ソーシャルエンジニアリング

読み：そーしゃるえんじにありんぐ　／　英語表記：social engineering

セキュリティ

人間の心理や行動の隙を突き、秘密情報の入手や不正な操作を狙う攻撃手法。なりすましによる巧みな話術や盗み見などを用い、システムの技術的な弱点ではなく人を足掛かりにする。

イマシルちゃんの解説

ソーシャルエンジニアリングは、人をだましたり行動の隙を突いたりして、秘密を盗むなどの不正を行う攻撃手法だよ。
たとえば管理者を名乗ってパスワードを聞き出したり、上司のふりをして不正な送金を指示したりするんだ。
メールや電話を使うこともあるけれど、狙うのはソフトウェアの欠陥ではなく人の判断なんだよ。
急がせる言葉や相手の肩書きだけで依頼に従うと、守るべき情報や権限を自分から渡してしまうおそれがあるの。
だから重要な依頼ほど、その場で応じず、以前から知っている連絡先で本人に確かめることが大切だよ。

より深い解説

定義

ソーシャルエンジニアリングは、情報システムの技術的な弱点ではなく、人の信頼、親切心、焦り、権威への弱さなどにつけ込んで、情報を聞き出したり、相手に不正な操作をさせたりする手法の総称である。

主な手口

手口	内容
なりすましの電話	システム管理者や上司、取引先を名乗って電話し、パスワードを聞き出す
ショルダーハッキング	パスワードを入力している人の手元や画面を、背後から盗み見る
トラッシング（スキャベンジング）	ごみ箱に捨てられた書類や記憶媒体から、情報を探し出す
共連れ（テールゲーティング）	認証を受けた人のすぐ後ろについて、入室の管理された区画に入る
フィッシング、スミッシング	本物そっくりのメールやSMSで、偽のサイトに誘い込む
スケアウェア	偽の警告で不安にさせ、ソフトを買わせたり、電話をかけさせたりする
ビジネスメール詐欺（BEC）	取引先や経営者になりすましたメールで、偽の口座に送金させる

人の心理の利用

心理	例
権威	「社長の指示だ」「警察だ」
緊急性	「今すぐ対応しないとアカウントが止まる」
親切心	「困っているので、少しだけ教えてほしい」
信頼	知り合いや取引先の名前を使う

対策

パスワードなどを、電話やメールで聞かれても答えない、というルールを決めて周知する
依頼を受けたら、あらかじめ知っている連絡先に折り返して、本人かを確かめる
重要な書類は、シュレッダーで処理してから捨てる
入室の管理で、共連れを防ぐ（アンチパスバックなど）
標的型メールの訓練などの教育を、定期的に行う

実際の試験ではここに出る！全2問

ネットワークスペシャリスト

午前Ⅱ