ソーシャルエンジニアリングの手口

ソーシャルエンジニアリングとは、人を巧みに操り、機密情報を渡させたり、安全でない行動を取らせたりする手法です。

攻撃者はコンピューターをハッキングする代わりに、人間の信頼を悪用します。組織に侵入するための最も簡単な経路になることも少なくありません。

ファイアウォールと暗号化は機械を守りますが、人はプレッシャーの下で意思決定を行います。

• 人は人の役に立ちたいと思います
• 人はトラブルになることを恐れます
• 人は権威や慣れた手順を信頼します

攻撃者は、こうした人間の自然な本能を悪用します。

プリテキスティングとは、信頼を得るために、信じられそうな話（口実）を作り上げることです。

攻撃者は、ITサポート担当者を装ってパスワードを尋ねることがあります。

ベイティングは、魅力的なものを餌にして被害者を誘い込みます。

• 駐車場に置かれた「2026年の給与」とラベルが付いたUSBドライブ
• マルウェアを隠した無料映画のダウンロード

好奇心に駆られた被害者は、自分のマシンにマルウェアを感染させてしまいます。

Quid pro quoとは、「何かと引き換えに何かを得ること」です。攻撃者は、情報やアクセスと引き換えに利益を提供します。

例：偽のサポート担当者が、リモートツールをインストールすれば動作の遅いコンピューターを修理すると申し出ます。

テールゲーティング（またはピギーバック）は、物理的な攻撃です。攻撃者は、許可を受けた人物の後ろについて安全なドアを通り抜けます。

箱を抱えたり、電話中のふりをしたりすると、相手は礼儀からドアを開けたままにしてくれます。

攻撃者が利用する、特に強力な2つのきっかけは次のとおりです。

• 権威 - CEO、警察官、監査人などを装うこと
• 緊急性 - 「今すぐ対応しなければ、アカウントがロックされます」

プレッシャーを受けると、人は批判的に考えられなくなります。

人は返報性によって恩を返し、好感を持つ相手には「はい」と答えます。

親しみやすく接したり、小さな贈り物をしたり、共通の関心事を共有したりする攻撃者は、親近感を築いて相手の警戒を下げます。

犯罪者は、攻撃の前に情報を集めます。

• ダンプスター・ダイビング - 文書を探すためにゴミを調べること
• OSINT - ソーシャルメディアやウェブサイトから公開情報を収集すること

こうした調査によって、攻撃者の口実ははるかに説得力を増します。

なりすましとは、ベンダー、新入社員、配達員など、信頼されている人物になりすますことです。

偽のバッジや自信に満ちた態度だけで、誰にも止められずに建物へ入れることがあります。

最善の防御策は、健全な懐疑心を持つことです。

• 既知の連絡手段を使って本人確認を行います
• 「IT担当者」であっても、パスワードを決して共有しません
• プレッシャーを感じたら、いったん立ち止まります

何かがおかしいと感じたら、実際に問題がある可能性が高いです。

攻撃者がどのように人を操るかを学びました。

• プリテキスティング、ベイティング、Quid pro quo、テールゲーティング
• きっかけ：権威、緊急性、返報性、好意
• ダンプスター・ダイビングとOSINTによる偵察

認識と本人確認が、最も強力な防御策です。