ソーシャルエンジニアリングとは？主な手口や対策をわかりやすく解説

ソーシャルエンジニアリングとは人の心理を突く攻撃

まずは、ソーシャルエンジニアリングがどのような攻撃なのかを押さえましょう。技術的なハッキングとの違いや、攻撃者が利用する人間の心理を理解すると、なぜ多くの人がだまされてしまうのかが見えてきます。

技術ではなく人間の隙を狙う手法

ソーシャルエンジニアリングとは、人間の心理的な隙や行動のミスにつけ込み、ネットワークに侵入するための情報などを盗み出す手法の総称です。不正プログラムの作成やシステムの脆弱性を突く高度な技術を必要としない点が特徴です。電話一本や、のぞき見だけで重要な情報を入手できる場合もあります。

攻撃者にとっては、堅牢なシステムを破るより人をだますほうが手間もコストもかからない場合があります。また、盗んだ正規のIDやパスワードでログインされると通常の利用と区別しにくく、不正アクセスとして検知されにくい面もあります。サイバー攻撃の最初の足がかりとして使われやすいのは、こうした理由からです。そのため、技術的な対策だけでは防ぎきれない領域だといえます。

攻撃者が悪用する心理的な弱点

攻撃者は、人が無意識に取ってしまう反応を巧みに利用します。上司や取引先、システム管理者を名乗って権威を感じさせる方法や、「至急対応しないとアカウントが停止される」と急がせる方法が代表例です。焦りや緊張を感じると、人は冷静な確認を省きがちです。相手の立場が上であるほど、疑うこと自体をためらう傾向もあります。

ほかにも、困っている相手を助けたいという親切心や、珍しい情報を見たいという好奇心も狙われます。「同僚もみな協力している」と伝えて警戒心を下げる手口も知られています。どれも誰にでもある自然な感情のため、知識の多い人でもだまされる可能性がある点を理解しておくことが大切です。自分は大丈夫という油断こそが、攻撃者に付け入る隙を与えてしまいます。

代表的な手口とショルダーハッキングの特徴

ソーシャルエンジニアリングの手口は、相手と直接接する物理的なものと、電話やメールを使う非対面のものに大きく分けられます。それぞれの特徴を知っておくと、日常のなかで不審な状況に気付きやすくなります。

ショルダーハッキングなど物理的な手口

ショルダーハッキングは、パソコンやスマートフォンを操作している人の肩越しや背後から画面や手元をのぞき見て、パスワードや機密情報を盗む手口です。カフェや電車内、新幹線などでの作業中が狙われやすく、ショルダーサーフィンとも呼ばれます。スマートフォンのカメラで離れた場所から撮影される場合もあります。特別な道具がいらず、被害に気付きにくい点が厄介です。

物理的な手口はほかにもあります。捨てられた書類やメモをゴミ箱から探し出すトラッシングは、その一例です。社員の後ろについて入館証なしでオフィスに入り込む共連れ（テールゲーティング）もあります。さらに、ウイルスを仕込んだUSBメモリを落とし物のように置き、拾った人に接続させる手口も知られています。

電話やメールで相手を信用させる手口

非対面の手口では、もっともらしい口実を用意して相手を信用させるなりすましが中心です。社内のヘルプデスクや取引先の担当者を装って電話をかけ、パスワードの再設定や顧客情報の提供を求めます。事前にSNSや企業サイトから氏名や部署名を調べ、話の信ぴょう性を高めることもあります。社内の事情に詳しく聞こえるほど、受け手は相手を疑いにくくなります。

メールでは、実在の企業や公的機関を装って偽サイトへ誘導し、ログイン情報を入力させるフィッシングが代表的です。特定の組織に向けて業務連絡を装う標的型攻撃メールも、人の心理を突く手口の一種です。近年は生成AIを悪用して自然な文面や本人に似せた音声を作る事例も指摘されており、見た目だけで見抜くことは難しくなっています。

この記事をご覧の方には、以下の記事もおすすめです。あわせて参考にしてください。

被害につながる典型的なシナリオ

ソーシャルエンジニアリングは単独で終わらず、より大きな被害の入口として使われることが多くあります。ここでは、企業が実際に直面しやすい二つのシナリオを取り上げ、被害が広がる流れを確認します。

標的型攻撃やランサムウェアの入口になるケース

攻撃者は、なりすまし電話やフィッシングで入手したIDとパスワードを使い、正規の利用者として社内ネットワークに侵入します。その後、権限の高いアカウントを探しながら内部で活動範囲を広げます。最終的に機密情報を持ち出したり、ランサムウェアでデータを暗号化して身代金を要求したりする流れです。

海外では、攻撃者が社員を装ってIT部門のヘルプデスクに電話をかけ、認証情報を再発行させて侵入した事例も報じられています。正規の手続きを悪用されると、侵入に気付くまで時間がかかりやすくなります。入口が一人の従業員の対応であっても、事業停止のような組織全体の被害に発展するおそれがある点に注意が必要です。取引先や顧客へ影響が及べば、信用の低下も避けられません。

金銭をだまし取るビジネスメール詐欺のケース

ビジネスメール詐欺（BEC）は、取引先や自社の経営者になりすましたメールを送り、攻撃者が用意した口座へ送金させる手口です。「振込先の口座が変更になった」「極秘の案件なので至急送金してほしい」といった内容で、経理担当者などを急がせる傾向があります。周囲に相談させないよう口止めを求める点も特徴の一つです。

