ソーシャルエンジニアリングとは？主な手口や対策方法を紹介

情報セキュリティ対策において重要なのは、使っている Webサービスやツールなどのシステム上の対策だけではありません。通信技術を使わずに機密情報を盗む「ソーシャルエンジニアリング」の対策も必要です。

ソーシャルエンジニアリングは人の心理的な隙をついて行われることが多く、ちょっとした油断が原因で情報漏えいなどの大きな事故を引き起こしかねません。

本記事では、ソーシャルエンジニアリングとは何か、主な手口や対策の例を紹介します。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス紹介資料をダウンロードする

ソーシャル・エンジニアリングとは？

ソーシャルエンジニアリングとは、インターネットなどの情報通信技術を使わずに、機密情報を盗み取ることです。

ソーシャルエンジニアリングの多くは、人の心の隙やミスにつけ込む手口で行われます。

ターゲットになるのは個人だけとは限りません。企業などの組織を攻撃するためにソーシャルエンジニアリングを行う者もいます。

ソーシャルエンジニアリングの主な手口

ソーシャルエンジニアリングはどのような手口で行われるのか、具体例を4つ紹介します。

• 電話で機密情報を聞き出す

• 端末の画面やキー入力を盗み見る（ショルダーハッキング）

• ゴミ箱を漁って機密情報を探し出す（トラッシング）

• 郵便物を盗む（メールハント）

電話で機密情報を聞き出す

電話で社内の関係者や、ある特定の人物などになりすまして機密情報を聞き出すという方法です。

古くからある手口で一般的にも広く知られていますが、いまだに騙されてしまう人も少なくありません。相手の顔が見えず、声だけで判断しなければならないため、普段会話を交わさない相手からの電話だと、騙されやすいでしょう。

企業に対して行われる具体的な手口としては、例えば自社サービスのユーザーになりすまし、サービスの管理者宛に電話をかけてログイン情報などを聞き出すといった方法が挙げられます。

また「御社の〇〇さんが事故に遭ったので、本人確認のため今すぐ住所とご家族の連絡先を教えてほしい」というような緊急性がある話し方で、情報を騙し取ろうとする手口も横行しています。

電話だけでなくメールでも関係者や特定人物になりすまして、情報を盗もうとする事例もあります。特にメールは文面でのやり取りのため相手の顔が見えないだけでなく、相手の声すらも分からないため、本人確認が難しい傾向があります。さらにメールアドレスを誤認しやすい文字列（数字の1が大文字の I になっているなど）にするような巧妙な手口も増えてきており、よく注意しないと騙されてしまいかねません。

端末の画面やキー入力を盗み見る（ショルダーハッキング）

パソコンやスマートフォンなどでログイン情報を入力している人の背後から近づき、端末の画面やキー入力を盗み見る方法もあります。肩越しに情報を盗み見ることから「ショルダーハッキング」と呼ばれる手口です。

カフェや図書館など周囲に人が多い環境でパソコンなどを使うときは、特に注意が必要です。

また自社のオフィス内でも油断はできません。自社の関係者を装って外部の人間がオフィスに入り込むことや、同じ社内の人間が不正を働く可能性も考えられます。「社内ならば安全だろう」という心理的な隙をついてショルダーハッキングが行われるケースもあるのです。

ゴミ箱を漁って機密情報を探し出す（トラッシング・スキャベンジング）

ゴミ箱の中やゴミ集積所に出されたゴミ袋の中を漁って、捨てられた書類や記憶媒体からパスワードなどの機密情報を盗む方法もあります。「トラッシング（スキャベンジング）」と呼ばれる方法です。

攻撃者は盗んだ情報を使って企業のネットワークに不正アクセスを仕掛けたり、標的型攻撃を行ったりします。

標的型攻撃については、こちらの記事で詳しく解説しています。
標的型攻撃とは？主な手口や予防・対策方法を紹介

郵便物を盗む（メールハント）

郵便受けに入っている郵便物を盗む「メールハント」と呼ばれる手口も見られます。

郵便物を盗む目的には、Web サービスなどの請求書などに記載されたログイン情報を盗み見ることや、書類に記載されたカスタマーサポートに連絡してパスワードを勝手に変更したりすることなどが挙げられます。

