発信者番号なりすましによる電話番号のなりすましや偽装通話の脅威をイメージした画像

発信者番号なりすましとは何ですか？

発信者番号偽装の仕組みと被害を防ぐ対策のコツ


著者: Ahona Rudra
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 What Is Caller ID Spoofing? Detection and Safety Tips の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. 発信者番号なりすましでは、実際の電話番号を隠し、別の番号から電話がかかってきたように見せかけることができます。
  2. この手法は、テレマーケターや詐欺師が相手の信頼を得るために悪用することがあります。
  3. 自分の番号から電話がかかってきたように見えるなど、なりすましされた通話の兆候を知ることが、被害防止の第一歩です。
  4. 個人情報を安易に伝えない、公式番号へ折り返すなどの対策により、発信者番号なりすましのリスクを軽減できます。
  5. 企業やMSPにとっては、顧客情報の漏洩、ブランド毀損、コンプライアンス上の問題につながる可能性があります。
  6. PowerDMARCは、メールや音声チャネルを含む複数のコミュニケーション経路を可視化し、なりすまし対策を支援します。

毎日、多くの人が電話詐欺、ロボコール、銀行や政府機関、地域企業を装う詐欺師の標的になっています。
こうした詐欺でよく使われる手口の1つが、発信者番号なりすましです。
これは、実際には別の相手からの電話であるにもかかわらず、信頼できる番号からかかってきたように見せかける手口です。

この偽装により、金銭、個人情報、そして安心が脅かされる可能性があります。
本記事では、発信者番号なりすましとは何か、なぜ詐欺師や一部の正当な発信者がこの手法を使うのか、そしてどのように見抜き、自分を守るべきかについて解説します。

発信者番号なりすましとは？

発信者番号なりすましは、個人にとって迷惑なだけでなく、規制対象業界の組織にとっても深刻な脅威です。
CISOやIT管理者にとって、なりすましされた通話は、コンプライアンス違反、データ侵害、評判被害につながる可能性があります。
PowerDMARCは、メールと音声チャネルの両方でなりすましを検出、報告、防止し、ブランドと顧客の保護を支援します。

詐欺師は、信頼を得るため、ブロックを回避するため、そして被害者が電話に出る可能性を高めるために、発信者番号なりすましを使用します。
見慣れた番号や正規組織を装うことで、個人情報を盗んだり、詐欺を行ったり、不要な営業を押し付けたりします。
一般的ななりすまし手法には以下があります。

近隣番号なりすまし
電話番号の最初の数桁を相手の番号と一致させ、地元からの電話に見せかける手法です。
自己番号なりすまし
自分自身の電話番号が発信者番号に表示される手法です。
なりすまし
実在する企業や政府機関の番号を表示する手法です。
偽造番号または無効な番号
実際の電話ネットワーク上には存在しない番号を使用する手法です。
例：123-456-7890

これらの手口は、受信者の警戒心を下げるために使われます。
そのため、発信者番号なりすましは、金銭や機密情報をだまし取るために詐欺師が利用する危険な手段です。

なぜ発信者番号なりすましは広く使われているのか？

発信者番号なりすましが広く使われ続けている理由を理解することで、組織や個人はこうした脅威により適切に備えられます。
主な理由は以下のとおりです。

技術的に容易である
現在のVoIP技術により、なりすましは非常に簡単かつ低コストで実行できます。
攻撃者は、数ドル程度でなりすましツールやサービスを利用でき、必要な技術知識も最小限で済みます。
規制にばらつきがある
STIR/SHAKENのようなプロトコルが導入されつつありますが、通信事業者や国・地域によって適用状況は一貫していません。
国際通話では、こうした保護を回避できる場合もあります。
経済的な動機がある
詐欺による利益は、なりすましにかかる低いコストやリスクを大きく上回ります。
成功率がわずかでも、攻撃者にとっては十分な収益になります。
発信者番号が信頼されやすい
多くの人はいまだに、発信者番号を電話の発信元を示す信頼できる情報として扱っています。
そのため、なりすましは効果的なソーシャルエンジニアリング手法となっています。

