ソーシャルエンジニアリングとは
ソーシャルエンジニアリング（Social Engineering）とは、人の心理や行動を悪用して、情報や認証情報を盗み出したり、施設やシステムへのアクセス権を不正に得たりする攻撃手法である。
最大の特徴は、システムではなく人を攻撃対象とする点にある。
技術的な脆弱性ではなく、人の判断や行動を利用するため、高度なセキュリティ製品を導入していても、人が騙されれば被害につながる。
ソーシャルエンジニアリングはどのように行われるのか
攻撃者は、相手の信頼や善意、焦り、不安などの心理を利用して、情報を聞き出したり、自ら操作させたりする。
代表的な手法は次のとおりである。
- なりすましメールや電話
- フィッシングサイトへの誘導
- 偽のサポートを装った連絡
- 関係者を装った情報の聞き取り
- 尾行による入退室（テールゲーティング）
- 肩越しから画面をのぞき見る（ショルダーサーフィング）
手法は様々であるが、「人を騙して情報や権限を得る」という点は共通している。
なぜソーシャルエンジニアリングが利用されるのか
システムの脆弱性がなくても、人の判断や行動を利用すれば情報を取得できる。
また、利用者自身が認証情報を入力したり、不正なファイルを開いたりすると、通常の操作と区別しにくい。
このように、人を経由して侵入することで技術的な防御を回避できるため、現在も広く利用されている攻撃手法の一つとなっている。
小規模環境でも発生するのか
ソーシャルエンジニアリングは、企業規模に関係なく発生する。
特に小規模事業者では、
- 担当者が少ない
- 電話やメールでのやり取りが多い
- 一人で複数の業務を担当している
といった環境から、確認不足や思い込みが攻撃に悪用されやすい。
家族経営や少人数の事業所でも、「知っている相手だから大丈夫」「急いで対応しなければならない」といった心理を利用して、攻撃者は情報の取得や不正な操作を誘導する。
ソーシャルエンジニアリングへの対策
ソーシャルエンジニアリングは、人を対象とする攻撃であるため、技術的な対策だけでは防げない。
重要なのは、相手を信用することと、依頼内容が正当であることを確認することを分けて考えることである。
相手が取引先や上司、保守事業者であっても、その依頼が正当であるかは別の手段で確認することが重要となる。
主な対策は次のとおりである。
- 本人確認を行う
- 多要素認証を導入する
- 認証情報を安易に伝えない
- 不審なメールや電話を鵜呑みにしない
- 重要な依頼は別の手段でも確認する
- 社内ルールや確認手順を整備する
関連する攻撃との違い
フィッシング
偽のWebサイトやメールへ誘導し、認証情報などを入力させる攻撃である。
ビジネスメール詐欺（BEC）
取引先や経営者などになりすまし、送金や機密情報の送付を誘導する攻撃である。
ソーシャルエンジニアリング
フィッシングやビジネスメール詐欺（BEC）を含め、人の心理や行動を利用して情報や権限を取得する攻撃全体を指す。
まとめ
ソーシャルエンジニアリングとは、人の心理や行動を悪用して、情報や認証情報、アクセス権などを不正に取得する攻撃手法である。
技術的な脆弱性ではなく、人の判断そのものが攻撃対象となることが特徴である。
そのため、セキュリティ製品だけに頼るのではなく、本人確認や確認手順などの運用を組み合わせ、「人も攻撃対象になる」という前提で対策を行うことが重要である。