ソーシャルエンジニアリングとは？手口・被害例・対策をわかりやすく解説

「取引先を装ったメールに騙されて、社内システムのログイン情報を教えてしまった」「電話で社長の名前を出されて、つい振込先を変更してしまった」――技術的な脆弱性ではなく、人間の心理や行動の隙を突く攻撃。それがソーシャルエンジニアリングです。

IPAが毎年公表する「情報セキュリティ10大脅威」でも、ソーシャルエンジニアリングの手口であるビジネスメール詐欺（BEC）やフィッシングは常に上位にランクインしています。ファイアウォールやウイルス対策ソフトをどれだけ強化しても、人が騙されてしまえばセキュリティは破られます。

この記事では、ソーシャルエンジニアリングの代表的な手口・実際の被害パターン・組織として取るべき対策について、中小企業の情シス担当でも実践できるレベルで解説します。

ソーシャルエンジニアリングとは？なぜ最大の脅威なのか

ソーシャルエンジニアリング（Social Engineering）とは、技術的な手段ではなく、人間の心理的な弱点を利用して機密情報やアクセス権限を不正に取得する攻撃手法の総称です。「社会工学」と訳されることもあります。

ソーシャルエンジニアリングが「最大の脅威」と呼ばれる理由は主に3つあります。

・技術的な防御を完全にすり抜ける: ファイアウォール、暗号化、多要素認証といった技術的対策は、正規のユーザーが自らの意志で情報を渡してしまう行為を防げない
・攻撃コストが極めて低い: 高度なプログラミング知識やゼロデイ脆弱性の発見は不要。メール1通、電話1本で攻撃が成立する
・成功率が高い: Verizonの「Data Breach Investigations Report」によると、データ漏洩の74%に人的要素が関与している。どれだけシステムを堅牢にしても、人が最も弱い鎖になりやすい

攻撃者は、技術的に強固なシステムを正面から破ろうとするよりも、そのシステムを使っている「人間」を騙す方がはるかに効率的だと知っています。これがソーシャルエンジニアリングが減らない根本的な理由です。

代表的な手口 ― 攻撃者はこうして近づいてくる

ソーシャルエンジニアリングにはさまざまな手口があります。防御のためには、まず攻撃者がどのような方法を使うのかを知っておくことが重要です。

1. プリテキスティング（口実を作る）

プリテキスティング（Pretexting）は、攻撃者が信頼できる人物や組織を装い、もっともらしいストーリーを作り上げてターゲットに接触する手口です。

たとえば、「情報システム部の者ですが、サーバー移行の確認でパスワードを教えてください」「取引先の経理担当ですが、振込口座が変わりましたので変更をお願いします」といった形で連絡してきます。役職名・部署名・実在する取引先名を事前に調べ上げているため、受ける側は疑いにくいのが特徴です。

2. フィッシング・スピアフィッシング

フィッシング（Phishing）は、正規のサービスを装った偽メールや偽サイトで認証情報を盗む手口です。不特定多数に送るものが「フィッシング」、特定の人物や組織を狙い撃ちするものが「スピアフィッシング」と呼ばれます。

スピアフィッシングでは、ターゲットの名前・役職・直近のプロジェクト名などを盛り込んだ巧妙なメールが送られるため、通常のフィッシングよりも格段に見分けが難しくなります。

3. ビジネスメール詐欺（BEC）

BEC（Business Email Compromise）は、経営者や取引先になりすまして金銭の振込を指示する手口です。IPAの調査では、日本国内でも1件あたり数千万円から数億円規模の被害事例が報告されています。

攻撃者は事前に社内のメールのやり取りを何らかの方法で入手・盗聴し、実際の業務フローに沿った形で偽の振込指示を出します。「いつもの取引先」「いつものやり取り」の延長線上で行われるため、経理担当者が疑いを持ちにくいのが特徴です。

4. テールゲーティング（物理的な侵入）

テールゲーティング（Tailgating）は、正規の入館者の直後について入り、入退室管理をすり抜ける物理的な手口です。「両手がふさがっていてカードをかざせない」「新しい業者で入館証がまだ届いていない」といった口実が使われます。

オフィスに物理的に侵入されると、放置されたPCからの情報窃取、USBデバイスの接続、書類の持ち出しなど、デジタル・アナログを問わずあらゆる情報が危険にさらされます。

5. ショルダーサーフィン・トラッシング

ショルダーサーフィン（Shoulder Surfing）は、ターゲットの背後からパスワードの入力画面やPC画面を覗き見る手口です。カフェやコワーキングスペース、電車内など、公共の場での作業中に狙われます。

トラッシング（Trashing / Dumpster Diving）は、廃棄された書類やメディアから情報を収集する手口です。シュレッダーにかけずにゴミ箱に捨てた名刺・契約書・ネットワーク構成図などが攻撃者の手に渡るケースがあります。

なぜ人は騙されるのか ― 攻撃者が悪用する心理原則

ソーシャルエンジニアリングが成功する背景には、人間が持つ心理的なバイアス（偏り）があります。攻撃者はこれらを意図的に悪用します。

これらの心理原則を知っておくだけでも、「あ、今まさに緊急性を煽られている」「権威を使って判断を急がせようとしている」と気づけるようになります。知識そのものが防御力になるのが、ソーシャルエンジニアリング対策の特徴です。

