ソーシャルエンジニアリングとは、かんたんに言うと、人がつい信じてしまう気持ちや確認不足を利用して、大切な情報を手に入れる方法です。
コンピューターの弱点ではなく、人の行動や判断のくせを狙う点に特徴があります。パスワードを盗み見たり、関係者のふりをして情報を聞き出したりする行為が代表例です。
ソーシャルエンジニアリングは、コンピューターウイルスの名前ではありません。電話、メール、会話、紙の書類などが使われる場合もあります。
この記事では、ソーシャルエンジニアリングとは何か、主な攻撃の手口、具体例、被害を防ぐための対策を初心者向けに解説します。
関連するIT用語・ビジネス用語をまとめて確認したい方は、IT用語・ビジネス用語一覧もあわせてご覧ください。
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、人の気持ちや行動を利用して、パスワードや社内情報などを不正に手に入れる方法です。
情報セキュリティの分野で使われる言葉です。情報セキュリティとは、情報を盗まれたり、書きかえられたりしないように守ることです。
人がつい信じてしまう気持ちを利用する
人は、親切そうな人や会社の関係者を名乗る人を、すぐには疑わないことがあります。
ソーシャルエンジニアリングでは、このような気持ちを利用します。相手を信用させたうえで、大切な情報を聞き出そうとします。
コンピューターではなく人の行動を狙う
サイバー攻撃では、コンピューターやソフトの弱点が狙われることがあります。サイバー攻撃とは、インターネットやコンピューターを悪用する攻撃です。
一方、ソーシャルエンジニアリングでは、人の思い込みや確認不足が狙われます。特別なプログラムを使わず、電話や会話だけで行われる場合もあります。
ソーシャルエンジニアリングは職業名ではない
「エンジニアリング」という言葉から、技術者の仕事を表す言葉だと思う人もいるかもしれません。
ここでいうエンジニアリングは、職業名ではありません。人の行動をうまく動かす手法という意味で使われています。
身近な例で考えるソーシャルエンジニアリング
知らない人から「荷物を届けに来ました」と言われた場面を考えてみましょう。
相手の名前や用件を確認せずに建物へ入れると、関係者ではない人が中へ入ってしまう可能性があります。
IT用語としてのソーシャルエンジニアリングも、これと似ています。相手を信用させたり、急がせたりして、情報や入室の許可を得ようとします。
ソーシャルエンジニアリング攻撃とは
ソーシャルエンジニアリング攻撃とは、人をだましたり油断させたりして、情報を盗もうとする行為です。
パスワード、暗証番号、社員の名前、取引先の情報などが狙われることがあります。
関係者のふりをして情報を聞き出す
攻撃をする人は、会社の担当者、取引先、銀行員、修理業者などを名乗ることがあります。
もっともらしい理由を伝えて信用させ、パスワードや社内情報を聞き出そうとします。
相手を急がせて確認する時間を与えない
「今すぐ対応してください」「今日中に手続きが必要です」などと伝え、相手を急がせる手口があります。
人は急いでいると、相手の名前や連絡先を確認し忘れることがあります。そのため、急ぎの連絡ほど一度立ち止まることが大切です。
立場や肩書を利用する
上司、警察、銀行、役所などを名乗り、指示に従わせようとする場合があります。
相手の立場や肩書だけで判断してはいけません。公式サイトや契約書に書かれた連絡先へ確認しましょう。
ウイルスを使わない場合もある
ソーシャルエンジニアリングは、コンピューターウイルスを使う攻撃とは限りません。
電話、会話、盗み見、捨てられた書類などが利用される場合もあります。インターネットの外でも行われる点が特徴です。
ソーシャルエンジニアリングの主な手口と種類
ソーシャルエンジニアリングには、さまざまな手口があります。
ここでは、代表的な種類を身近な例とともに紹介します。
ショルダーハッキング｜画面や手元を盗み見る
ショルダーハッキングとは、パソコンの画面やキーボードを操作する手元を盗み見る行為です。
「ショルダー」は肩を意味します。肩越しにパスワードや暗証番号を見ることから、この名前が付いています。
電車、カフェ、学校、職場などでは、後ろや横にいる人から画面が見えることがあります。
トラッシング｜捨てられた物から情報を探す
トラッシングとは、捨てられた書類や機器から情報を探す行為です。
