ソーシャルエンジニアリングとは

ソーシャルエンジニアリングとは、技術的なハッキングではなく、人の心理的な隙や行動のミスを巧みに利用する攻撃の総称です。具体的には、信頼、恐怖、好奇心といった人間の感情を操り、パスワードなどの機密情報を不正に盗み出します。どんなに強力なセキュリティシステムを導入していても、人が騙されてしまえば簡単に突破されてしまいます。

なぜ私たちは騙されてしまうのでしょうか。攻撃者は、私たちが無意識に持っている以下のような心理を悪用してきます。

ソーシャルエンジニアリングの手口は非常に多様ですが、大きく「オンライン（デジタル）」と「オフライン（物理的）」の2種類に分類できます。

オンラインの手口

フィッシング：Eメールで金融機関やECサイトを装い、偽のWebサイトへ誘導してIDやパスワードを入力させる

スミッシング：SMSで「お荷物のお届け」と称して不在通知を送り、不正なアプリをインストールさせる

ビッシング：電話でサポートを名乗り、「PCがウイルスに感染している」などと偽ってサポート料金を請求する

プリテキスティング：事前に標的の組織を調査し、巧妙なシナリオ（プリテキスティング）を用意して接触
代表的なものにビジネスメール詐欺（BEC）があり、経営者や取引先になりすまし、偽口座へ送金させる

スケアウェア：「ウイルスに感染しました」などの偽警告で利用者の恐怖心を煽り、不要なセキュリティソフトの購入を促す

オフラインの手口

ショルダーハッキング：公共の場やオフィスで背後や肩越しに画面を覗き見て、ATMの暗証番号やPCのパスワードなどを盗む

トラッシング：ゴミ箱に捨てられた書類や記憶媒体から、機密情報や次のサイバー攻撃に参考となる情報（従業員名簿や領収書など）を回収する

ベイティング：「機密情報」などと書いたUSBメモリをわざと置き忘れ、拾った人がPCに接続するのを待つ

テールゲーティング：正規の従業員の直後についていき、認証が必要なドアを一緒に通過して不正に侵入する

リバース・ソーシャルエンジニアリング：攻撃者が「専門家」として標的から頼られる状況を作り出し、標的側から情報を引き出す

近年、AI技術の進化が、ソーシャルエンジニアリング攻撃をさらに巧妙で危険なものに変えています。これまでのような「少し不自然な日本語」といった見破るヒントが、AIによって無くなりつつあるのです。