攻撃者は事前に取引先のメールアカウントを乗っ取り、実際のやり取りを盗み見てから偽の請求を送る場合もあります。そのため文面や署名に不自然さがなく、受信者が気付くのは容易ではありません。一度送金してしまうと、資金を取り戻せるとは限りません。IPAが公表する「情報セキュリティ10大脅威」でも、組織向けの脅威として繰り返し取り上げられています。

ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料を取り寄せて、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でサイバー攻撃対策の一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。

従業員一人ひとりが実践できる防ぎ方

人の心理を突く攻撃には、日々の行動を少し変えるだけで防げるものも多くあります。ここでは、従業員が今日から取り組める習慣と、不審な連絡を受けたときの対応手順を紹介します。

のぞき見や置き忘れを防ぐ日常の習慣

ショルダーハッキングを防ぐには、社外で作業するときに背後や周囲の視線を意識することが基本です。パソコンやスマートフォンにのぞき見防止フィルターを貼ると、斜め方向から画面が見えにくくなります。パスワードを入力する際は手元を隠し、人の多い場所では機密情報を扱う作業自体を控えましょう。壁を背にして座れる席を選ぶのも有効です。

席を離れるときは短時間でも画面をロックし、書類やメモを机に残さないクリアデスクを習慣にします。不要な書類はシュレッダーで処分し、そのままゴミ箱に捨てないことも大切です。オフィスの入退室では、面識のない人を後ろから一緒に通さないよう意識すると、共連れによる侵入の防止につながります。拾ったUSBメモリを業務用パソコンに接続しないことも徹底しましょう。

不審な連絡を受けたときの確認手順

電話やメールでパスワードや個人情報を求められた場合は、その場で答えないことが原則です。相手が正規のヘルプデスクや取引先を名乗っていても、電話でパスワードを伝えるのは避けましょう。相手の所属と名前を確認したうえで、一度電話を切るか返信を保留しましょう。急かされるほど、いったん立ち止まる意識を持つことが大切です。

次に、社内名簿や過去の契約書に記載された連絡先など、自分で調べた別の経路で相手に問い合わせます。メール内のリンクや記載された電話番号は偽物の可能性があるため使いません。判断に迷う場合は一人で抱え込まず、上司や情報システム部門へすぐに報告しましょう。早い段階で共有できれば、ほかの従業員への被害拡大も防げます。報告は失敗ではなく、組織を守る行動です。

組織として整えるべき仕組みづくり

個人の注意だけに頼ると、忙しいときや疲れているときに対応が甘くなりがちです。組織としてルールと教育、技術的な備えを組み合わせ、人のミスがあっても被害を最小限に抑えられる体制を整えましょう。

ルールの明文化と定期的な教育・訓練

まずは情報の取り扱いに関するルールを明文化します。パスワードを電話やメールで伝えないことや、送金先の変更は必ず別経路で確認することなどを定めます。社外での作業ルールや来訪者の入館手続きもあわせて決めておくと、従業員が迷わず行動できます。不審な連絡を受けたときの報告先を一本化しておくと、初動も早まります。

ルールは作るだけでは定着しないため、定期的な研修で最新の手口を共有することが欠かせません。訓練用の標的型攻撃メールを送る訓練を行えば、従業員が実際にどう反応するかを確認できます。結果を責めるのではなく、報告した行動を評価する姿勢が大切です。ISMS（情報セキュリティマネジメントシステム）の考え方を取り入れ、見直しを継続する仕組みにすることも有効です。

人のミスを前提にした技術的な備え

パスワードが盗まれても不正ログインを防げるよう、多要素認証を導入しましょう。多要素認証とは、パスワードに加えてスマートフォンの確認コードなど複数の要素で本人を確かめる仕組みです。アカウントごとに必要最小限の権限だけを与えておけば、侵入された場合でも被害の範囲を狭められます。退職者や使われていないアカウントの削除も忘れずに行います。

メールフィルタリングでなりすましメールや不審な添付ファイルを遮断すれば、従業員の目に届く攻撃そのものを減らせます。端末の不審な動きを検知して対処するEDR（エンドポイントでの検知と対応）を併用すると、万が一の侵入にも早く気付けます。教育と技術を組み合わせ、複数の層で守ることが重要です。対策の効果は定期的に点検し、手口の変化にあわせて見直しましょう。

だまされた後の被害を抑える製品・サービス

人がだまされる可能性をゼロにはできないため、不審なファイルを開いてしまった場合の被害を抑える製品と、侵入に気付いた後の調査や復旧を支援するサービスを選びました。

Votiro Secure File Gateway

株式会社アズジェント

製品詳細ページへ ＞

製品・サービスのPOINT

1. ファイルがマルウェアを含んでいる 「可能性」を重視し無害化
2. 様々な経路を経由するファイルを無害化
3. 直観的に使えるウェブポータル

AppGuard

DAIKO XTECH株式会社

資料請求リストに追加

製品詳細ページへ ＞

《AppGuard》のPOINT

1. 定義ファイル不要の「OSプロテクト型」
2. 未知・既知を問わず、高度なサイバー攻撃による侵害を未然に防止
3. 端末に対して悪いコトをさせず、「攻撃の無効化」を実現

まとめ

ソーシャルエンジニアリングは、権威や緊急性、親切心といった誰にでもある心理を突く攻撃です。ショルダーハッキングのような身近な手口から、ランサムウェアやビジネスメール詐欺の入口となるなりすましまで幅広く存在します。従業員はのぞき見対策や別経路での確認を習慣にし、組織はルール整備と教育、多要素認証などの技術的な備えを組み合わせましょう。人と仕組みの両面から対策を進めることが大切です。