狙われるのは機械ではなく「人の判断」

情報を守る仕組みが正しく動いていても、利用者が自分で秘密を伝えたり、危険な操作を許可したりすれば、防御を回避されることがあります。ソーシャルエンジニアリングが狙うのは、このような人の判断です。プログラムの欠陥を探して侵入する方法とは異なり、会話、表示、周囲の状況などを利用して、相手に望んだ行動を取らせます。

例えば、正規の担当者を装った相手から「確認のため、今届いた認証コードを教えてください」と求められた場面を考えます。通信が暗号化されていても、受け取った本人がコードを渡せば、その内容は攻撃者に伝わります。暗号が破られたのではなく、情報を扱う手順が悪用されたのです。技術面だけでなく、人が判断する場面まで含めて守らなければ、情報セキュリティの3要素である機密性・完全性・可用性を維持できません。

信用・焦り・権威が判断を早めてしまう

だます側は、相手が詳しく考える前に行動するよう仕向けます。「至急」「今日中」と急がせる、上司や公的機関など権威のある相手を装う、困っているように見せて親切心に訴える、といった働きかけです。知っている組織名、実在するサービスの画面、もっともらしい用件が組み合わされると、内容を信用しやすくなります。

しかし、送り主の表示名や電話で名乗った名前は、本人である証明にはなりません。また、「あなたの情報をすでに知っている」という事実だけでも信用はできません。氏名や連絡先など、別の経路から得られた情報を会話に混ぜることで、正当な連絡に見せることができるからです。個人情報の公開範囲を意識することは大切ですが、情報を公開していない人も、突然の要求を確かめる習慣が必要です。

フィッシングだけではない情報の盗み方

偽のメールやメッセージから偽サイトへ誘導し、IDやパスワードを入力させるフィッシングは代表的な手口です。ただし、ソーシャルエンジニアリングはオンライン上だけで起きるものではありません。

  • なりすまし：担当者、取引先、知人などを装い、電話や対面、メッセージで秘密情報や操作を求めます。
  • ショルダーハッキング：画面、キーボード、暗証番号の入力などを背後や近くからのぞき見ます。
  • トラッシング：捨てられた書類や記録媒体から、個人情報や侵入の手掛かりを探します。
  • 不正な誘導：興味を引くファイルや記録媒体を開かせるなど、利用者自身に危険な操作をさせます。

手口に共通するのは、情報を直接聞き出す場合だけでなく、「リンクを開く」「アプリを入れる」「送金する」「端末を操作する」といった行動も狙う点です。盗まれた認証情報を使って他人の識別符号でシステムへアクセスする行為は、不正アクセス禁止法と関わります。だまされた段階と、その情報が悪用される段階を分けて考えることが重要です。

「いつもの連絡先で確かめる」が誘導を断つ

不審な要求を受けたときは、その場で応じず、いったんやり取りを止めます。そして、メッセージに書かれた番号やリンクではなく、公式サイト、契約書、連絡先一覧などから自分で確認した窓口へ連絡します。別の経路で本人確認を行えば、攻撃者が用意した会話や偽サイトの中だけで判断する状態から抜け出せます。

パスワード、暗証番号、認証コード、秘密の質問への答えは、相手が誰を名乗っていても安易に伝えません。画面共有や遠隔操作を求められた場合も同様です。URLは表示の一部だけで決めず、接続先を確認します。判断に迷ったら、操作を急がず、家族、組織の相談窓口、サービスの公式窓口などに相談します。被害が疑われるときは、パスワードの変更、利用中のサービスへの連絡、端末や取引履歴の確認などを速やかに行います。

多要素認証も「コードを渡さない」ことが前提

多要素認証は、知識、所持、生体情報など異なる種類の要素を組み合わせ、パスワードだけが漏れた場合の危険を減らします。一方で、確認画面をよく読まずに承認したり、一時的な認証コードを他人へ伝えたりすれば、追加の認証まで突破されるおそれがあります。

そこで、技術的な対策と運用上の対策を組み合わせます。多要素認証を有効にする、不要な権限を与えない、書類や記録媒体を適切に処分する、重要な依頼には複数人で確認する、といった方法です。連絡を受ける人だけに注意を求めるのではなく、秘密情報を電話で尋ねないなど、正規の側もだまされにくい手続きを整える必要があります。

「ソーシャル」はSNSだけを指す言葉ではない

名称に「ソーシャル」とあるため、SNSだけで行われる攻撃だと誤解されることがあります。ここでの「ソーシャル」は、人間関係や社会的なやり取りを利用するという意味です。電話、対面、郵便、電子メール、偽サイト、捨てられた書類など、使われる媒体は限定されません。

この語は、社会的なやり取りに働きかけ、情報の提供や操作を引き出す手法全体を指します。そのため、特定の機器やサービスだけを対策しても十分ではありません。媒体が変わっても、「急がせていないか」「秘密や不自然な操作を求めていないか」「別の経路で確認できるか」という観点は共通して使えます。