発信者番号なりすましの一般的な例

実際のなりすまし事例を理解することで、潜在的な脅威を見抜きやすくなります。
代表的な例は以下のとおりです。

銀行・金融機関のなりすまし
詐欺師は、銀行の実際の電話番号を表示します。
そして、口座で不審な取引が検出されたと主張します。
「本人確認」のためとして、口座情報やPIN番号を求めてきます。
政府機関のなりすまし
IRSや税務当局を装い、即時支払いを要求します。
社会保障局を装い、給付停止を警告する場合もあります。
また、警察を装い、逮捕令状があると脅すケースもあります。
テクニカルサポート詐欺
Microsoft、Apple、その他のテクノロジー企業からの電話に見せかけます。
コンピューターウイルスやセキュリティ侵害があると主張し、問題解決のためとしてリモートアクセスを要求します。
地元企業のなりすまし
公共料金会社を装い、サービス停止を警告します。
保険会社を装い、特別割引を提示する場合もあります。
医療機関を装い、個人情報を求めるケースもあります。
近隣番号なりすましの例
自分の市外局番や局番と同じ番号から電話がかかってきます。
自分の番号と1〜2桁しか違わない番号が表示される場合もあります。
また、地元サービスを装う偽の地域番号が使われることもあります。

PowerDMARCが発信者番号およびメールなりすまし対策を支援する方法

PowerDMARCは、複数のコミュニケーションチャネルにわたるなりすまし攻撃から包括的に保護します。
主な機能は以下のとおりです。

一般的なアンチなりすましツールではなくPowerDMARCを選ぶ理由

発信者番号なりすましの仕組み

なりすまし攻撃者は、企業通信インフラの中核であるSIPシグナリングやCNAMデータベースの弱点を悪用し、偽の発信者情報を挿入します。
DMARCがメールドメインのなりすましを防ぐように、STIR/SHAKENのようなプロトコルは、音声通話の正当性を大規模に認証・検証するために設計されています。
主な方法は以下のとおりです。

VoIPなりすまし

概要
Voice over IPシステムを使用して通話を発信し、任意の発信者番号をシグナリングデータに埋め込む手法です。
仕組み
VoIPプロバイダは、SIPなどの通話設定メッセージに「From」番号を含めます。
安価な、または悪意のあるVoIPサービスでは、ユーザがこの値を自由に設定できるため、受信側キャリアや端末には偽装された番号が表示されます。

なりすましサービス

概要
Webまたはアプリベースのサービスで、表示したい番号をユーザが入力できるものです。
仕組み
サービスが被害者へ発信し、その後攻撃者との通話を中継します。
この際、選択された発信者番号を通話メタデータに挿入するため、受信者には偽の番号が表示されます。

近隣番号を装ったなりすまし

概要
着信番号の一部、通常は市外局番や最初の3〜4桁を受信者の番号と一致させ、地元からの電話に見せかけるソーシャルエンジニアリング手法です。
仕組み
攻撃者はローカル局番に一致する偽の発信者番号を設定します。
見慣れた番号に見えるため、人々は電話に出やすくなります。

CNAM操作

概要
電話画面に番号とともに表示されるCaller Name（CNAM）を変更する手法です。
たとえば、単なる電話番号ではなく「Bank of X」と表示させます。
仕組み
多くの通信事業者やCNAMデータベースは、第三者の照会データに依存しています。
攻撃者や不正サービスは、偽のCNAMエントリを送信したり、検証の弱点を悪用したりすることで、偽装番号が信頼できる名前として表示されるようにします。

これらの方法は、柔軟なVoIPシグナリング、第三者サービスやデータベース、人間の信頼を悪用します。
そのため、発信者番号だけでは実際の発信者を判断する信頼できる指標とは言えません。

正規通話となりすまし通話の比較

特徴 正規の通話 なりすまし通話
発信者番号の一貫性 既知の企業番号と一致します 見慣れているが誤った番号が表示される場合があります
緊急性 専門的で落ち着いた口調です 高圧的で即時対応を要求します
情報要求 必要最小限の個人情報にとどまります 最初から機密情報を要求します
折り返し確認 公式番号への折り返しを認めます 電話を切ることや折り返し確認を妨げます

発信者番号なりすましのリスクと危険性

発信者番号なりすましは、PCI DSSやGDPRなどの対象となる組織に、コンプライアンス上および運用上のリスクをもたらします。
検証されていない音声通信は、データ侵害、ビジネスメール詐欺、評判被害につながる可能性があります。
これらは、CISOやITリーダーが積極的に監視・報告すべき脅威です。

企業やMSPにとって、発信者番号なりすましは規制上の罰則、インシデントの拡大、業務中断につながる可能性があります。
コンプライアンスを重視する組織は、罰金を回避し顧客信頼を守るため、こうしたインシデントを迅速に報告し、是正する必要があります。
PowerDMARCは、自動インシデント追跡と複数ドメインの可視化によって、このプロセスを簡素化します。

悪影響の軽減

顧客は、なりすましされた発信者番号が違法行為に使われた場合でも、企業側に責任があると感じることがあります。
自社名が複数の詐欺事例で悪用されている場合は、直ちに発信者番号なりすましへの対応を取ってください。

