ソーシャルエンジニアリングとは何か（詐欺の入口を知る）
この教材でわかること：フィッシングやSNSでの情報漏洩対策といった具体的な手口を学ぶ前に知っておきたい、「ソーシャルエンジニアリング」という考え方の全体像です。
このカテゴリ「詐欺・ソーシャルエンジニアリング対策」では、人の心理を利用した詐欺の手口を1つずつ取り上げていきます。まずは、個別の手口に入る前に、これらに共通する「ソーシャルエンジニアリング」という考え方そのものを知っておきましょう。
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、コンピューターの弱点を直接突くのではなく、人の心理や行動のすきを利用して、情報を聞き出したり、だまして操作させたりする手口の総称です。パスワードを「盗む」というと、専門的なプログラムを使って技術的に破る場面を想像するかもしれませんが、実際には「本人にそれらしい理由をつけて聞き出す」「信頼している相手になりすまして頼み込む」といった、人とのやり取りの中で情報が渡ってしまうケースが少なくありません。
技術的な対策だけでは防げない
サイトの管理画面を多要素認証で守ったり、パスワードを強くしたりする対策（教材「管理画面を守る基本」など）は重要ですが、それだけでは十分ではありません。ソーシャルエンジニアリングは、こうした技術的な防御そのものを迂回し、「正しい権限を持つ本人に、自分から情報を渡させる、または操作させる」ことを狙います。IPA（情報処理推進機構）が公開している企業向けの資料でも、攻撃者は人の心理的な弱点や、相手に対する信頼感を利用するやり方を一貫して使い続けていると説明されています。
よく使われる心理的な仕掛け
- 緊急性を強調する：「今すぐ対応しないと問題になる」と焦らせ、落ち着いて確認する時間を与えない
- 権威・信頼を利用する：上司や取引先、公的機関などを装い、「相手だから」という理由で疑わずに従わせる
- 好奇心・親切心を利用する：興味を引く内容や、困っている人を助けたいという気持ちに訴えかける
これらはメール（フィッシング）、電話、SNSでのやり取り、時には対面でも使われます。どの経路を使うかが違うだけで、「人の心理のすきを利用する」という根っこの考え方は共通しています。
今日からできること
- 「急かされている」「いつもと様子が違う」と感じたら、一度手を止めて確認する習慣をつける
- 依頼の内容が重要であればあるほど、メールやSNSだけでなく、別の手段（電話など）でも本人確認をする
- 自分一人で判断せず、周囲や上司に相談してから対応する
次に読む
ソーシャルエンジニアリングの中でも特に多い手口が、メールを使った「フィッシング」です。次は「フィッシング詐欺の見分け方」で、具体的な見分け方を見ていきましょう。
参考にした公開情報
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別の事案の安全を保証するものではありません。