ソーシャルエンジニアリング（Social Engineering）

ソーシャルエンジニアリング（Social Engineering）とは、技術的な手段ではなく、人の心理や行動の隙を突いて情報を盗み出す手口のことです。パスワードを解読するのではなく、本人に話させる。侵入するのではなく、招き入れてもらう。狙われるのは仕組みではなく人です。

現実世界に例えると、ソーシャルエンジニアリングは鍵を壊さず、住人に開けさせる泥棒のようなものです。どれだけ頑丈な錠前を付けても、中の人が自分から扉を開けてしまえば意味がありません。

ソーシャルエンジニアリング図解

これらの手口は、人の自然な反応を利用します。困っている人を助けたいという親切心、上司や取引先には逆らいにくいという意識、急かされると確認を省いてしまう心理。どれも普段は美点や当たり前の判断であるところに、この手口の厄介さがあります。

通信を暗号化しても、侵入を検知する仕組みを入れても、本人が自分の意思で情報を渡してしまえば、それは正規の操作として通ってしまいます。どれだけ設備に投資しても、この経路だけは塞げないという点を、まず理解しておく必要があります。

有効なのは、個人の判断に頼らない決まりごとを用意しておくことです。電話で聞かれても答えず、こちらから登録済みの番号へかけ直す。金銭が絡む依頼は必ず別の手段で確認する。こうした型があれば、その場の空気に流されずに済みます。

見落とされがちなのがこの点です。「怪しいものを開いてしまった」と言い出せない職場では、発覚が遅れて被害が広がります。担当者を責めるのではなく、早く知らせてくれたことを評価する。この姿勢が、結果として組織を守ります。

近年、状況が変わりつつあります。不自然だった日本語のメールが自然になり、実在する人の声を模した音声で電話がかかってくる例も報告されています。「見れば分かる」という前提が崩れつつあることを、前提に置く必要があります。

多くの組織では、実際に模擬的な偽メールを送り、開いてしまった人に注意点を学んでもらう訓練が行われています。知識として知っているだけでは咄嗟に反応できないため、体験しておくことに意味があります。