ショルダーハック（ショルダーハッキング）とは？よくある手口や対策 

情報セキュリティ対策には「使っている端末の画面を盗み見られないようにする」などの物理的な対策も含まれます。

本記事では、使用者の背後などから端末の画面を盗み見る「ショルダーハック」の手口や、個人でできる対策についてまとめました。

ISMS認証取得にかかる時間を大幅削減！SecureNaviで簡単に認証取得
SecureNaviは、ISMS認証やPマークの取り組みを効率化できるクラウドサービスです。従来のようなExcelやWordによるアナログな運用を削減し、最低限のリソースで認証取得・運用が可能になります。
⇒「SecureNavi」のサービス紹介資料をダウンロードする

ショルダーハック（ショルダーハッキング）とは？

ショルダーハック（ショルダーハッキング）とは、情報通信技術を使わずに標的となる人物が持っている機密情報を盗むソーシャルエンジニアリングという行為の1つです。対象者が操作しているパソコンやスマートフォンといった端末の画面・キーボードを見て、ログインパスワードなどの機密情報を盗むことを意味します。

「肩越しに端末やキーボードを見て情報を盗む」ことから「ショルダーハック」という名前で呼ばれ、現在も被害が後を絶たず、情報漏えいの原因になることも少なくありません。言葉通り肩越しに覗くだけでなく、真横など別の角度から覗く行為もショルダーハックに含まれます。

ソーシャルエンジニアリングについては、こちらの記事で紹介しているのであわせてご覧ください。
ソーシャルエンジニアリングとは？主な手口や対策方法を紹介

ショルダーハックのよくある手口

ショルダーハックはどのような手口・状況下で行われることが多いのでしょうか。

ここでは、よくあるケースを3つ紹介します。

人が多い場所で盗み見る

カフェや通勤電車などは多くの人が出入りするため、悪意の持った人物としては対象者の操作する端末画面が見える位置に自然と回り込み、ショルダーハックを行いやすい環境といえます。

また画面は見えなくても、スマートフォンを操作・キーボードを叩く指の動きなどから、入力している情報を予想することもできなくはありません。

ショルダーハックを仕掛けようとしている人物は、このような人の多い環境を利用するケースがあります。

また満員電車のような人と人とが接触している場所でスマートフォンなどの端末を扱っていると、周囲の人としては画面がつい目に入ってしまいやすいでしょう。本人にその気がなくても偶然ショルダーハックを行ってしまう可能性もあります。人が多い場所は、意図的であってもなくてもショルダーハックが起こりやすい環境といえます。

従業員になりすまして企業に侵入して盗み見る

大きな本社を構える企業では、日々多くの従業員が出入りします。その一人ひとりを監視するのは難しいため、それを利用して従業員になりすまし企業に侵入、ショルダーハックを行って情報を盗み見るという手口もあります。

なりすますのは従業員だけとは限りません。例えば取引先の担当者や機材などを運び入れる業者などの外部関係者になりすます可能性もあります。

パソコンに貼られた付箋を盗み見る

よく使う Web サービスのログイン ID などを付箋にメモし、パソコンの画面に貼っていつでも見れる状態にしている人もいるのではないでしょうか。

この「いつでも見れる」のはあなただけではありません。周囲の人も見れる状態になってしまいます。端末の画面だけでなく、紙にメモした情報を盗み見るという方法もショルダーハックの手口としてよく使われます。

関連記事：情報セキュリティインシデントとは？主な種類や対策方法を解説

ショルダーハックの主な対策

ではショルダーハックの被害に遭わないためには、どのような対策を行えば良いのでしょうか。

ここからは、個人でできる主な対策の例を紹介します。

人が多い場所では重要な情報を扱わない

人が多い場所では、パソコンやスマートフォン、紙媒体含め重要な情報を見たり、機密情報を扱う作業は行わないようにするのがベターです。

もしどうしても人が多い場所で機密情報を扱わなければならない場合は、例えばカフェならば背後や横に壁のある席に座り、周囲の人からパソコンの画面や書面が見えないようにするなどの対策を行いましょう。

覗き見防止用のシートを端末の画面に貼る

パソコンやスマートフォンの画面の覗き見を防止するシートが市販されています。このようなシートを使えば、周りの人から画面を見られるリスクを下げることができるでしょう。

使用している端末によっては、画面覗き見防止の機能が備わっていることもあります。

離席する際は端末の画面をロックする

パソコンを使用中に席を離れる場合は、必ず画面をロックし、第三者に見られない状態にしましょう。

離席するのが短時間である場合も、社内である場合も必ずロックするようにしてください。短い時間で情報を盗まれることもあれば、社内の人に情報を悪用されたり、侵入した外部の人間に盗み見られたりする可能性も考えられます。

多要素認証を活用する

仮にログイン情報などを盗み見られたとしても、多要素認証を活用していれば第三者に不正ログインされてしまうリスクを下げることができます。

多要素認証とは、以下の情報のうち2つ以上を組み合わせて本人か識別する認証方法のことです。

• 知識情報（本人しか知り得ない情報）

• 所持情報（本人が所有している携帯端末や IC カードなどの情報）

• 生体情報（指紋や顔などで本人の身体的な情報）

関連記事：セキュリティ認証 (ISMS認証・Pマーク) 取得や運用の費用対効果をデータをもとに紹介

セキュリティ対策としてショルダーハックにも注意しよう

ショルダーハックの手口を聞いて「ずいぶん原始的な方法だ」と感じた方もいるかもしれません。しかし、このような気持ちの油断を利用してショルダーハックのようなソーシャルエンジニアリングは行われます。

「自分は大丈夫だ」「さすがにパソコンやスマートフォンの画面を盗み見られるような真似はしない」と思っていても、いつどこで誰が見ているか分かりません。場合によっては同じ会社の同僚がショルダーハックを仕掛け、情報を悪用する可能性もゼロではないのです。

情報通信技術を活用したセキュリティ対策だけでなく、その技術を扱う端末自体や情報通信技術だけでは保護するのが難しい紙媒体のセキュリティ対策も油断せず行いましょう。

その対策の1つとして、本記事の内容をお役立てください。

物理的な対策もISMSの重要な要素！組織のルール作りを「SecureNavi」で

今回ご紹介したショルダーハック対策（離席時の画面ロックや覗き見防止など）は、個人の心がけだけでなく、組織として徹底すべきセキュリティルール（ISMSやPマークの要件）でもあります。

しかし、全社員に対してこうしたルールを策定し、教育・運用していくには多大な工数がかかります。そこで役立つのが、クラウドサービス「SecureNavi」です。

• ルールの明確化： 物理的セキュリティを含む必要な規程をクラウド上で簡単に構築

• 運用の効率化： 従業員教育や周知、実施状況の管理もスムーズに

• 認証取得支援： ISMS認証やPマーク取得に必要な作業をワンストップでカバー

「個人の対策だけでなく、組織全体でセキュリティレベルを底上げしたい」とお考えの方は、ぜひ資料をご覧ください。