ソーシャルエンジニアリング

解説

ソーシャルエンジニアリングは、コンピューターへの技術的な攻撃ではなく、人の心理や行動の隙を突いて、情報を盗み出したり、不正な操作をさせたりする手口です。日本ネットワークセキュリティ協会（JNSA）は、主な手口として、なりすまし、のぞき見、トラッシング（ごみ箱あさり）、構内侵入などを挙げています。攻撃者は、複数の手口を組み合わせ、気づきにくいところから情報を集めます。電話やチャットで外部からの問い合わせを受けるサポート窓口にも、なりすましによる問い合わせが寄せられる可能性があります。

種類

サポート窓口に関係する主な手口は、次のとおりです。

• 本人を装う電話：契約者本人や家族を名乗り、登録情報の開示、パスワードの再設定、連絡先の変更などを依頼します。
• 社員や管理者を装う電話：社員を名乗って「パスワードを忘れた」と申告したり、システム管理者を名乗ってIDとパスワードの確認を求めたりします。
• 役員や上位者を装う依頼：役員などを名乗り、高圧的な態度で相手を急がせて情報を引き出します。
• ボイスフィッシング：銀行などをかたる自動音声の電話から連絡先を聞き出し、偽サイトへ誘導してIDとパスワードを盗み取ります。警察庁は、「サイバー警察局便り」（2026年6月）で、ボイスフィッシングの手口と、銀行からの電話には営業店や代表電話へ折り返して確認する対策を紹介しています。

実務での使われ方

サポート窓口での対策の中心は、担当者が相手の話し方や態度で判断せず、決めた手順どおりに本人確認をすることです。たとえば、次のような取り決めを文書にします。

• 登録情報と照合できない相手には、登録情報を開示しない
• パスワードの再設定や連絡先の変更は、登録済みの連絡先への折り返しや、マイページでの認証を経て受け付ける
• 社内の部署や取引先を名乗る電話も、代表番号など登録済みの番号へ折り返して確認する
• 「至急」「上の者の指示」などと急がされても、手順を省かない
• 不審な問い合わせは、日時と内容を記録し、セキュリティの担当部署へ報告する

JNSAも、電話への対策として、折り返しの連絡で本人確認をしてから質問に答えることや、IDとパスワードの再発行を担当部署での手続きに限るルールを挙げています。

注意点

ソーシャルエンジニアリングは、ファイアウォールなどの技術的な対策だけでは防げません。攻撃の対象が、システムではなく窓口の担当者の判断だからです。本人確認は、相手が本人か正当な代理人かを確かめる手続きで、ソーシャルエンジニアリングへの対策の中心になります。したがって、本人確認の基準をセキュリティポリシーや業務手順書に定め、研修で担当者に周知します。さらに、手順に沿って要求を断った担当者が評価で不利にならない運用にしておくと、担当者が手順を守りやすくなります。