社員名簿、会議資料、電話番号、パスワードを書いたメモなどが、そのまま捨てられていると情報を読まれる場合があります。
古いUSBメモリーやパソコンも注意が必要です。USBメモリーとは、データを保存して持ち運べる小さな機器です。
なりすまし｜関係者のふりをする
なりすましとは、別の人や会社の関係者のふりをする行為です。
「システムの担当者です」「取引先の者です」などと名乗り、パスワードや社内情報を聞き出そうとします。
共連れ｜ほかの人について建物へ入る
情報セキュリティでいう共連れとは、建物へ入る許可を持つ人の後ろについて、許可を得ずに中へ入る行為です。
たとえば、社員が入室カードでドアを開けたときに、後ろから一緒に入る方法があります。
日常会話で使う「一緒に出かける」という意味の共連れとは異なります。
盗み聞き｜会話から情報を集める
職場、電車、飲食店などでの会話から、大切な情報を集める手口です。
会社名、担当者名、取引先、システムの名前など、何気ない会話がなりすましや偽の連絡に使われる場合があります。
フィッシング｜偽のメールやWebサイトへ誘導する
フィッシングとは、本物の会社やサービスのふりをして、偽のWebサイトへ誘導する手口です。
Webサイトとは、インターネット上で見るページの集まりです。偽の画面へ入力したIDやパスワードが、攻撃をする人に知られる場合があります。
IDとは、サービスを使う人を見分けるための名前や番号です。
リバースソーシャルエンジニアリング｜相手から相談させる
リバースソーシャルエンジニアリングとは、助ける側を装い、相手から連絡させる手口です。
たとえば、攻撃をする人が問題を起こしたあと、修理担当者のふりをして相談を受けます。その作業の中で、パスワードなどを聞き出そうとします。
ソーシャルエンジニアリングの具体例
ソーシャルエンジニアリングは、会社だけで行われるものではありません。
学校、自宅、電車、カフェなど、身近な場所でも行われる場合があります。
会社の担当者を名乗る電話がかかってくる
「システムの確認が必要です」と電話をかけ、社員番号やパスワードを聞き出そうとする例です。
会社名や担当者名を知っている場合もありますが、それだけで本物とは判断できません。
パソコンの画面やパスワードを盗み見られる
カフェや電車でパソコンを使っていると、後ろや横から画面を見られることがあります。
パスワードを入力する手元だけでなく、画面に表示された会社名や取引先の情報にも注意が必要です。
ゴミ箱から重要な書類を持ち出される
不要になった書類をそのまま捨てると、内容を読まれる場合があります。
書類の一部だけでも、社員名、電話番号、取引先などが分かることがあります。
社員の後ろについて建物へ入られる
荷物を持った人がドアの前にいると、親切心からドアを開けることがあります。
しかし、その人が本当に関係者とは限りません。来客には受付など、決められた手続きを案内することが大切です。
SNSの情報から本人になりすまされる
SNSとは、XやInstagramなど、人と交流したり情報を発信したりするサービスです。
SNSには、名前、誕生日、学校、勤務先、家族の情報などが書かれていることがあります。
公開された情報を組み合わせると、本人や知人のふりをするための材料になる場合があります。
上司を名乗る偽の送金依頼が届く
上司や取引先のふりをして、「急いでお金を振り込んでください」と連絡する手口があります。
メールに表示された名前だけで判断せず、電話など別の方法で本人へ確認することが大切です。
ソーシャルエンジニアリングが起こる理由
ソーシャルエンジニアリングでは、人が持つ自然な気持ちや判断のくせが利用されます。
どのような点が狙われるのかを知ると、落ち着いて対応しやすくなります。
相手を疑いにくいため
人は、親切そうな人や礼儀正しい人を、すぐには疑わないことがあります。
攻撃をする人は、このような相手を信じる気持ちを利用します。
急がされると確認を忘れやすいため
「今日中に必要です」「すぐに確認してください」と言われると、確認を省いてしまうことがあります。
急ぎの連絡を受けたときは、その場で答えず、いったん連絡を終えて確認しましょう。
知っている情報を示されると信じやすいため
自分の名前や勤務先、家族の名前を相手が知っていると、本物の関係者だと思うことがあります。