ソーシャル・エンジニアリングの主な対策

ここまでに紹介したソーシャルエンジニアリングの4つの手口による被害を減らすための主な対策を紹介します。

• 電話はかけ直して本人確認をする

• 紙媒体はシュレッダーにかけてから捨てる

• 記憶媒体を捨てる場合は内部データを空にする（物理的に破壊する）

• ポストが映るように監視カメラを設置する（無人のポストに入れない）

電話はかけ直して本人確認をする

電話口で相手が自社の関係者を名乗ったり、個人情報の本人だと言い張っても、なりすましの可能性があります。

社内ネットワークへのログイン情報や社員・顧客の個人情報などを聞かれてもその場では教えず、別の方法で折り返し連絡しつつ本人確認をしましょう。

紙媒体はシュレッダーにかけてから捨てる

紙媒体を捨てる際は、必ずシュレッダーにかけてから捨てるよう徹底することがトラッシング対策になります。仮にトラッシングされても、シュレッダーで細切れになった紙媒体から情報が盗み取られる可能性は低いでしょう。

書かれている情報の重要性に関わらず、紙媒体はシュレッダーにかけて捨ててください。攻撃者は「シュレッダーにかけられている資料には重要な内容が書かれている」と認識している場合が多く、必死になって裁断された資料をつなぎ合わせようとする傾向があります。だからこそ重要ではない書類も一緒にシュレッダーにかけることで、重要な書類を復元しにくくすることが可能です。

記憶媒体を捨てる場合は内部データを空にする（物理的に破壊する）

USB メモリなどの記憶媒体を捨てる際は、データを「完全削除」するソフトウェアを使うなどして空にしてから捨てましょう。これもトラッシングの対策です。捨てた記憶媒体を盗まれて中身を見られたとしても、データがなければ情報を読み取られることはありません。

もしデータが残っているか心配な場合は、記憶媒体そのものを破損させて（物理的に破壊して）捨てるという方法も効果的です。例えば USB ならばハンマーを使って砕いてから捨てます。こうすれば記憶媒体は使用不可能となり、中にデータが残っていたとしても、盗まれる可能性は極めて低くなるでしょう。記憶媒体を破損させる機器や、専門業者もいるので、活用するのもおすすめです。

ポストが映るように監視カメラを設置する（無人のポストに入れない）

郵便物を盗むメールハント対策の1つに、集合ポスト（郵便受け）が映るように監視カメラを設置するという方法があります。

自社が入っているビルの管理会社が監視カメラを設置していることもありますが、もし自社ビルで特に対策をしていない場合、監視カメラを設置するのがおすすめです。

郵便受けの中身を盗もうとする人としては、監視カメラがあると気になってしまい、盗みにくくなるでしょう。直接的にメールハントを防ぐことにはつながらないかもしれませんが、抑止力として監視カメラは効果的です。

また、重要な郵便物についてはセキュアなメールサービスを利用して、無人のポストに入れないようにすることも対策になります。

システム上のセキュリティ対策だけでなく物理的な対策も重要

「情報セキュリティ対策」というと、社内で使用している Web サービスやツールなどのセキュリティ対策を思い浮かべる方が多いかもしれません。

しかし、だからこそソーシャルエンジニアリングのような情報通信技術を使わない手口でデータを盗もうとする者もいます。

本記事で紹介した以下の対策も参考にしてみてください。

• 電話はかけ直して本人確認をする

• 紙媒体はシュレッダーにかけてから捨てる

• 記憶媒体を捨てる場合は内部データを空にするか物理的に破壊する

• ポストが映るように監視カメラを設置する（無人のポストに入れない）