概要

ソーシャルエンジニアリングは技術的な脆弱性ではなく「人間の心理」を悪用してセキュリティを突破する手法です。フィッシングはその代表例であり、メール・SMS・電話などを使って認証情報・個人情報・金銭を騙し取ります。技術的なセキュリティ対策が高度化した現在、人的脆弱性を狙う攻撃はさらに重要なテーマとなっています。

主な攻撃手法

フィッシング（Phishing）の種類

種類特徴対象
フィッシング大量送信。銀行・EC・SNSを偽装不特定多数
スピアフィッシング特定個人向けにカスタマイズ。役職・名前・業務内容を使用特定の個人・組織
ホエーリング経営幹部・役員を標的にした高度なスピアフィッシングC-Suite（CEO・CFO等）
BEC（ビジネスメール詐欺）経営幹部や取引先を装い送金や情報提供を要求経理担当者等
ビッシング電話（Voice Phishing）を使った詐欺個人・企業
スミッシングSMS を使ったフィッシングスマートフォンユーザ

BEC（ビジネスメール詐欺）

BEC は FBI の報告で損害額が最も大きいサイバー犯罪です。

典型的なBECシナリオ：
1. 攻撃者がCEOのメールアカウントを侵害（またはなりすます）
2. 経理担当者に「急ぎで取引先への振り込みを」と指示
3. 担当者が正規の指示と信じて送金
4. 資金が攻撃者口座に振り込まれる
BEC（ビジネスメール詐欺）の典型的な流れ
1
攻撃者
CEOのメールアカウントを侵害・またはなりすまし
 2
攻撃者
経理担当者に緊急の振込指示を送信
 3
経理担当者
正規の指示と信じて送金を実行
 4
攻撃者
資金が攻撃者口座に振り込まれる

ソーシャルエンジニアリングの心理的手法

手法説明例
緊急性・恐怖今すぐ行動しなければ不利益が生じると煽る「24時間以内に認証しないとアカウント停止」
権威上司・公官庁・大企業を名乗る「IT部門です。パスワードを確認させてください」
希少性・報酬限定・特典を餌にする「当選しました。今すぐアクセスを」
親近感・信頼SNSで調査した情報を使い親しげに接する名前・会社名・同僚名を使ったスピアフィッシング
返報性先に小さな親切をして心理的負債を利用する

プリテキスティング

架空のシナリオ（口実）を作り上げて情報を引き出す手法です。例：「ITサポートです。サーバ移行のためパスワードを確認させてください」

テールゲーティング（ピギーバック）

認証ドアに正規の人員の後について不正入室する物理的な手法です。

技術的な防御策

メール認証（SPF・DKIM・DMARC）

なりすましメールをドメインレベルで排除します（詳細は Eメールセキュリティ を参照）。

多要素認証（MFA）

フィッシングでパスワードが漏洩しても、MFAがあれば不正ログインを防止できます。ただし、**リアルタイムフィッシング（AiTM）**では MFA コードも中継されるため、FIDO2/パスキーが最も有効です。

URL・添付ファイルの検査

技術内容
メールゲートウェイフィッシングURLや悪意ある添付ファイルをスキャン
サンドボックス添付ファイルを隔離環境で実行して挙動を確認
URLレピュテーションフィッシングURLのブラックリスト照合
リンクの書き換えクリック時にセキュリティゲートウェイを経由させる

組織的な対策

対策内容
セキュリティ教育・訓練フィッシングメールの見分け方、報告フロー
模擬フィッシング訓練疑似フィッシングメールを送って対応を評価
送金承認フローBEC対策として電話による二重確認を義務付け
インシデント報告文化疑わしいメールを遠慮なく報告できる環境

SC試験での頻出ポイント

  • スピアフィッシングとフィッシングの違い：スピアフィッシングは特定個人向けにパーソナライズされた攻撃
  • BECの特徴：技術的な攻撃より社会工学的な手口。損害額が大きい
  • フィッシング対策としてMFAが有効な理由：パスワードだけでは不十分で認証情報漏洩後のログインを防ぐ
  • FIDO2がAiTMに強い理由：パスキーはサイト固有の鍵を使うため、中継サイトでは使用不可
  • プリテキスティングとは：架空のシナリオを用意して情報を引き出すソーシャルエンジニアリング

よくある誤問・ひっかけパターン

誤り① 「フィッシングはマルウェアを使う攻撃」→ 不正確。フィッシングはだましてリンクをクリックさせたり情報を入力させる攻撃です。マルウェアを組み合わせる場合もありますが、本質は社会工学的手法です。

誤り② 「MFAがあればフィッシングは防げる」→ 誤。AiTM（Adversary-in-the-Middle）フィッシングはMFAコードもリアルタイムで中継します。FIDO2/パスキーのみが根本的な対策です。

誤り③ 「セキュリティ意識の高いユーザはフィッシングに引っかからない」→ 誤。スピアフィッシングは十分な情報収集と精巧な偽装を行うため、専門家でも標的になり得ます。

関連用語

重要キーワード

用語説明
スピアフィッシング特定の個人・組織を狙った高度にパーソナライズされたフィッシング
BEC経営幹部や取引先を装って送金や情報提供を要求するビジネスメール詐欺
ホエーリングC-Suite（経営幹部）を標的にしたスピアフィッシング
プリテキスティング架空のシナリオを作り上げて情報を騙し取るソーシャルエンジニアリング手法
AiTMAdversary-in-the-Middle。MFAコードもリアルタイムで中継するフィッシング手法
テールゲーティング正規ユーザの後について認証済みドアを不正通過する物理的手法