しかし、その情報がSNSなどから集められている場合もあります。
困っている人を助けたいと思うため
荷物を持った人のためにドアを開けるなど、親切な行動が利用される場合があります。
相手を助ける場合でも、受付や担当者へ確認することが大切です。
ソーシャルエンジニアリングによる主な被害
ソーシャルエンジニアリングによる被害は、情報を知られることだけではありません。
知られた情報を使い、別の攻撃が行われる場合もあります。
パスワードや暗証番号を知られる
盗み見や偽の連絡により、パスワードや暗証番号を知られることがあります。
同じパスワードを複数のサービスで使っていると、ほかのサービスにも同じ情報が使われる場合があります。
会社の内部情報が外へ伝わる
社員の連絡先、取引先の情報、開発中の商品などが外部へ伝わる場合があります。
一つでは重要に見えない情報でも、ほかの情報と組み合わせて使われることがあります。
関係者以外の人が建物へ入る
共連れやなりすましにより、許可を持たない人が建物や部屋へ入る場合があります。
入室後に、書類やパソコンの画面を見られることも考えられます。
偽の送金依頼に応じてしまう
上司や取引先になりすましたメールにより、お金を送ってしまう場合があります。
いつもと違う送金依頼が届いたときは、別の連絡方法で本人へ確認しましょう。
ソーシャルエンジニアリングへの対策
ソーシャルエンジニアリングへの対策では、特別な機械を導入するだけでは十分ではありません。
一人ひとりが確認の手順を守ることが大切です。
電話やメールの相手を確認する
相手が会社名や自分の名前を知っていても、すぐに信用しないようにします。
一度電話を切り、公式サイトや契約書に書かれた電話番号へかけ直す方法が有効です。
パスワードや暗証番号を人に伝えない
銀行や会社の担当者を名乗る人から聞かれても、パスワードや暗証番号は伝えないようにします。
パスワードを付箋に書き、パソコンや机へ貼ることも避けましょう。
画面や手元を周囲から見えにくくする
外出先でパソコンやスマートフォンを使うときは、後ろや横に人がいないか確認します。
大切な情報を扱う作業は、人の多い場所では行わない方法もあります。
重要な書類をそのまま捨てない
個人情報や会社の情報が書かれた書類は、細かく裁断して処分します。
USBメモリーや古いパソコンも、保存された情報を復元できないように消してから処分することが大切です。
知らない人を建物へ入れない
入室カードを持っていない人が後ろにいても、一緒に入れないようにします。
来客には、受付など決められた手続きを案内しましょう。
メールのリンクをすぐに開かない
急な支払い、パスワードの確認、荷物の再配達などを求めるメールには注意が必要です。
メールにあるリンクではなく、会社やサービスの運営元が提供する公式アプリや公式サイトから確認しましょう。
複数の方法で本人確認を行う
パスワードだけでなく、スマートフォンに届く確認番号などを組み合わせる方法があります。
このように、複数の方法で本人かどうかを確認する仕組みを、多要素認証といいます。
困ったときの相談先を決めておく
会社や学校では、不審な電話やメールを受けたときの相談先を決めておきます。
自分だけで判断せず、担当者へ確認できる決まりがあると落ち着いて対応できます。
個人でできるソーシャルエンジニアリング対策
ソーシャルエンジニアリングは、会社だけを狙うものではありません。
個人でも、日ごろの行動を少し見直すことで対策できます。
SNSに個人情報を書きすぎない
誕生日、住所、電話番号、勤務先などを公開しすぎないようにします。
投稿を見ることができる人の範囲も、定期的に確認しましょう。
急がされても一度立ち止まる
「すぐに支払ってください」と言われても、その場で判断する必要はありません。
家族や会社の担当者へ相談し、落ち着いて確認しましょう。
同じパスワードを使い回さない
同じパスワードを複数のサービスで使うと、一つのパスワードが知られたときに、ほかのサービスでも使われる場合があります。
サービスごとに異なるパスワードを設定しましょう。
公式の連絡先から確認する
電話やメールの内容が気になるときは、相手が伝えた連絡先をそのまま使わないようにします。
公式サイト、契約書、カードの裏面などに書かれた連絡先から確認しましょう。
ソーシャルエンジニアリングと似た言葉の違い
ソーシャルエンジニアリングには、似た場面で使われる言葉があります。