具体的な防御手順 ― 組織として取るべき対策

ソーシャルエンジニアリングは人間を狙う攻撃であるため、技術的対策だけでは不十分です。「人」「プロセス」「技術」の3層で防御を構築する必要があります。

1. セキュリティ意識向上トレーニングを定期的に実施する

従業員全員に対して、ソーシャルエンジニアリングの手口と対処法を教育します。ポイントは「一度やって終わり」にしないことです。

・頻度: 最低でも年2回、理想は四半期ごとに実施する
・内容: 最新の手口事例を含める。座学だけでなく、フィッシングメールの模擬訓練を併用すると効果が高い
・対象: IT部門だけでなく全従業員。特に経理・人事・受付など、外部とのやり取りが多い部門は重点的に行う

2. 重要操作に「ダブルチェック」のプロセスを組み込む

振込先の変更、アカウント情報の提供、システム設定の変更など、重要な操作には必ず複数人によるダブルチェックを義務付けます。

# ダブルチェックプロセスの例
# 1. 振込先変更の依頼メールを受信
# 2. メール内のリンクや連絡先は使わない
# 3. 自分が持っている既知の連絡先に電話で確認
# 4. 上長の承認を得てから処理を実行

「メールで来た依頼の確認を、そのメールに返信して行う」のは意味がありません。攻撃者が送ったメールに返信すれば、攻撃者から「はい、本物です」と返ってくるだけです。必ず別の連絡手段（電話・社内チャット等）で確認してください。

3. メールセキュリティを技術的に強化する

フィッシングやBECへの技術的な防御として、以下の設定を確認してください。

・SPF・DKIM・DMARCの設定: 自社ドメインのなりすましメールを検知・遮断する。設定方法は本サイトの「中小企業のメールセキュリティ対策」記事で詳しく解説しています
・外部メールへの警告表示: 社外からのメールに「このメールは外部から送信されています」と注意喚起を自動挿入する
・添付ファイルの自動スキャン: メールゲートウェイでマルウェアを検知・隔離する
・URLフィルタリング: メール本文中の不審なURLへのアクセスをブロックする

4. 物理セキュリティを見直す

テールゲーティングやショルダーサーフィンへの対策として、物理的なセキュリティも見直しましょう。

・入退室管理: ICカードや生体認証による個別認証を徹底し、「一緒に入る」を許可しない運用ルールを設ける
・来客対応: 来訪者には必ず受付を通し、社員の同伴なしでのオフィス内移動を禁止する
・スクリーンロック: 離席時のPC画面ロックを義務化する。Windowsなら「Windowsキー + L」、Macなら「Control + Command + Q」で即ロック
・書類の廃棄: 社内文書は必ずシュレッダーで処理する。クロスカット方式のシュレッダーを使用する

中小企業でも今日からできること

「セキュリティ研修の予算がない」「情シス1人で手が回らない」という中小企業でも、以下の対策はすぐに始められます。

最も効果が高いのは「振込先変更の電話確認ルール」です。BECによる数千万円規模の被害は、この1つのルールを徹底するだけで大部分を防げます。

よくある誤解と注意点

【注意】「うちの社員は騙されない」は最も危険な思い込み

「うちの会社は小さいから狙われない」「うちの社員はITリテラシーが高いから大丈夫」という認識は、ソーシャルエンジニアリングに対して最も無防備な状態です。攻撃者は、中小企業のほうがセキュリティ対策が手薄であることを知っています。また、ITに詳しい人ほど「自分は騙されない」と過信し、巧妙なスピアフィッシングに引っかかるケースも報告されています。

【注意】「技術的対策をしていれば安全」ではない

多要素認証、エンドポイントセキュリティ、ネットワーク監視。これらの技術的対策は極めて重要ですが、正規ユーザーが自らの意志で情報を渡してしまう行為はどの技術でも防げません。技術的対策と人的対策は、どちらか一方ではなく両輪で運用する必要があります。

【注意】パスワードを電話やメールで聞くことは正規の業務では絶対にない

IT部門やサービス提供者が、電話やメールでパスワードの提供を求めることは正規の業務フローにはありません。もしそのような依頼があった場合は、たとえ相手が名乗った部署や会社名が実在しても、別の手段で本人確認をしてください。この原則を全社員が理解しているだけで、プリテキスティングの大部分を無効化できます。

本記事のまとめ

ソーシャルエンジニアリングは、人間の心理的な弱点を突いて機密情報やアクセス権限を不正に取得する攻撃手法です。プリテキスティング、フィッシング、BEC、テールゲーティングなど手口は多岐にわたりますが、共通しているのは「技術ではなく人を狙う」という点です。

防御の基本は、「知識による気づき」「プロセスによる歯止め」「技術による補強」の3層です。特にBEC対策としての電話確認ルールや、定期的なフィッシング模擬訓練は、予算がなくても始められる有効な対策です。

メールセキュリティの技術的な対策（SPF・DKIM・DMARC）については、本サイトの「中小企業のメールセキュリティ対策」記事で詳しく解説しています。多要素認証（MFA）の導入方法については「多要素認証(MFA)とは？」の記事もあわせてご覧ください。

ファイアウォールやLinuxサーバーのアクセス制御など、技術的なセキュリティ対策の基礎については、姉妹サイトLinuxMaster.JPで詳しく解説しています。