ソーシャルエンジニアリングを理解する方法

セキュリティ対策は少々厄介です。どんなに注意していても、一見無害そうな広告や怪しいサイトからマルウェアが侵入してくる可能性があるからです。広告ブロッカーを使ったり、ブラウザを最新の状態に保ったりすれば多少は防げますが、正直言って万全ではありません。ほとんどの攻撃は、フィッシング詐欺のように、ユーザーを直接狙ったものです。フィッシング詐欺では、ユーザーを騙して不正なリンクをクリックさせたり、ログイン情報を入手させようとします。こうしたソーシャルエンジニアリングの手口は、私たちの本能、恐怖、あるいは貪欲さにつけ込むため、いらだたしいものです。特に詐欺師の目的が個人情報や金銭を盗むことである場合、なおさらです。これはオンラインだけに限った話ではありません。時には、偽のメンテナンス作業員が背後に忍び込んだり、オフィスで偽のUSBドライブを配ったりと、現実世界でもこうした手口が使われることがあります。

したがって、これらの手法を理解し、兆候を見抜くことで、後々の頭痛の種を防ぐことができます。こうした手口は、一見全く合法的に思えることが多いため、巧妙に思えます。しかし、実際にはそうではないのです。何が怪しいのかを的確に見抜き、よくある手口をいくつか知っておくことが、被害が出る前に詐欺を見抜くか、騙されるかの分かれ道となる可能性があります。なぜそれがうまくいくのかは定かではありませんが、場合によっては、最も単純な方法でも十分な数の人を騙すことができ、詐欺が成立することがあるようです。だからこそ、ソーシャルエンジニアリングは非常に効果的であると同時に、同時に厄介な存在なのです。

ソーシャルエンジニアリング攻撃を認識し、防御する方法

テクニック1: 何かをクリックする前にソースを確認する

• 個人情報や金銭を要求するメールの場合は、送信元を確認してください。派手な送信者名や怪しいメールアドレスは信用しないでください。リンクにマウスオーバーして、正規のサイトへのリンクかどうかを確認してください。サイバー犯罪者は、わずかに異なるだけの類似URLを好んで利用します。
• 「アカウントが不正アクセスされました！」のような緊急のメッセージの場合は、メールのリンクではなく、公式サイトから直接アカウントにログインして確認してください。この簡単な手順で、偽のログインページから逃れることができます。
• 多くの環境では、Microsoft DefenderやGmailのスパムフィルターなどのメールフィルタリングを有効にすることで、こうしたメールのほとんどをブロックできます。しかし、常に直感を信じて「これはおかしいだろうか？」と自問自答してみましょう。

テクニック2：対面での出会いに慎重に臨む

• 誰かがセキュリティエリアへの入室を希望してきたら、ただドアを開けたり、中に入れたりしないでください。丁寧に身分証明書の提示を求めるか、担当者に連絡してください。こうした「悪質な人物」は、多くの場合、自分ではない人物のふりをして周囲に溶け込もうとします。自信に満ちた様子や話し方をしているからといって、必ずしも本物であるとは限りません。
• 修理業者を名乗る人物が現れたものの、場違いな様子だったり、身分証明書を所持していなかったりする場合は、迷わずにまず警備員または担当者に確認しましょう。後で違反行為に直面するよりも、ほんの数分余分に時間を使う方が賢明です。
• 一部のネットワークでは、サインイン手順やバッジシステムを導入することで、不審なユーザーの侵入を防ぐことができます。セキュリティ担当者であれば、これらのシンプルなポリシーは非常に効果的です。

方法3：偽のリクエストを見抜き、操作的な戦術を認識する

• 誰かに急かされてすぐに行動するよう迫られたら、疑いましょう。詐欺師はパニックを煽って冷静な判断を失わせるのが得意です。詐欺メールには「アカウントが無効になります」や「緊急の対応が必要です」といった内容がよく書かれています。クリックしたり情報を共有したりする前に、一度落ち着いて確認しましょう。
• 従業員が通常のチャネル以外で機密データを要求した場合は、上司またはITチームに確認してください。通常、正当な要求は、ランダムなテキストメッセージや電話ではなく、公式のメールアドレスや社内メッセージングシステムを通じて届きます。
• 場合によっては、ソーシャルエンジニアは、あなたの警戒心を解くのに役立つふりをして、時間をかけて信頼関係を築こうとします。過度にフレンドリーな見知らぬ人や、あなたの情報やアクセス権を盗もうとしつこい人には注意してください。

まとめ

フィッシング詐欺や対面詐欺はますます巧妙化していますが、ある程度の疑いの目を向け、詳細を確認することで、多くのトラブルを回避できます。ソフトウェアは常に最新の状態にし、特に押し付けがましい、あるいは緊急性の高いリクエストには必ず確認し、100%確信が持てない限り、安全なエリアには誰も入れないようにしてください。些細なことでも疑うのは面倒ですが、侵入された情報に対処しようとするよりはましです。これらのヒントが、よくある罠を回避し、オンラインでもオフラインでもより安全に過ごすためのお役に立てれば幸いです。

まとめ

• リンクをクリックしたり情報を共有する前に、必ずソースを確認してください。
• 特に安全なエリアでは、絶対に信頼できない人を入場させないでください。
• 緊急、強引、または異常な要求には注意し、その正当性を再確認してください。
• 注意してください。ソーシャル エンジニアリングは信頼とパニックを悪用します。
• 多要素認証などのセキュリティ対策を有効にしておきます。