違いを知ると、それぞれの攻撃の特徴を理解しやすくなります。
ソーシャルエンジニアリングとフィッシングの違い
ソーシャルエンジニアリングは、人の気持ちや行動を利用する手口全体を表す言葉です。
フィッシングは、その中でも偽のメールやWebサイトを使って情報を入力させる手口です。
ソーシャルエンジニアリングが大きな分類で、フィッシングはその中の一つと考えると分かりやすいでしょう。
ソーシャルエンジニアリングとマルウェアの違い
マルウェアとは、パソコンやスマートフォンに悪い動きをさせる不正なプログラムの総称です。
ソーシャルエンジニアリングは人の行動を狙います。マルウェアは機器の中で不正な動きをする点が主な違いです。
ただし、人をだましてマルウェアが入ったファイルを開かせるなど、二つが組み合わされる場合もあります。
ソーシャルエンジニアリングと不正アクセスの違い
不正アクセスとは、許可を得ずに他人のサービスやコンピューターへ入る行為です。
ソーシャルエンジニアリングでパスワードを手に入れ、その情報を使って不正アクセスが行われる場合があります。
ソーシャルエンジニアリングで初心者が間違えやすい点
コンピューターだけを狙う攻撃ではない
ソーシャルエンジニアリングは、コンピューターの中だけで行われる攻撃ではありません。
電話、会話、紙の書類、建物への入室なども利用されます。
インターネットを使わない手口も含まれる
画面の盗み見や、捨てられた書類からの情報収集では、インターネットを使わない場合があります。
インターネットへ接続していない場面でも、情報の扱いには注意が必要です。
ソーシャルエンジニアリングはウイルスではない
ソーシャルエンジニアリングは、特定のコンピューターウイルスを表す言葉ではありません。
人を信用させたり、急がせたりして行動させる手法を表します。
フィッシングと同じ意味ではない
フィッシングは、ソーシャルエンジニアリングに含まれる手口の一つです。
盗み見、なりすまし、共連れなど、フィッシング以外にも多くの手口があります。
被害に遭う人だけが悪いわけではない
ソーシャルエンジニアリングでは、親切心や人を信じる気持ちが利用されます。
個人だけに責任を求めるのではなく、確認の手順や相談しやすい仕組みを整えることが大切です。
ソーシャルエンジニアリングに関するよくある質問
ソーシャルエンジニアリングに該当する行為は何ですか？
パスワードの盗み見、なりすまし、共連れ、盗み聞き、捨てられた書類からの情報収集などが該当します。
人がつい信じてしまう気持ちや行動を利用して、情報を得ようとする点が共通しています。
フィッシングはソーシャルエンジニアリングに含まれますか？
フィッシングは、ソーシャルエンジニアリングの代表的な手口の一つです。
本物に見えるメールやWebサイトを使い、利用者を信用させて情報を入力させます。
ソーシャルエンジニアリングはウイルス攻撃ですか？
ソーシャルエンジニアリングは、ウイルスそのものではありません。
ただし、人をだましてウイルスが入ったファイルを開かせるなど、ウイルスを使う攻撃に利用される場合があります。
ソーシャルエンジニアリングは個人も狙われますか？
会社だけでなく、個人が狙われる場合もあります。
SNS、電話、メール、偽のWebサイトなどを通じて、個人情報やパスワードを聞き出そうとする手口があります。
電話でパスワードを聞かれたらどうすればよいですか？
その場では答えず、一度電話を切りましょう。
公式サイトや契約書などに書かれた電話番号から、会社やサービスへ確認してください。
ソーシャルエンジニアリングを防ぐ方法はありますか？
相手の本人確認を行い、急な連絡にはその場で答えないことが基本です。
パスワードを人に見せない、重要な書類をそのまま捨てないなど、日ごろの行動も対策になります。
まとめ｜ソーシャルエンジニアリングとは人の気持ちや行動を利用する手口
ソーシャルエンジニアリングとは、人がつい信じてしまう気持ちや確認不足を利用して、大切な情報を手に入れる方法です。
主な手口には、ショルダーハッキング、トラッシング、なりすまし、共連れ、フィッシングなどがあります。電話や会話など、インターネットを使わない方法も含まれます。
対策の基本は、相手をすぐに信用せず、一度立ち止まって確認することです。パスワードや書類を適切に管理し、不審な連絡を受けたときは公式の連絡先から確認しましょう。