情報セキュリティの脅威は、必ずしも技術的な手段だけで行われるわけではありません。人の心理や行動を利用して情報を引き出す「ソーシャルエンジニアリング」も、身近な脅威の一つです。
この記事では、この手口の特徴と対策を解説します。
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、技術的な攻撃ではなく、人の心理や行動の隙を突いて情報を得る手口の総称です。
パスワードを直接解読するのではなく、「パスワードを教えてもらう」「重要な情報を口頭で聞き出す」といった、人とのコミュニケーションを通じた攻撃が特徴です。
フィッシング詐欺も、広い意味ではソーシャルエンジニアリングの一種に含まれますが、ここではメール以外の手口も含めて整理します。
よくある手口のパターン
なりすまし電話（プリテキスティング）
企業の担当者、銀行員、警察官などを名乗り、電話で情報を聞き出そうとする手口です。
典型的なシナリオ
- 「システムの不具合を確認しています。パスワードを教えてください」
- 「口座に不正な取引がありました。確認のため暗証番号を教えてください」
- 「調査のため、ご家族の情報を教えてください」
正規の機関が、電話でパスワードや暗証番号を直接聞くことは通常ありません。
権威を利用した心理的圧力
上司や経営者を装い、緊急性を強調して不適切な操作を促す手口です（ビジネスメール詐欺の一種として知られています）。
特徴
- 「今すぐ」「至急」という緊急性の強調
- 通常の手続きを飛ばすことを求める
- 確認の余地を与えない一方的な指示
ショルダーハッキング
背後や隣から、画面やキーボード入力を直接見て情報を得る手口です。デジタルな手段を使わない、最も原始的な情報収集方法です。
ゴミからの情報収集（トラッシング）
捨てられた書類やメモから、個人情報や機密情報を収集する手口です。
親切心を利用した手口
困っている様子を装い、善意に漬け込んで情報やアクセスを得る手口もあります（テイルゲーティングなど、物理的な侵入手口も含まれます）。
なぜ技術的対策だけでは防げないのか
VPNやパスワード管理ツールは、技術的な脅威に対しては有効ですが、人が自分の意思で情報を教えてしまうケースには効果がありません。
この種の攻撃は、技術ではなく「疑う姿勢」と「確認する習慣」で対策する必要があります。
個人でできる対策
1. 「本当にその人物か」を別の手段で確認する
電話やメールでの問い合わせに対して、その場で情報を教えるのではなく、いったん切って、公式の窓口に自分から連絡し直すという習慣をつけましょう。
2. 緊急性を煽られたら、むしろ立ち止まる
「今すぐ」「至急」と言われるほど、判断を焦らせようとしている可能性を考えましょう。正当な用件であれば、少し時間を置いても問題は解決できるはずです。
3. 個人情報を安易に口頭で伝えない
電話口で、パスワード、暗証番号、マイナンバーなどを求められた場合は、原則として教えないようにしましょう。
4. 会社の情報を家族以外に話さない習慣
業務上の情報や、システムに関する詳細を、確認の取れない相手に話さないようにしましょう。
5. 画面の覗き見に注意する
公共の場では、パスワード入力時などに周囲の視線に注意を払いましょう。
職場での対策
企業においては、次のような対応が有効です。
- 疑わしい連絡があった場合の報告・相談フローを整備する
- 「確認のためいったん電話を切る」ことを、失礼ではなく正当な対応として認識を共有する
- 定期的な注意喚起や研修を行う
こんなときは特に警戒したい
| 状況 | 警戒すべき理由 |
|---|---|
| 見知らぬ相手からの緊急の依頼 | 判断を焦らせる典型的な手口 |
| 通常と異なる手順を求められる | 正規の手続きを回避させようとする可能性 |
| 個人情報を電話で直接尋ねられる | 正規機関は通常このような聞き方をしない |
| 断ると強く言われる、または妙に親切 | 心理的な圧力をかけている可能性 |
まとめ
ソーシャルエンジニアリングは、技術ではなく人の心理を突く攻撃手法です。VPNやパスワード管理などの技術的対策とは別に、「本当にその人物か確認する」「緊急性を煽られたら立ち止まる」という心構えが重要な対策になります。
技術的な備えと、人としての警戒心——両方を組み合わせることで、より実効性のあるセキュリティ対策になります。
FAQ
電話で個人情報を求められたらどうすればいいですか?
その場で答えず、いったん電話を切り、公式の窓口に自分から連絡し直すことをおすすめします。
緊急を強調されたときはどう対応すべきですか?
むしろ警戒するきっかけと捉えてください。正当な用件であれば、少し確認の時間を置いても対応できるはずです。
職場でこうした連絡を受けたらどうすればいいですか?
一人で判断せず、上司や情報システム部門に相談する習慣をつけることをおすすめします。
VPNを使っていればこうした攻撃は防げますか?
防げません。VPNは通信経路の保護技術であり、人の心理を突く攻撃には別の対策（確認する習慣）が必要です。
评论