また、通話、メール、ソーシャルメディアからの問い合わせに効率的に対応できる仕組みを整えることも重要です。
VoIP自動ダイヤラーなどのツールを活用することで、対応ワークフローを効率化し、なりすましインシデントによる混乱を軽減できます。

リソースの浪費

発信者番号を偽装した相手から電話を受けた場合、それが正規の通話かどうかを判断するのは困難です。
本来対応すべきでない電話に応答し、時間やリソースを無駄にしてしまう可能性があります。
これは、本物の顧客対応に使うべき時間と費用を失うことにつながります。

金融詐欺

犯罪者がこの手口を使って、人々から金銭や個人情報をだまし取った事例は多数あります。
銀行や大企業からの電話に見せかけることで、被害者は金銭やクレジットカード情報を伝えても安全だと思ってしまいます。

一度それらを渡してしまうと、取り戻すことは困難です。
銀行やクレジットカード会社などを名乗る相手には十分注意してください。

顧客への影響

顧客は、信頼している企業にだまされたと感じることを嫌います。
それは、その企業やブランド全体への信頼に悪影響を与えます。
嘘をつかれたと感じた顧客は、今後その企業と取引しなくなる可能性があり、長期的に収益へ大きな影響を与える可能性があります。

ITリーダー向け：なりすましリスクの管理

組織は、発信者番号なりすましやメールなりすましによって、規制上および評判上の課題に直面します。
PCI DSS、GDPR、業界規制への準拠には、迅速な検出、インシデント報告、連携した対応が必要です。
PowerDMARCの統合プラットフォームは、企業およびMSPチーム向けに、複数ドメイン監視、自動コンプライアンスワークフロー、高度なレポート機能を提供します。

クロスチャネル型なりすまし脅威

現代の攻撃者は、音声通話だけにとどまりません。
複数のチャネルを組み合わせてなりすまし攻撃を実行します。

音声+メール
なりすまし通話の後に、同じ組織から送信されたように見えるフィッシングメールを送信します。
ドメインなりすまし
発信者番号のなりすましと連動した偽Webサイトを作成します。
SMS連携
なりすまし通話に関連するSMSを送信し、信頼性を高めます。

コンプライアンスと報告要件

組織は、なりすまし攻撃に関する詳細なインシデントログと対応手順を維持する必要があります。
主な要件は以下のとおりです。

包括的なアンチなりすまし保護については、DMARC分析ツールおよびSPF分析ツールをご確認ください。

発信者番号なりすましを検出する方法

電話番号が偽装されている可能性を示す明らかな兆候がいくつかあります。
自社のビジネス電話番号が多数の見込み被害者へのスパムに使用されている場合、以下のような状況が見られることがあります。

以下のチェックリストを活用して、なりすましの可能性がある通話をすばやく見分け、対応してください。

□予期しない電話では個人情報を共有しない。
□通話スクリーニング機能を使用する。
□一度電話を切り、公式番号へ折り返して発信者の身元を確認する。
□地域で発生している新しい詐欺手口について情報を得る。
□通信事業者が提供するスパムフィルタリングサービスを有効にする。
□不審な通話を関係機関へ報告する。
□家族や従業員になりすましリスクについて教育する。

発信者番号なりすましを防止する方法

なりすましサービスはランダムに番号を生成することが多いため、第三者があなたの発信者番号を使用することを完全に防ぐ確実な方法はありません。
しかし、詐欺師があなたの番号を悪用して犯罪を行うリスクを減らすためにできることはあります。

個人番号を保護する
  • 電話番号をオンラインや懸賞などで過度に公開しないでください。
  • プライバシー設定を確認し、可能な場合はデータ共有を拒否してください。
  • 登録や業務用途には、Google VoiceやVoIPなどの予備番号を使用することも有効です。
なりすまし通話から自分を守る
  • 発信者番号だけを信用しないでください。
  • 逆引き電話番号検索ツールを使うか、電話を切って公式番号へかけ直してください。
  • 通話ブロックアプリや通信事業者のスパムフィルタリングツールを使用してください。
  • なりすまし通話は、通信事業者や規制当局へ報告してください。
  • 米国ではFTC、カナダではCRTCなどが該当します。
  • 知らない番号からの電話はボイスメールに回し、折り返す前に確認してください。

発信者番号なりすましをブロック・報告する方法

なりすましされた通話へ対応することで、自分自身と他の人を守ることができます。
以下の手順を参考にしてください。

なりすまし番号をブロックする

電話機能を使用する場合
  • iPhone：最近の通話→番号横の「i」→この発信者をブロック
  • Android：電話アプリ→最近→番号をタップ→ブロック/スパム報告
  • 固定電話：通信事業者へ通話ブロックサービスを依頼
通信事業者のツール
  • Verizon：Call Filterアプリ
  • AT&T：ActiveArmorセキュリティスイート
  • T-Mobile：Scam Shield保護
  • Sprint：Premium Caller ID
サードパーティアプリ
  • Truecaller
  • Hiya
  • RoboKiller
  • Nomorobo

