ソーシャルエンジニアリング

🐾 猫で例えると？

目を細める茶トラの顔は、思わず近寄りたくなる表情です。この「相手への親しさから、確認を省きたくなる」感覚を例えにします。ソーシャルエンジニアリングでは、親しさのほか、上司を装う権威や急がせる言葉なども悪用されます。依頼された内容を、別の確認手段で確かめることが対策になります。

💻 IT現場における「ソーシャルエンジニアリング」とは？

狙われるのは、人が信頼して情報を渡したり操作したりする場面です。注意力だけに頼らず、送金先変更の二者確認や、既知の電話番号への折り返しなど、だまされても被害に直結しにくい手順を作ります。

最も有名な例は「フィッシング詐欺」です。銀行やクレジットカード会社を装った本物そっくりの偽メールを送りつけ、ユーザー自身にIDやパスワードを入力させます。また、オフィスのゴミ箱から重要書類を漁る「スカベンジング（ゴミ箱漁り）」や、パスワードを入力する手元を後ろから盗み見る「ショルダーハック（のぞき見）」も、すべてソーシャルエンジニアリングの一種です。

⚠️ ソーシャルエンジニアリングの手口と検知ロジック

例えば「上司です。至急この口座へ振り込んで」と連絡し、確認する時間を与えない手口があります。名前や声が似ていても信用を確定せず、あらかじめ知っている別の連絡経路で依頼を確認します。

不審な依頼を確認する手順

自社サイトのJavaScriptで相手の偽サイトを止めることはできません。偽サイトでは自社の検証コードが実行される保証がないためです。文字列にブランド名が含まれるかだけの判定も、偽物の見逃しと誤判定を招きます。

# 振込先変更を依頼された場合の確認例
1. メールに書かれた番号へそのまま電話しない
2. 登録済みの連絡先へ折り返す
3. 変更内容を別の担当者も確認する
4. 不審なら処理を止め、定めた窓口へ報告する

確認を面倒な例外扱いにせず、急ぎの依頼にも適用できる通常の手順にします。報告した人を責めないことも、早期発見につながります。

🛠️ 「ソーシャルエンジニアリング」の被害を防ぐためのポイント

人間の隙を狙う攻撃から身を守るためには、システム的な対策と同時に、働く人たちの「意識のアップデート」が最大の防御壁となります。

• 「パスワードは絶対に教えない」を徹底する： たとえ社内のシステム管理者や上司を名乗る人物からの電話やメールであっても、口頭やチャットでパスワードや認証コードを伝えることは絶対に避けてください。公式な管理者がそれを尋ねることはありません。
• 認証方式の限界を知る： 多要素認証はリスクを減らしますが、認証コードを聞き出す手口や、身に覚えのない承認通知を押させる手口もあります。コードを他者へ渡さず、意図しない認証要求を承認しないようにします。
• 「不審なリンク」はURLの文字を必ず確認する： 「至急確認してください」といった恐怖や焦りを煽る連絡が来たときほど一呼吸置き、メール内のリンクを直接クリックせず、ブラウザのブックマークや公式アプリからログインする癖をつけましょう。

おねだりする茶トラにはつい応えたくなりますが、仕事の依頼では親しさや急かす言葉だけで相手を信用しないことが大切です。上司や管理者を名乗られても、パスワードや認証コードは渡さず、普段使う別の連絡経路で依頼を確かめましょう。