先生と生徒の会話形式で理解しよう

生徒

「先生、ソーシャルエンジニアリングっていう言葉を聞いたんですけど、何のことなんですか？」

先生

「ソーシャルエンジニアリング（ソーシャルエンジニアリング）は、人間の心理を悪用して情報を盗み出す手口のことです。パソコンやネットワークを直接攻撃するのではなく、人の油断や習慣を狙うんです。」

生徒

「つまりハッキングとかとは違って、会話とか仕草を利用するってことですか？」

先生

「その通りです。ソーシャルエンジニアリングは、セキュリティ（セキュリティ）に関する知識がなくても騙されやすい手口なので、初心者ほど知っておくべき仕組みなんですよ。」

基本情報技術者試験をこれから学習する人や、独学で確実に合格レベルまで到達したい人におすすめの定番対策書です。

いちばんやさしい基本情報技術者を見る

※ Amazonアソシエイト広告リンク

1. ソーシャルエンジニアリングとは？

ソーシャルエンジニアリング（ソーシャルエンジニアリング）とは、パソコンやネットワークに侵入するのではなく、人間の心理や行動を利用して情報を盗み出す攻撃手法です。例えば、電話やメールで信頼できる人を装い、パスワードを聞き出すような行為が代表的です。セキュリティの世界では古くから知られており、初心者が最初に学ぶ重要な用語のひとつです。

2. ソーシャルエンジニアリングの具体例

ソーシャルエンジニアリングの代表的な方法には次のようなものがあります。

フィッシング（フィッシング）：偽のメールやWebサイトを使って、IDやパスワードを入力させる手口。
なりすまし電話：会社のサポート担当や上司を装って、従業員から情報を聞き出す方法。
ショルダーハッキング（ショルダーハッキング）：後ろから画面を覗いてパスワードを盗み見る行為。
トラッシング（トラッシング）：ゴミ箱をあさってメモや書類に残った情報を入手する方法。

どれも人の不注意や「つい信じてしまう心理」を突いたものです。セキュリティの基本はパソコンだけでなく、人の習慣も守ることにあります。

3. ソーシャルエンジニアリングの歴史と背景

ソーシャルエンジニアリングはインターネットが普及する以前から存在していました。例えば、電話を使って銀行の担当者に成りすまし、口座番号や暗証番号を聞き出すといった手口は、数十年前から行われていました。コンピュータセキュリティの進歩により、技術的な防御が強化されるほど、攻撃者は「人の心」を狙う方向にシフトしてきたのです。これがソーシャルエンジニアリングの大きな特徴です。

4. ソーシャルエンジニアリングを防ぐための基本対策

初心者でもできるソーシャルエンジニアリング対策をいくつか紹介します。

知らない相手を信じない：電話やメールでパスワードを聞かれても絶対に答えない。
パスワードの管理を徹底する：メモ用紙に書いて机に置かない。複雑なパスワードを使う。
画面やキーボードを守る：公共の場所でパスワードを入力するときは周囲に注意する。
廃棄物の処理に注意：重要な書類はシュレッダーを使ってから捨てる。

これらはシンプルですが、実行することで多くの攻撃を防ぐことができます。セキュリティ意識を高めることが最大の防御です。

5. ソーシャルエンジニアリングと日常生活の関わり

ソーシャルエンジニアリングはビジネスだけでなく、日常生活にも関係しています。例えば、宅配業者を装った訪問者に無意識に情報を渡してしまうケースや、アンケート調査を装って個人情報を集めるケースもあります。つまり、誰でも標的になる可能性があるのです。セキュリティを守るには「自分は大丈夫」と思わず、常に注意を払うことが必要です。