ソーシャルエンジニアリング

ソーシャルエンジニアリングとは、コンピュータシステムの技術的な欠陥を突くのではなく、人間の心理的な隙や行動のミスを巧みに利用して、IDやパスワードなどの機密情報を不正に盗み出す手法のことです。技術的な対策をどれほど強固にしても、人が騙されれば情報漏洩につながるという点で非常に警戒が必要です。

具体的には、電話で管理者を装ってパスワードを聞き出す、オフィスに入り込んで肩越しに画面を盗み見る、ゴミ箱から書類を漁る、といったアナログなアプローチをとります。ソーシャルという名の通り、システムそのものではなく社会生活を送る人間を標的にするため、場所や状況を選ばずに発生します。

ITパスポート試験や基本情報技術者試験では、技術的対策との対比で問われます。混同しやすいものにフィッシング詐欺がありますが、フィッシングは手法の一部であり、ソーシャルエンジニアリングはその手法を広く総称する概念です。対策には、パスワードを教えない、画面をロックする、重要な書類はシュレッダーにかけるといった日常的な意識の向上が不可欠です。