ソーシャルエンジニアリング
巧みな話術や盗み聞き、盗み見などの、技術を使わない人間の心理や行動の隙を突く手段で、パスワードなどの重要な情報を手に入れること。
イマシルちゃんの解説
どんなに頑丈な金庫でも、鍵を持っている人が、うっかり誰かに鍵を貸しちゃったら、意味がないよね。
コンピュータも同じで、いくら守りを固めても、使っている人が、だまされてパスワードを教えちゃったら、簡単に入られてしまうんだ。
コンピュータじゃなくて、「人」をねらう攻撃があるんだよ。
より深い解説
定義
ソーシャルエンジニアリングは、情報システムの技術的な弱点ではなく、人の信頼、親切心、焦り、権威への弱さなどにつけ込んで、情報を聞き出したり、相手に不正な操作をさせたりする手法の総称である。
主な手口
| 手口 | 内容 |
|---|---|
| なりすましの電話 | システム管理者や上司、取引先を名乗って電話し、パスワードを聞き出す |
| ショルダーハッキング | パスワードを入力している人の手元や画面を、背後から盗み見る |
| トラッシング（スキャベンジング） | ごみ箱に捨てられた書類や記憶媒体から、情報を探し出す |
| 共連れ（テールゲーティング） | 認証を受けた人のすぐ後ろについて、入室の管理された区画に入る |
| フィッシング、スミッシング | 本物そっくりのメールやSMSで、偽のサイトに誘い込む |
| スケアウェア | 偽の警告で不安にさせ、ソフトを買わせたり、電話をかけさせたりする |
| ビジネスメール詐欺（BEC） | 取引先や経営者になりすましたメールで、偽の口座に送金させる |
人の心理の利用
| 心理 | 例 |
|---|---|
| 権威 | 「社長の指示だ」「警察だ」 |
| 緊急性 | 「今すぐ対応しないとアカウントが止まる」 |
| 親切心 | 「困っているので、少しだけ教えてほしい」 |
| 信頼 | 知り合いや取引先の名前を使う |
対策
- パスワードなどを、電話やメールで聞かれても答えない、というルールを決めて周知する
- 依頼を受けたら、あらかじめ知っている連絡先に折り返して、本人かを確かめる
- 重要な書類は、シュレッダーで処理してから捨てる
- 入室の管理で、共連れを防ぐ（アンチパスバックなど）
- 標的型メールの訓練などの教育を、定期的に行う