ソーシャルエンジニアリングとは

この記事は約 2 分で読めます

ソーシャルエンジニアリングとは、技術的な手段ではなく、人間の心理的な隙や信頼関係を悪用して機密情報を引き出す攻撃手法の総称です。どれほど堅牢なセキュリティシステムを構築しても、それを操作する人間が騙されれば意味がありません。セキュリティの最も脆弱なリンクは常に「人間」であるという原則に基づく攻撃です。攻撃者にとっては、システムの脆弱性を探して突破するより、権限を持つ人に「正しい手順のつもりで」操作させるほうが早い場合があります。技術的な防御をどれだけ固めても、最後に人が判断する箇所が残る限り、この経路はなくなりません。

歴史的背景

ソーシャルエンジニアリングの概念を広く知らしめたのは、 1990 年代に活動したハッカーのケビン・ミトニックです。彼は技術的なハッキングよりも電話でのなりすましや心理操作を多用し、大企業のシステムに侵入しました。逮捕後に出版した著書「 The Art of Deception 」は、ソーシャルエンジニアリングの古典として現在も読み継がれています。インターネットの普及により攻撃の手口はフィッシングメールや偽サイトへと進化しましたが、人間の心理を突くという本質は変わっていません。

代表的な手口

プリテキスティングは、攻撃者が IT サポートや上司などの信頼できる人物を装い、パスワードや機密情報を聞き出す手口です。テールゲーティングは、正規の従業員の後ろについてセキュリティゲートを通過する物理的な侵入手法です。ベイティングは USB メモリなどにマルウェアを仕込み、好奇心から接続させる手口です。クイドプロクオは「見返り」を提示して情報を引き出す手法で、「無料のセキュリティ診断」を装うケースなどがあります。

現場での使用例

例えば模擬フィッシング訓練を実施すると、入社したばかりの社員ほどリンクを開いてしまう傾向が出ます。社内の慣習や差出人の顔が分からないうちは、指示に従うこと自体が正しい行動に見えるからです。ここで結果を「誰が引っかかったか」の名簿として扱うと、次からは開いたことを黙る人が増え、訓練が実害の検知を遅らせる方向に働きます。訓練の目的は、開いてしまった人が数分以内に報告できる状態をつくることに置くほうが実務では機能します。実施の頻度についても、年 1 回の集合研修より、短い訓練を定期的に回して報告経路を体で覚えさせるほうが効果が続きます。

攻撃手法の分類

実務での防御と落とし穴

ソーシャルエンジニアリングへの防御は、技術的対策と人的対策の両面が必要です。不審な依頼には必ず本人確認を行い、電話やメールでパスワードを伝えないことを徹底します。組織では定期的なセキュリティ教育と模擬フィッシング訓練が効果的です。よくある落とし穴は「うちの社員は大丈夫」という過信です。巧妙に作り込まれた攻撃は、 IT 部門の社員であっても引っかかり得るものです。推測不可能なランダムパスワードを使用していれば、攻撃者が「パスワードのヒント」を聞き出そうとしても意味をなしません。