なりすまし通話を報告する

米国
カナダ

報告に含める情報

自分の番号がなりすましされた場合の対処方法

発信者番号なりすまし自体を完全に制御することは難しいかもしれませんが、対応方法を工夫することで被害を抑えることはできます。
詐欺師があなたの番号を悪用している場合でも、偽の通話であなたを標的にしている場合でも、被害を抑え、当局の調査に協力するための手順があります。

連絡先へ通知する
友人、家族、顧客に、あなたの番号が不正利用されていることを知らせ、注意を促してください。
電話会社へ連絡する
なりすましを報告し、調査や可能な保護策について助言を受けてください。
当局へ報告する
FCC（米国）、CRTC（カナダ）、または地域の通信規制機関へ苦情を提出してください。
悪化の兆候を監視する
不審なアカウント活動や、関連する可能性のあるなりすまし被害の兆候を確認してください。

発信者番号なりすましアプリとWebサイト：知っておくべきこと

なりすましを可能にするツールを理解することで、こうした脅威を認識し、防御しやすくなります。

一般的ななりすましサービス

さまざまなアプリやWebサイトが、発信者番号なりすまし機能を提供しています。

モバイルアプリ
「Fake Call」「Spoof Call」「Caller ID Changer」などの名称でアプリストアに存在します。
Webサービス
表示したい任意の番号を入力できるオンラインプラットフォームです。
VoIPサービス
一部のVoice over IPプロバイダでは、発信者番号のカスタマイズが可能です。

法的影響

なりすまし技術自体は違法ではありませんが、詐欺目的で使用することは違法です。

合法的な利用
プライバシー保護、適切な開示を伴う業務利用、法執行機関による調査などです。
違法な利用
詐欺、嫌がらせ、政府機関のなりすまし、金融詐欺などです。
罰則
違反1件あたり最大10,000ドルの罰金や、詐欺による刑事責任が生じる可能性があります。

なりすましサービス利用のリスク

まとめ

発信者番号なりすましとは何か、そしてなぜ深刻な脅威なのかを理解することは、自分自身や組織を守るうえで重要です。
その仕組みを理解し、適切な対応方法を知ることで、個人情報や業務上の評判をより適切に保護できます。
疑わしい場合は、不審な電話には出ず、安全ではないと思われる番号はブロックしてください。

なりすましは電話だけにとどまりません。
攻撃者は、メール、ドメイン、その他の通信チャネルでも同様の手口を使用します。
防御を強化するには、PowerDMARCのツールが組織をなりすましや関連する脅威からどのように保護できるかをご確認ください。

よくある質問

発信者番号なりすましの例は何ですか？
一般的な例として、詐欺師が銀行の実際の電話番号を発信者番号に表示し、口座に不審な取引があると主張してPINや口座情報を要求するケースがあります。
発信者番号には銀行の本物の番号が表示されるため正規の通話に見えますが、実際には詐欺師からの電話です。
発信者番号なりすましは違法ですか？
発信者番号なりすまし自体は違法ではありませんが、詐欺目的で使用することは違法です。
合法的な利用には、プライバシー保護や適切な開示を伴う正当な業務目的が含まれます。
一方で、詐欺、嫌がらせ、政府機関のなりすましに使用した場合、違反1件あたり最大10,000ドルの罰金や刑事責任が発生する可能性があります。
通話がなりすましされているかどうかは、どう判断できますか？
即時対応を迫る高圧的な口調、最初から機密情報を要求すること、自分の番号からの着信、見覚えのないローカル番号、電話を切ったり折り返したりすることを妨げる発信者などが兆候です。
必ず電話を切り、組織の公式番号へかけ直して確認してください。
発信者番号なりすましは追跡できますか？
通常は困難です。
なりすまし攻撃者は実際の番号を隠しますが、法執行機関や通信事業者が詳細な調査を行うことで追跡できる場合があります。
なりすましされた番号へ折り返すとどうなりますか？
多くの場合、そのなりすまし通話とは無関係の実際の番号所有者につながります。
なりすましされた番号をブロックするとどうなりますか？
その番号だけがブロックされます。
なりすまし攻撃者は頻繁に番号を変更するため、今後のなりすまし通話を完全に止めることはできません。
なりすましの3種類とは何ですか？
代表的なものには、電話番号なりすまし、メールなりすまし、SMSなりすまし、ドメインなりすまし、GPSなりすましがあります。