Keepnetは、拡張人的リスク管理(xHRM)およびセキュアビヘイビア管理プラットフォームを手がける企業です。同社は本日、Keepnet SMS/Call Reporterを発表しました。これは、不審なSMSや電話をワンタップで報告できる無料アプリです。個人ユーザーが自身の防御のためにダウンロードできるほか、組織が従業員全体に展開することも可能です。アプリは現在Apple App Storeで提供されており、Android版のリリースも今後のロードマップに含まれています。Keepnetの顧客企業では、報告されたイベントはKeepnet Incident Responderに送られ、セキュリティチームがEメールフィッシング報告と同じワークフローで対応できます。
今回のリリースは、組織の80%がモバイルフィッシングの試みを経験しているという調査結果(Verizon MSI 2025)を背景としています。こうしたインシデントの大半は、セキュリティチームに報告されることなく終わっています。企業内の報告ボタンやセキュアゲートウェイ、インシデント対応パイプラインは、依然としてEメールの領域にとどまっているのが実情です。
2026年版Verizonデータ漏洩調査報告書(DBIR)も攻撃者側の視点から同様の傾向を示しています。モバイルベースのフィッシングシミュレーションでは、Eメールによるシミュレーションと比較して「クリック率の中央値が40%増加」しているとのことです(Verizon 2026 DBIR、50ページ)。DBIRのチームは同じページで率直にこう述べています。「クリック率の高さが、モバイル端末を攻撃者お気に入りの新たな標的にしている。私たちはフィッシングメールの見分け方には上達したが、その分攻撃者はポケットの中(スマートフォン)へと矛先を移している」。
Keepnet SMS/Call Reporterは、こうしたギャップをユーザー側から埋めるものです。端末から直接、SMSや音声によるフィッシングの試みを報告できる無料アプリで、Keepnetの顧客企業では報告内容がEメールフィッシングと同じセキュリティチームのパイプラインに流れ込みます。
モバイルフィッシングが報告体制の成熟度を上回った理由
攻撃者は受信トレイの外へと活動範囲を広げました。現在ではSMS、音声、Eメールが同一キャンペーン内で組み合わされて使われるようになっており、Eメール専用の報告ワークフローはこうした状況に対応できていません。2022年以降、状況にはいくつかの変化が見られます。
- Eメールの報告体制は成熟したが、モバイルは取り残された。報告ボタン、セキュアEメールゲートウェイ、セキュリティチームによるエンリッチメントのワークフローは、多くの組織で成熟の域に達しています。一方でSMSや音声にはこれに相当する仕組みがありません。従業員がIT部門になりすました詐欺SMSを受け取り、MFA認証情報の入力を求められても、それを社内で報告するワークフローは存在せず、セキュリティチームがその試みを把握することはありません。
- 攻撃者はセキュリティチームの監視が及ばないチャネルへ移行した。DBIR 2026もこの動きを直接記録しています。「攻撃者は企業のEメール以外にも、WhatsApp、ソーシャルメディア、個人のEメールアカウントなど、従業員に接触するためのさまざまなメッセージングチャネルを利用するようになっている。これらはいずれも、大半の企業向けサイバーセキュリティ製品がカバーしていないプラットフォームだ」(Verizon 2026 DBIR、50ページ)。ENISAの2025年版脅威ランドスケープ報告書は、欧州の規制当局としての視点をさらに加えています。それによれば、初期侵入の約60%はフィッシングから始まっており、確認されたソーシャルエンジニアリング活動の80%以上がすでにAIによって支援されているとのことです。
- AIが音声なりすましのコストを引き下げた。リアルタイムの音声クローン技術は、現在では数十の言語に対応するまでになっています。マイクロソフトの2025年版デジタル防御報告書は、AIによる自動化フィッシングのクリック率が54%に達したと報告しており、これは通常の攻撃の12%に対して4.5倍に相当します。この傾向は2023年のMGMリゾーツの事案に端を発し、2025年4月にはScattered Spiderによるマークス&スペンサーおよびCo-opへの攻撃へと続き、両社合わせた被害額は2億7,000万〜4億4,000万英ポンドに上ると推定されています。現在ではボイスフィッシングが、フィッシング関連のインシデント対応案件の60%以上を占めています(Mandiant M-Trends 2026)。ボイスフィッシングは今や個人だけでなく、企業にとっての問題となっています。
