMFAが破られた — 金融機関を狙うヘルプデスクなりすまし攻撃の全貌

技術的にはとても強固だよ。でも今週、数十の大手金融機関からMFAコードが大量に盗まれた事件が報告されたんだ。犯人が使ったのはゼロデイ脆弱性でも高度なマルウェアでもなく——電話一本だよ。

「ヘルプデスクです。あなたのアカウントに不正アクセスの疑いがあります。今すぐ確認コードを教えてください」と電話をかける攻撃だよ。これを「ビッシング」（Voice Phishing）と呼ぶんだ。

攻撃者は事前準備がとても念入りなんだよ。LinkedInで社員情報を調べて名前を出したり、電話番号を社内番号に偽装したり。さらに「今対応しないとアカウントが48時間後に停止されます」と焦らせることで、相手の判断力を奪うんだ。

引っかかったんだよ、大手金融機関のITヘルプデスク担当者が。ヘルプデスクは毎日「困っている人を助ける」のが仕事だから、つい応じてしまいやすい。攻撃者はこの"親切心"をついてくるんだ。

そんなことはないよ。MFAは「パスワードが漏れただけでは侵入できない」という防御として有効。ただ、人を騙してコードを聞き出せば技術的な壁は関係なくなる。これを「ソーシャルエンジニアリング」と呼ぶんだ。

鉄則は「電話でMFAコードを絶対に伝えない」こと。本物のITヘルプデスクや銀行はコードを電話で求めない。怪しい電話がきたら、いったん切って公式番号に折り返し確認するのが最善だよ。

「Amazonです、不正注文がありました、確認コードを」「銀行です、不正引き落としを止めるためコードを」——こういう電話はすべてビッシングを疑ってね。本物のサービスはワンタイムパスワードを電話で求めない。焦らせてきたら余計に怪しいサインだよ。