ソーシャルエンジニアリングとは？攻撃の5つの手口や対策方法
ソーシャルエンジニアリングは、マルウェア対策やファイアウォールでは防ぎきれない、人の心理と行動の隙を狙った手口の総称です。特別な技術を必要とせず、日常の業務手順の中で成立してしまうため、だまされた本人が被害に気づきにくい点も見過ごせません。
近年は標的型攻撃やビジネスメール詐欺の入り口としても使われ、企業にとっては情報漏えいや金銭被害に直結する脅威になりました。この記事では、ソーシャルエンジニアリングの基本を整理した上で、企業で被害が起きやすい5つの手口と、人・物理・ルール・技術の4つの視点から取り組む対策方法を解説します。
目次
ソーシャルエンジニアリングとは？
ソーシャルエンジニアリングとは、マルウェアなどの技術を使わず、人をだましたり心の隙を突いたりして情報を得る行為の総称です。この攻撃が防ぎにくい理由は、被害者に攻撃が見えないところにあります。だまされた本人は正規の依頼に応じたつもりでいるため、実害が表面化するまで気づけません。
ソーシャルエンジニアリングは、大きな攻撃の入り口として組み込まれる形で使われます。取引先を装ったメールで添付ファイルを開かせる標的型攻撃や、経営層になりすまして送金させるビジネスメール詐欺が代表的な例です。
ソーシャルエンジニアリングによる攻撃の手口
ソーシャルエンジニアリングには、人へ直接接触する手口と、電話やメールを使って遠隔から仕掛ける手口があります。どちらも特別な技術を必要とせず、通常の業務手順の中で成立してしまう点が共通の特徴です。
企業で被害が起きやすい手口について、代表的なものを5つ紹介します。
関係者になりすます
なりすましは、社員や取引先、システム管理者を装って連絡し、IDやパスワードを聞き出す手口です。電話を使う方法はビッシングとも呼ばれます。
典型的な例は、システム管理者を名乗り「メンテナンスのためアカウント情報を確認したい」と連絡する方法です。中途入社の社員を装い「初日でIDが分からない」と助けを求める例もあります。肩書きを名乗られただけで信用する心理を突いた手口です。
役員になりすまして高圧的に急かし、本人確認の手間を省かせる手口もあります。手段は電話に限らず、送信元を偽装したメールも使われます。
画面を背後から盗み見る
ショルダーハッキングは、パソコンやスマートフォンの操作を背後から見て、パスワードや業務情報を読み取る手口です。カフェや新幹線など、席が近い場所ほど成立しやすくなります。
盗み見の対象は、入力中のパスワードだけではありません。ディスプレイに貼られた付箋や、FAXに置き去りにされた印刷物も情報源になります。この手法はシステム上の痕跡が残らないため、盗み見たIDで後日ログインされても正規の利用と区別がつかず、発覚が遅れます。
捨てられたごみから情報を集める
トラッシングは、廃棄された書類や記憶媒体から情報を探し出す手口で、スカベンジングとも呼ばれます。深夜のごみ集積所を探る、回収業者を装って持ち去るなど、侵入と組み合わせた例も少なくありません。
攻撃者はごみ箱の紙資料から、サーバやルータの設定情報、ネットワーク構成図、ユーザ名やパスワードを探し出します。データを削除したりフォーマットしたりしただけのパソコンも、特殊なソフトウェアでファイルを復元されかねません。
名刺や座席表のように価値が低く見える資料も、部署名や担当者名が読み取れれば、なりすましの精度を上げる材料になります。
建物に侵入して情報を盗む
構内侵入は、部外者がオフィスに入り込み、その場で情報を集める手口です。代表的な例が、認証扉の前で社員の後ろに続いて通過する共連れです。カードリーダーで認証が必要なオフィスも、扉が開いている間に一緒に入られてしまう可能性があるので絶対に安全とは言えません。
清掃員や回収業者、宅配業者になりすます方法も典型的です。制服姿の相手は呼び止めにくく、別の用件で訪問したついでに関係のない部署へ立ち入るケースもあります。
侵入後の行動は、机上の資料の撮影、ごみ箱の物色、ロックし忘れた端末の操作などさまざまです。来訪の記録が残らないため、漏えいの事実そのものに気づけないケースもあります。
偽サイトや偽のサポート窓口に誘い込む
