Googleも「声」にだまされた 25億人分が流出、“電話詐欺型”サイバー攻撃の実態：世界を読み解くニュース・サロン（2/3 ページ）

米Googleがサイバー攻撃で大量のユーザーデータを盗まれた。サイバー犯罪集団が「声」を使った手口で相手をだまし、データベースに不正アクセスした。電話やメールを使った手口は多い。攻撃とその対策について、どの企業も真剣に向き合うことが必要だ。

[山田敏弘，ITmedia]

社員を装って電話をかけて……

　Googleがこの攻撃を発見したのは、2025年6月。「ShinyHunters（シャイニーハンターズ）」として知られるハッカー集団が、Googleが保管していた中小企業の連絡先や関連メモなどのデータベースに侵入し、情報を盗んだ。Googleによると、盗まれたのはほとんどが公開されている情報だというが、情報を抜き出されたのは間違いない。

　経緯はこうだ。ShinyHuntersは、GoogleのITサポート担当者を装って、同社の従業員に電話をかけた。そして、「Data Loader（データローダ）」というアプリケーションをインストールさせようと説得した。

　このアプリは、実在するアプリケーションを改変したもので、顧客情報が保存された環境へのアクセス権をShinyHuntersに与える、いわゆる「トロイの木馬」（無害なソフトウェアやファイルに見せかけてユーザーをだまし、コンピュータに侵入するプログラム）だった。そこから不正アクセスされてしまったわけだ。通常、この集団は被害企業に対して、盗まれたデータを公開されたくなければ金を払うよう要求する。

サイバー攻撃集団が「電話」で企業をだます（画像提供：ゲッティイメージズ）

　ShinyHuntersは、ポケモンに関する用語が名前の由来とされる、世界でも注目されている犯罪集団だ。ハッキング集団の一群であるとの分析もある。この集団は、音声通話を用いたVishing（ボイスフィッシングのこと）を専門とする。電話やメールなどを使って相手をだまして情報を盗むソーシャルエンジニアリングの一種だ。

　日本でも、2015年に日本年金機構、2017年に日本航空（JAL）、2018年に新潟の病院、2022年には東芝の米子会社で、ソーシャルエンジニアリングによって情報が盗まれている。

　例えばJALのケースでは、攻撃者が取引先になりすまして「航空機リース料の振込先口座が変更された」と偽のメールを送信。JALの担当者はメールを信用して、指示された香港の銀行口座に約3億6000万円を振り込んでしまった。

　ShinyHuntersは、2025年7月だけを見ても、オーストラリアのカンタス航空から約600万件の顧客情報などを盗み、米保険会社のアリアンツ生命からは約140万件の個人情報、さらにルイ・ヴィトンから約42万件の顧客情報を盗み出している。5月にも、アディダスの問い合わせ先に連絡した顧客の情報を盗んだ。要は、大手企業が次々とソーシャルエンジニアリング攻撃の標的になっている。