「その情報、うっかり渡していませんか？」
ソーシャルエンジニアリングとは、人の心理や行動の隙を突いて、パスワードや機密情報を盗み出すサイバー攻撃の一種です。ITに詳しくない人でも標的になりやすく、企業の情報漏洩事件でも多く見られます。
本記事では、ソーシャルエンジニアリングの意味や手口の種類、実際に起きた被害事例、そして日常でできる対策方法を紹介します。
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、IT技術を使わずに人の心理的な隙や行動のミスに付け込んで、パスワードや機密情報などを不正に取得する手法です。
ネットワークへのハッキングやマルウェアによる攻撃とは異なり、「人」をターゲットにした“人的脅威”として近年注目されています。
この手口の語源となった「ソーシャルエンジニアリング（社会工学）」とは、人々の行動や心理の傾向を分析する学問分野です。そこから派生し、「人間の特性を利用してセキュリティを破る手法」が同じ名前で呼ばれるようになりました。
実際に使われる手口はシンプルなものも多く、たとえば以下のような方法があります。
このように、ソーシャルエンジニアリングは人間の「うっかり」や「親切心」などに付け込むことで成立する攻撃であり、ITスキルが高くない相手でも実行できる点が大きな特徴です。
ソーシャルエンジニアリングの種類
ソーシャルエンジニアリングには、さまざまな手口が存在します。代表的なものを見てみましょう。
ショルダーハッキング
「ショルダーハッキング」は、肩越しに他人のPC画面やキーボード操作をのぞき見する行為です。カフェや電車内など、周囲に人がいる環境では特に注意が必要です。
たとえば銀行ATMには小さなバックミラーが付いていますが、これはショルダーハッキングを防ぐための対策です。パスワード入力や社内システムへのログイン時には、周囲の視線に注意することが重要です。
スキャベジング（トラッシング）
「スキャベジング」あるいは「トラッシング」とは、ゴミ箱から情報を盗み出す手法です。たとえば、以下のようなものがターゲットになります。
企業では、オフィスのゴミ置き場を物色されることで機密情報が漏洩するケースも報告されています。一見アナログな手口ですが、現代でも有効な情報収集手段のひとつです。
また、「BEC（ビジネスメール詐欺）」や「標的型攻撃メール」といった手法も、ソーシャルエンジニアリングの一種に含まれます。
▼ BEC（ビジネスメール詐欺）はこちらから🔗
ソーシャルエンジニアリングによる被害事例
実際に、ソーシャルエンジニアリングが原因となった被害は世界中で発生しています。ここでは2つの代表的な事例をご紹介します。
事例1：3億8000万円の被害！国内航空会社を襲ったBEC事件
2017年12月、国内大手航空会社がビジネスメール詐欺（BEC）の被害にあい、約3億8000万円が騙し取られる事件が発生しました。
のちの捜査により、攻撃者は実際の社内メールを盗み見て文面を真似し、上司になりすまして送金を指示したことが明らかになっています。ソーシャルエンジニアリングを駆使し、相手の信頼を逆手に取った巧妙な手口といえるでしょう。
事例2：米著名人のTwitterアカウント乗っ取り事件
2020年7月、アメリカの著名人（バイデン氏、ビル・ゲイツ氏など）のTwitterアカウントが一斉に乗っ取られるという事件が発生しました。アカウントからはビットコイン詐欺の投稿が行われ、11万ドル超の仮想通貨が騙し取られたと報告されています。
この事件の発端は、なんと攻撃者がTwitter社の社員に電話をかけ、内部システムにアクセスするためのパスワードを聞き出したというものでした。まさにソーシャルエンジニアリングによる内部侵入の典型例です。
ソーシャルエンジニアリング対策とは？
ソーシャルエンジニアリングは、どんなに高度なセキュリティ対策をしていても、“人の心理”を突かれることで簡単に突破される可能性があります。そのため、システムの強化だけでなく、人への教育・ルール作り・意識向上が非常に重要です。
ソーシャルエンジニアリングに関する著名な人物として知られるのが、元ハッカーのケビン・ミトニック氏です。彼はその著書『ハッカーズ』の中で、こうした攻撃に対抗するための基本的な対策を紹介しています。
ここでは、実際に有効とされる対策の例をいくつかご紹介します。
社内ルール・セキュリティポリシーの整備
セキュリティ意識を高める教育の実施
日常業務での“うっかり”を防ぐ工夫
このように、技術的なセキュリティ対策だけでは防げないのがソーシャルエンジニアリングの怖さです。だからこそ、従業員一人ひとりが「狙われる可能性がある」ことを意識し、日々の行動を見直していくことが重要です。
まとめ
ソーシャルエンジニアリングは、私たちの心理的な隙や行動のクセを突いて情報を奪う、非常に巧妙なサイバー攻撃です。ITに詳しくない人がターゲットになりやすく、企業や組織にとっても深刻なリスクとなり得ます。
特に、近年ではBECや標的型攻撃メールといった手口の進化と巧妙化が進んでおり、従来の対策だけでは対応しきれない場面も増えています。だからこそ重要なのは、「人はミスをするもの」という前提のもと、仕組み・教育・日常の意識づけの3つをバランスよく整えることです。
まずは自分のまわりで、「情報をうっかり漏らしてしまう可能性がある行動」を見直すことから始めてみましょう。それが、ソーシャルエンジニアリングから自分や組織を守る第一歩になります。
コメント