ソーシャルエンジニアリングは、人々を操って情報を漏らさせたり、アクセス権を与えさせたりする手口です。これは技術ではなく、人間の心理を標的としています。攻撃者は信頼を築き、切迫感を煽り、人の役に立ちたいという気持ちを利用します。IT担当者を名乗る人物からの電話、偽の役員を名乗る人物からの送金依頼メール、クリップボードを持った訪問者が巧みな話術で受付を突破するケースなど、手法は様々です。しかし、目的は同じです。標的に本来すべきでないことをさせることです。

ソーシャルエンジニアリングは、技術的な制御を回避できるため効果的です。ファイアウォールがあっても、ヘルプデスクの従業員が正当な人物のパスワードをリセットしてしまうのを防ぐことはできません。2020年のTwitterハッキング事件では、電話を使ったソーシャルエンジニアリングによって従業員を騙し、認証情報を渡すように仕向けました。攻撃者はその後、著名なアカウントを乗っ取り、ビットコイン詐欺を投稿しました。FBIはこの事件を組織的なソーシャルエンジニアリング攻撃と呼びました。防御は意識することから始まりますが、意識するだけでは十分ではありません。プロセスの方が重要です。別のチャネルを通じて本人確認を行い、機密性の高い操作には承認を必須とし、個々の担当者ができることを制限する必要があります。目標は、説得力のある嘘が成功しにくくすることです。トレーニングは役立ちますが、トレーニングで見落としてしまう部分をしっかりとしたプロセスが捉えます。

一般的なソーシャルエンジニアリングの手法

• フィッシング — メールを利用した詐欺
• ビッシング（音声通話詐欺）
• 口実工作 ― 捏造されたシナリオ
• 餌付け ― 無料のUSBドライブのような魅力的なオファー
• テールゲーティング ― 誰かの後についてセキュリティエリアに入ること

ソーシャルエンジニアリングは信頼を悪用する。防御策は疑うことではなく、検証することだ。