攻撃者はもはやEメール単体のキャンペーンを行わなくなりました。現在の標準は複数チャネルを組み合わせた一連の攻撃です。まずEメールでターゲットに下地を作り、続いて緊急性を装ったSMSが届き、最後に音声通話でとどめを刺すという流れです。Eメールは非同期のやり取りであるため、ターゲットは一呼吸置いて読み返したり、同僚に相談したりする余地があります。一方でSMSや音声による攻撃は同期的であり、ターゲットに与えられる猶予はわずか数秒しかありません。
調査結果が示すもの
- スマートフォンは、多くの意識啓発プログラムが今なお最も測定できていない企業の攻撃対象領域である
- Eメールのみを対象とする報告体制では、SMS、音声、WhatsApp、個人Eメールを介したインシデントがセキュリティチームのテレメトリから漏れてしまう
- 問われるべき問いは「従業員がクリックしたかどうか」から「本人確認が行われるまでに会話がどこまで進んだか」へと移った
- Scattered Spiderの手口が示す通り、ヘルプデスクや財務部門は攻撃者が最初に接触する対象領域となっている
セキュリティチームにとっての意味
FBIの2025年版IC3報告書によれば、政府機関へのなりすましだけでスミッシングとビッシングによる損失は7億9,800万ドルに達しており、これはこうした損失が独立したカテゴリーとして初めて計測された結果です(出典: FBI IC3 2025年版年次報告書、4ページ)。実際の被害の大半は、こうした「計測されている範囲」と「実際に悪用されている範囲」との間のギャップに潜んでいます。
- ヘルプデスクは攻撃対象領域に隣接する存在ではなく、その一部そのものである
- 本人確認手続きは、意識啓発だけよりも重要な意味を持つ
- スマートフォンのチャネルから得られる報告テレメトリこそ、セキュリティチームに欠けているシグナルである
- Eメールのみを対象としたシミュレーションでは、最もエンゲージメントの高いチャネルが検証されないまま残る
Keepnet SMS/Call Reporterの中身
他のモバイルアプリは消費者向けの詐欺検知にとどまり、企業向けのモバイル防御はマルウェア対策にとどまっています。SMS/Call Reporterはその中間に位置し、ユーザーのスマートフォン上のワンタップボタンから、Eメールフィッシング報告と同じセキュリティチームのパイプラインへと情報を送り込みます。設計上のポイントは3つあります。
- ユーザー主導、プライバシー重視の設計。アプリが受け取るのは、ユーザーが明示的に報告した内容のみです。SMS受信箱の監視や通話録音、受動的な情報収集は一切行われません。これはiOSのサンドボックス機構によって担保されているだけでなく、アプリケーションのアーキテクチャ自体によっても裏付けられています。
- モバイル端末からワンタップで報告。不審なSMSや電話は、ワンタップでKeepnetに送信されます。複数のソースを組み合わせた脅威インテリジェンスとAIによる分析により、数秒で「悪意あり」「不審」「スパム」「脅威なし」のいずれかの判定結果が返されます。デスクトップも、チケット起票も、スクリーンショットの転送も必要ありません。Eメール報告を機能不全に陥らせていた「手間」が、最もそれを必要としていたチャネルにおいてゼロに近づきます。この可視性のギャップを埋めることは、意識啓発の課題ではありません。実際に必要なのは、(1)スマートフォンから実際に報告される不審なSMSや通話の件数を増やすこと、(2)インシデントがエスカレートする前により迅速に分析・トリアージを行うこと、(3)セキュリティチームがエンドツーエンドで可視性を持てるようにすることという3つの運用面での取り組みです。
- Keepnet Incident Responderによる企業全体での一元管理。Keepnetの顧客企業では、報告されたSMSや音声のイベントは、Eメールフィッシング報告と同じインシデントパイプラインに流れ込み、セキュリティチームがそこでレビュー・エンリッチメント・エスカレーションを行います。これにより、モバイルからの報告は単なる意識啓発データではなく、セキュリティチームにとってのテレメトリそのものとなります。
音声・SMSフィッシングのシミュレーション機能は、2022年以降Keepnetのプラットフォームに専用機能として組み込まれており、SunExpress、Axa、Desjardins、Ryanair、Arriva、Vodafoneといった企業が顧客に名を連ねています。対応する電話番号は米国、英国、EU、およびアジアの一部地域をカバーしています。同社はISO 27001およびSOC 2 Type 2の認証を取得しており、ISO/IEC 42001:2023およびEU AI Actの要件にも準拠して事業を運営しています。Keepnetはまた、ヘルプデスクや高リスクの従業員グループを対象に、実際の音声を用いたソーシャルエンジニアリング評価も実施しています。
