ソーシャルエンジニアリングとは？

ソーシャルエンジニアリングの意味

技術的な手段ではなく、人間の心理的な隙や不注意、信頼関係につけこんで、パスワードなどの重要情報を聞き出したり盗み見たりする手口の総称。

ソーシャルエンジニアリングの具体例

「情報システム部」を名乗って電話でパスワードを聞き出す、肩越しに入力画面を盗み見る（ショルダーハッキング）、ゴミ箱に捨てられた書類から情報を読み取る（トラッシング）などが該当する。

ソーシャルエンジニアリングは試験でどう引っ掛けられる？

定義の核は「技術的な手段を使わない」こと。背後からの覗き見やごみ箱あさり、電話での聞き出しが典型で、ファイアウォールやウイルス対策ソフトでは防げない。対策は装置ではなく、教育とルールという人的対策になる。

ソーシャルエンジニアリングと関連する用語

• フィッシング

ソーシャルエンジニアリングが出た過去問

• 攻撃者が、システムの利用者になりすましてシステム管理者に電話をかけ、パスワードを忘れたと言ってパスワードを初期化してもらい、システムに侵入した。このような行為を…

  正解：ソーシャルエンジニアリング

  要点：人をだまして情報を得る手口がソーシャルエンジニアリング

  ソーシャルエンジニアリングは、技術的な手段ではなく人間の心理や行動の隙をついて情報を得る手口である。利用者になりすまして管理者を信用させ、パスワードを初期化させる行為はその典型といえる。防ぐには本人確認の手続を定めるなど、運用面のルール整備が有効である。

  出典：平成22年度 春期 ITパスポート試験 問87（IPA）

• リスク対策のうち、ソーシャルエンジニアリングへの対策に該当するものはどれか。

  正解：電話で重要情報を伝達するときの方法を定めて、その手順に従って行う。

  要点：ソーシャルエンジニアリング対策は手順と本人確認の徹底

  ソーシャルエンジニアリングは、技術ではなく人の心理や行動の隙を突いて情報を聞き出す手口である。関係者を装った電話で機密を聞き出す事例が典型なので、電話で重要情報を伝える際の本人確認や伝達手順をあらかじめ定め、それを徹底することが有効な対策となる。

  出典：平成26年度 秋期 ITパスポート試験 問63（IPA）

• ソーシャルエンジニアリングによる被害に結びつきやすい状況はどれか。

  正解：運用担当者のセキュリティ意識が低い。

  要点：ソーシャルエンジニアリングは人の油断を突く攻撃

  ソーシャルエンジニアリングは、技術的な侵入ではなく、人の心理や油断につけ込んで情報を聞き出す手口である。関係者を装った電話でパスワードを聞き出す、背後から入力を盗み見る、廃棄書類を漁るなどが典型例で、担当者の意識が低いほど成功しやすい。暗号化やアクセス制御といった技術的な不備は、別種のリスクに結びつく。

  出典：平成27年度 春期 ITパスポート試験 問69（IPA）

• 情報セキュリティにおけるソーシャルエンジニアリングへの対策の例として、適切なものはどれか。

  正解：従業員のセキュリティ意識を高めるため、セキュリティ教育を行う。

  要点：人の隙を突くソーシャルエンジニアリング対策の要は教育

  ソーシャルエンジニアリングは、技術的な侵入ではなく、人の心理や行動の隙を突いて情報を聞き出す手口である。関係者になりすました電話や、肩越しの盗み見、廃棄物の持ち去りなどが典型例で、機器やソフトでは防ぎきれない。したがって従業員の意識を高める教育が最も有効な対策となる。ウイルス対策、脆弱性診断、自家発電はいずれも技術的・物理的な別の対策である。

  出典：平成28年度 春期 ITパスポート試験 問58（IPA）

• 情報セキュリティにおけるソーシャルエンジニアリングの例として、適切なものはどれか。

  正解：社員を装った電話を社外からかけて、社内の機密情報を聞き出す。

  要点：ソーシャルエンジニアリングは人の心理を突いて情報を得る手口

  ソーシャルエンジニアリングは、コンピュータへの技術的な侵入ではなく、人間の心理的な隙や信頼を利用して情報を引き出す手口を指す。社員を装った電話で機密情報を聞き出す行為はその代表例である。送信元IPアドレスの偽装はなりすまし通信、パケットの盗聴は技術的な傍受、不正なソフトのダウンロードはマルウェアの問題であり、いずれも技術面の攻撃にあたる。

  出典：平成28年度 春期 ITパスポート試験 問86（IPA）