フィッシングは、実在する企業をかたるメールやSMSで偽サイトへ誘導し、IDやパスワードを入力させる手口です。また、偽の警告画面を使うサポート詐欺という手法もあります。悪意のあるWebサイトで偽の警告画面を表示し、偽のサポートセンターへ電話をさせて金品をだまし取る詐欺のことです。
偽の警告画面は感染の有無に関係なく表示されるだけなので、画面を閉じれば解消します。警告音や次々に開くウィンドウで不安をあおるようになっていますが、表示された番号へ連絡せず、ブラウザを終了させる対応が基本です。
ソーシャルエンジニアリングへの対策方法
ソーシャルエンジニアリングへの対策は、人・物理・ルール・技術の4つの層を組み合わせて考えます。1つの層だけを強化しても、手薄なところから突破されるためです。企業で優先度が高い対策として、代表的なものを4つ解説します。
従業員の情報リテラシーを高める
手口を知る機会を全従業員へ定期的に設けることが、効果の高い対策です。攻撃は、担当者が手口を知らないまま判断したときに成立します。
従業員に情報セキュリティポリシーを守ってもらう方法として、同意書へのサインや違反時の規定といった意識づけと、定期的なセキュリティ教育の組み合わせが挙げられます。教育は座学で終わらせず、標的型メールの訓練や、電話でID照会を受けた際の対応手順の確認まで含めましょう。ID・パスワードの再発行は本人が担当部署へ出向く、といったルールも周知しておくと、なりすましを防げます。
入退室管理を徹底する
入退室管理は、共連れや構内侵入を成立させないための対策です。施錠管理、入退室履歴の記録、身分証の携帯などを基本的なルールとして定めましょう。
共連れを防ぐには、1人ずつ認証しなければ通れないゲートや、入室記録のない社員の退室を認めない設定が有効です。出入りが多い時間帯は、不審者がいないかの目視確認も併せます。
室内では、離席時の画面ロックと机上の書類の片づけを習慣にしましょう。スクリーンセーバー復帰時のパスワード入力や離席時のログアウトを徹底することも大切です。
データや情報端末の持ち出しルールを定める
データや端末の持ち出しは、ルールで範囲を絞ることが前提です。もし持ち出しを認める場合は、持ち運ぶ必要のない機密情報を保存しない、ファイルを暗号化する、持ち主の分からないUSBメモリは使わない、といった条件を定めます。
廃棄時のルールも同時に必要です。紙の資料はシュレッダーや溶解処理にかけ、記憶媒体は消去ソフトや破壊で読み出せない状態にしましょう。
多要素認証やセキュリティ製品で技術的に守る
多要素認証は、パスワードを聞き出された後の不正ログインを防ぐ仕組みです。知識情報・所持情報・生体情報という3要素のうち2つ以上を組み合わせる方式であり、パスワードだけでなく手元の端末に届くコードや指紋がなければログインできません。
あわせて、なりすましメールを遮断する送信ドメイン認証や、偽サイトへの接続を止めるWebフィルタリングも導入しましょう。 まとめ
ソーシャルエンジニアリングは、技術的な防御をすり抜けて人を直接狙う手口です。関係者へのなりすまし、ショルダーハッキング、トラッシング、構内侵入、フィッシングやサポート詐欺と、接触の仕方はさまざまですが、いずれも通常の業務手順の中に紛れ込む点は共通しています。
対策も1つの方法では足りません。従業員教育で手口を知る機会をつくり、入退室管理で物理的な侵入を防ぎ、データや端末の持ち出しと廃棄をルールで縛り、多要素認証や送信ドメイン認証で技術的に補う、という4つの層を重ねる必要があります。
まずは自社の運用を振り返り、離席時の画面ロックや書類の廃棄方法、身に覚えのない依頼を受けたときの確認手順が定着しているかを点検するところから始めましょう。
ISOプロでは月額4万円から御社に合わせたISO運用を実施中
ISOプロではISO各種の認証取得から運用まで幅広くサポートしております。
また、マニュアル作成など御社に合わせたムダのない運用を心がけており、既に認証を取得しているお客様においてもご提案しております。
サポート料金においても新プランを用意し、業界最安級の月額4万円からご利用いただけます。
こんな方に読んでほしい