組織が得られるメリット
全従業員規模で導入することで、SMS/Call Reporterは既存の対策では手の届かない領域において、従業員自体をセンサーとして機能させることができます。セキュリティ・リスク管理の責任者が得られるメリットは以下の通りです。
- これまでセキュリティチームに届いていなかったSMS、音声、WhatsApp、個人Eメールを介したフィッシングの試みに対する可視性
- Eメール、SMS、音声のフィッシング報告を一本化した単一のインシデントパイプラインにより、別途ワークフローを構築・維持する必要がない
- エンゲージメントが最も高いチャネルにおける、セキュリティチームへのより迅速な認知(Verizon DBIR 2026)
- ビッシングや経営幹部へのなりすましに対するヘルプデスクの本人確認体制の強化
- Eメールからモバイルへと拡張され、シミュレーションプログラムを通じて効果測定が可能な全社的な報告習慣の定着
Keepnetの創業者兼CEOであるOzan Ucar氏は次のように述べています。「私たちはこの10年をかけて、Eメールの報告ボタンを押すことを当たり前の習慣にしてきました。しかしスマートフォンには、そうした仕組みが何一つありません。従業員が不審な電話やメッセージをワンタップで報告できる手段を持たない限り、セキュリティチームは何も見えないままです。SMS/Call Reporterは、まさにこの問題を解決するものです」。
SunExpress AirlinesのInformation & Cyber Security部門責任者であるAyo Adebayo氏は次のように述べています。「ソーシャルエンジニアリングの脅威は、従来のEメールにとどまらず、音声、SMS、コラボレーションプラットフォーム、そしてAIを活用したコミュニケーションチャネルへと急速に拡大しています。そのため組織は、コミュニケーション全体を見渡すより広範な可視性と、より強固な報告ワークフロー、そしてより強靭な人的リスク戦略を必要としています」。
セキュリティチームがSMS/通話報告をEメール以外にも拡張する方法
Keepnet SMS/Call ReporterはApple App Storeで無料提供されています。製品の全体概要、企業導入向けガイダンス、90秒のデモはこちらからご覧いただけます。このアプリは、自社運用・サードパーティ提供を問わず、既存のセキュリティ意識啓発プログラムや人的リスク管理プログラムと併用可能です。組織はプラットフォームを切り替えることなく、報告対象をSMSや音声にまで拡張できます。Keepnetは、CISOやセキュリティ・リスク管理の責任者、セキュリティ運用マネージャーに向けて、以下の取り組みを呼びかけています。
- 従業員が不審なSMSや電話をスマートフォンからワンタップで報告できる手段を用意すること
- モバイルチャネルからの報告を、Eメールのワークフローと合わせてKeepnet Incident Responderに一元化すること
- モバイルからの報告活動を、意識啓発データとしてではなくセキュリティチームのテレメトリとして追跡すること
- 次のSMS・音声・Eメールを組み合わせたキャンペーンが到来する前に、可視性のギャップを埋めておくこと
攻撃者はすでに受信トレイの外へと活動範囲を広げています。企業側の可視性も、それに合わせて広げていく必要があります。
Keepnetについて
Keepnetは、AIを活用したフィッシングシミュレーション、行動科学に基づくマイクロラーニング、セキュリティ意識啓発トレーニング、AI主導のフィッシングインシデント対応を通じて、従業員に起因するサイバーセキュリティリスクの低減を支援する、拡張人的リスク管理(xHRM)およびセキュアビヘイビア管理プラットフォームです。Keepnetは、2026年版Verizonデータ漏洩調査報告書をはじめ、音声・SMSフィッシングに関する業界調査にも貢献しています。本リリースで引用したデータは、Keepnet自身の調査結果および一次情報源(Verizon DBIR 2026、Verizon MSI 2025、FBI IC3 2025、Microsoft Digital Defense Report 2025、Mandiant M-Trends 2026、ENISA Threat Landscape 2025)に基づいています。調査論文全文「The Mobile Phishing Visibility Gap」はこちらからご覧いただけます。
翻訳元: https://www.helpnetsecurity.com/2026/09/02/keepnet-launches-free-sms-call-reporter-for-ios/
