定義
ソーシャルエンジニアリング（Social Engineering）とは、コンピューターシステムの技術的な欠陥を突くのではなく、人の心の隙や信頼につけ込んで、パスワードや重要な情報を盗み出すハッキング手法です。高度なハッキングツールがなくても、会話やメッセージ1通でセキュリティを突破できてしまいます。
システムより人のほうがずっと弱い
宅配便の箱を山ほど抱えて困っている人を見かけたら、暗証番号を押していなくても、つい扉を開けてあげたくなりますよね。私たちには、困っている人を助けたいという温かい気持ちがあるからです。
セキュリティシステムがどれほど最先端の技術で固められていても、それを管理し使っているのは、結局のところ人間です。だからソーシャルエンジニアリングを使う攻撃者は、複雑な暗号を何か月もかけて研究して破ろうとするより、同情心や好奇心、あるいは罰せられることへの恐れといった心の弱点を直接突いてきます。
数億円もかけた鉄壁のファイアウォールを導入していても、社内の人がだまされて扉を開けてしまえば、まったく意味がありません。実際、数多くの大規模な情報漏えい事件の出発点は、技術的な欠陥ではなく、ささいなうそを信じてしまった社員のミスでした。だから情報セキュリティの専門家は、人のことをもっとも突破しやすいセキュリティの弱点と呼ぶのです。
技術はルールどおりに厳密に動きますが、人は感情に揺さぶられやすいものです。ハッカーはまさにこの人間らしさを、システムを開ける鍵として使っているわけです。
日常で出会うソーシャルエンジニアリングの手口
私たちが日常でよく目にするフィッシング、電話を使った詐欺、SMSを使ったスミッシングなどは、どれもソーシャルエンジニアリングの手口にあたります。
たとえば「モバイル招待状が届きました」「宅配便のお届け先に不備があります。ご確認ください」といったメッセージは、人の好奇心や、焦りからくる不安をあおります。被害者があわてたり気になったりしてリンクを押すと、不正なアプリのインストールに誘導されたり、偽のページにつながったりします。そのアプリを入れたり情報を入力したりした瞬間に、個人情報が抜き取られてしまうのです。
もう少し正確に言うと、企業を狙うハッカーは、IT部門や社長になりすまして、社内ネットワークへのアクセス権を奪うこともあります。直属の上司からの緊急の業務指示メールを装えば、社員は疑うよりも先に、急いで依頼に応えようとするからです。
このようにソーシャルエンジニアリングには、複雑なコンピューターのコードではなく、人間の信頼や心の隙を攻撃の入り口にするという共通点があります。見知らぬ人の親切や、権威ある人の命令にすぐ従ってしまう心理を、悪用しているのです。
どうすれば防げる？
ソーシャルエンジニアリングが狙うのはコンピューターのコードではなく人の心なので、セキュリティソフトを1つ入れておくだけでは、完全には防げません。
いちばんの予防法は、急かされたり怪しい依頼を受けたりしたときに、いったん立ち止まって公式の連絡先から自分で確認し直す姿勢です。金融機関や会社のシステム管理者であっても、パスワードやワンタイムパスワード（認証コード）を直接たずねてくることは絶対にない、ということを覚えておきましょう。
また企業では、どんなに親しい社内の人でも無条件には信用せず、そのつどきちんと資格を確かめる「ゼロトラスト（Zero Trust）」という考え方を取り入れています。定期的に偽のフィッシングメールを送る訓練を行い、社員のセキュリティ感覚を研ぎ澄ますこともあります。
結局のところ最高のセキュリティとは、鉄壁のファイアウォールに加えて、いつでももう一度確認する、私たち自身の慎重な習慣がそろって初めて完成するのです。
よくある誤解
ソーシャルエンジニアリングの被害にあうのは、コンピューターに詳しくない人だけだ。
プロのIT開発者や大企業のセキュリティ担当者でも、巧妙に仕組まれた状況や心理的なプレッシャーの前では、簡単にだまされてしまうことがあります。
日常で出会う場面
急ぎの仕事だと言って上司になりすまし、パスワードを聞き出そうと電話をかけてくるケースです。
宅配便の配送エラーの確認を装ったリンクを送り、偽のログインページへ誘導するスミッシングのメッセージです。
つまり ひとことで
ソーシャルエンジニアリングとは、コンピューターシステムではなく人の心の隙をだまして情報を盗み出すハッキング手法です。