「ウイルスとは違う攻撃なの?」
「どうやって身を守ればいい?」
システムをどれだけ固めても、破られる入口があります。それが「人」です。
ソーシャルエンジニアリングとは、技術ではなく人の心理や行動の隙を突いて情報を盗む攻撃です。パスワードや機密を、機械を破らずに「人からしゃべらせる」手口を指します。攻撃者は、固めた壁ではなく、それを開ける人の判断を狙います。
この記事では、なぜ人が狙われるのかを押さえ、技術的な攻撃との違いを対応表で並べ、代表的な手口を確認します。最後に、守りの優先順位と試験での問われ方まで示します。SG・基本情報のセキュリティ対策に直接効きます。
1. ソーシャルエンジニアリングとは何か
ソーシャルエンジニアリングは、コンピュータの仕組みではなく、人の心理や行動の隙を突いてパスワードや機密情報を聞き出す手口です。上司や取引先を装った電話で「急ぎだから今すぐパスワードを教えて」と迫り、あわてた相手が答えてしまう。この「人」を入口にした攻撃が、その典型です。
どれだけシステムを固めても、最後にそれを使うのは人です。あなたがうっかり情報を渡してしまえば、技術的な守りは意味を失います。だから攻撃者は、手間のかかるシステム侵入より、人の隙を突きます。狙われるのはシステムではなく、それを使うあなた自身だと押さえてください。
2. 「システムを固めれば安全」という誤解
ここでよくある誤解をほどきます。「更新と対策ソフトを入れておけば安心」——これは技術的な攻撃には効きますが、人を狙う攻撃には届きません。見分けのカギは、攻撃が「機械の弱点」を突くのか「人の弱点」を突くのかです。対応表で並べます。
| 観点 | 技術的な攻撃 | ソーシャルエンジニアリング |
|---|---|---|
| 狙う対象 | OSやソフトの脆弱性 | 人の心理・行動の隙 |
| 主な手段 | マルウェア・不正アクセス | なりすまし・のぞき見・誘導 |
| 効く対策 | 更新・対策ソフト | 教育・本人確認・運用ルール |
たとえば マルウェアとは は、ソフトの脆弱性を突いてコンピュータに害を与える技術側の攻撃です。一方ソーシャルエンジニアリングは、プログラムを使わず人をだまして情報を引き出します。ただし2つは組み合わさります。だます手口でクリックさせ、その先でマルウェアに感染させる。人の隙と技術の弱点は、別々のようでつながっています。だから守る側も、技術と「人への備え」の両輪が要ります。
3. 代表的な手口を知っておく
入口が分かれば、警戒すべき場面も見えます。代表的な手口は次の4つです。
- なりすまし電話：上司・取引先・サポート窓口を装い、パスワードや個人情報を聞き出す
- ショルダーハッキング：肩越しにのぞき見て、入力中のパスワードや画面の情報を盗む
- トラッシング：捨てられた書類やメモから、有用な情報を拾い集める
- フィッシングへの誘導：本物そっくりの偽メールやサイトへ導き、自分で情報を入力させる
共通するのは、相手を信じ込ませて、自分から情報を渡させるという流れです。あわてさせたり、親切そうに振る舞ったりして判断を急がせるのが核心です。地味に見えるトラッシングも侮れません。社員名や内線番号が分かるだけで、次のなりすまし電話の材料になります。攻撃者は、こうした小さな情報をつなげて本物らしさを高めます。だから、入口の段階で小さな違和感に気づけるかどうかが分かれ目です。
4. 守りの優先順位 — 教育・確認・クリアデスク
守りは技術より、習慣と仕組みが主役です。現場のセキュリティ運用の経験から、効く順に3つ挙げます。
- 利用者の教育：手口を知り、急かされても情報を渡さない判断力を養う
- 本人確認の徹底：電話やメールの依頼は、別の正規の連絡先でかけ直して確かめる
- クリアデスク・クリアスクリーン：書類を放置せず、離席時は画面をロックしてのぞき見を防ぐ
とくに効くのが本人確認の一手間です。「急ぎだ」と迫られても、いったん正規の番号にかけ直す。それだけで、なりすましの大半は見破れます。あなたが宅配の不在通知を公式アプリで確かめ直すのと同じ発想です。クリアデスクは、トラッシングやショルダーハッキングへの地道な備えになります。机に付箋でパスワードを貼らない、印刷物は使い終えたら適切に処分する。小さな習慣が情報の入口をふさぎます。組織のルールづくりは 情報セキュリティマネジメントとは で全体像をつかめます。
3つの対策は、順番にも意味があります。まず教育で「そういう手口がある」と知り、次に本人確認で「急かされても止まる」ルールを持ち、最後にクリアデスクで物理的な情報の露出を減らす。知識・判断・環境の3層で守る、と押さえてください。あなた一人が完璧である必要はなく、組織全体で「迷ったら確認する」文化を作ることが、現実的な守りになります。
5. 試験での問われ方
SG・基本情報では、ソーシャルエンジニアリングは繰り返し問われる重要分野です。あなたが押さえる骨格を、最後にまとめます。
次のステップ
ソーシャルエンジニアリングが試験全体でどう問われるかを俯瞰したいなら、情報セキュリティマネジメント試験の試験範囲と勉強法ガイド で守りの全体像をつかむと、セキュリティ分野の学習が進めやすくなります。
理解を得点に変えるなら、情報セキュリティの脅威の問題集 で、手口や対策を問う設問を解いて、力試しをしましょう。