ソーシャルエンジニアリングとは？そーしゃるえんじにありんぐ
ソーシャルエンジニアリングとは、技術ではなく人の心理や行動の隙をついて情報を聞き出す・持ち出す手口の総称。管理者を装った電話、緊急を装って手順を飛ばさせるメール、肩越しの盗み見、廃棄書類の持ち去り、共連れによる入室などが含まれる。システムの守りの強さと関係なく成立する点が特徴になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
認証や暗号が固くなるほど、攻撃は正面から破るのをやめ、それを扱う人へ向かう。人には「急かされると確認を省く」「肩書きを名乗られると疑いにくい」という傾向があり、これは修正プログラムでは塞げない。だから対策の中心が機器の設定ではなく、規程・訓練・確認の手順に置かれることになる。sgの読者は、まさにその訓練を計画して回す側にあたる。
具体例
情報システム部門を名乗る電話で「システム更新のためパスワードを教えてほしい」と求める、取引先になりすまして振込先の変更を依頼する（ビジネスメール詐欺）といった形が典型。IPAの「情報セキュリティ10大脅威」でも、この種の人を狙う手口が組織向けの上位に並び続けている。
試験での引っ掛け
ファイアウォールやマルウェア対策では防げず、教育・訓練と、疑わしいときは正規の連絡先へかけ直すという確認手順が対策の中心になる。ただしフィッシングのようにメールを使う手口も含むため、「技術を一切使わない攻撃」と限定すると誤る。区別の軸は、狙う先が機械か人かである。報告した人を責める運用にすると通報が上がらなくなる点も、管理側の論点になる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問24（IPA）解説で登場
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問25（IPA）
緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は、どれに分類されるか。
正解：ソーシャルエンジニアリング
要点：人の心理を突いて聞き出すのがソーシャルエンジニアリング
ソーシャルエンジニアリングは、技術的な手段ではなく人間の心理や行動の隙を突いて情報を入手する手口の総称である。緊急事態を装って相手を焦らせ、確認の手順を省かせてパスワードを聞き出すのは典型例で、ほかにショルダーハッキングやトラッシング（ごみあさり）も含まれる。技術的対策では防げないため、教育と本人確認手順の徹底が対策の中心となる。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問21（IPA）
ソーシャルエンジニアリングに該当するものはどれか。
正解：オフィスから廃棄された紙ごみを、清掃員を装って収集して、企業や組織に関する重要情報を盗み出す。
要点：ソーシャルエンジニアリングは技術でなく人の隙を突く手口
ソーシャルエンジニアリングは、技術的手段ではなく人間の心理や行動の隙を突いて情報を入手する手口の総称である。清掃員を装って廃棄物からごみあさりをする行為（トラッシング／スキャベンジング）は、なりすましと物理的な情報収集を組み合わせた典型例にあたる。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問8（IPA）
緊急事態を装って組織内部の人間からパスワードや機密情報を入手する不正な行為は、どれに分類されるか。
正解：ソーシャルエンジニアリング
要点：人の心理を突く情報詐取はソーシャルエンジニアリング
技術的な手段ではなく、人の心理や行動の隙を突いて情報を聞き出す手口をソーシャルエンジニアリングという。緊急事態を装って相手に落ち着いて確認する余裕を与えずに答えさせるのは、その典型的な話術である。対策も技術ではなく、本人確認手順の徹底や教育といった人的・運用面の管理策が中心となる。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。