ソーシャルエンジニアリングとは？主な手口や種類、とるべき対策方法を紹介

ソーシャルエンジニアリングの名称は知っていても、実際の手口や対策がイメージできていない方は多いのではないでしょうか。

ソーシャルエンジニアリングとは、システムの脆弱性ではなく、人間の心理や行動の隙を突く攻撃手法です。なりすましや偽メールなどの手口は生成AIの活用により巧妙化しており、IT知識の有無にかかわらず、権限を持つ担当者まで標的になっています。

本記事では、代表的な攻撃手口や国内外の最新被害事例、組織で実践できる対策などを解説しますので、ぜひ参考にしてください。

「自分の会社は狙われない」という思い込みが、初動対応の遅れや被害拡大につながるケースも少なくありません。国内外で実際に発生した3つの事例をもとに、手口の巧妙さと被害の深刻さを見ていきましょう。

SNSでのなりすまし

2024年5月、暗号資産取引所DMM Bitcoinから約482億円相当のビットコインが不正流出する事件が発生しました。

攻撃を仕掛けたのは、北朝鮮系のサイバー攻撃グループとされています。ビジネス特化型SNS「LinkedIn（リンクトイン）」上でリクルーターになりすまし、ウォレット管理会社の従業員へ接触しています。

採用試験を装って悪意のあるプログラム（マルウェア）を送付し、システムへの侵入に成功しました。SNS上で時間をかけて信頼関係を築き、警戒が薄れたタイミングで攻撃を仕掛ける手口は、技術的な防御だけでは防ぎ切れない典型例です。

ディープフェイク動画会議

2024年初頭、香港のある多国籍企業で、約38億円（2500万米ドル）が騙し取られる事件が発生しました。

この事件は、従業員が参加したビデオ会議を舞台に起きました。画面上には自社のCFO（最高財務責任者）や複数の同僚の姿が表示されていましたが、実は参加していた従業員本人以外はすべて「偽物」でした。攻撃者はAIのディープフェイク技術を悪用し、CFOらの映像や音声を模倣して、本物と見分けがつかないほど精巧な偽の映像を生成していたのです。

上司からの指示という状況が判断力を鈍らせ、従業員は指示通りに送金手続きを進めてしまいました。最新技術と人間心理の組み合わせが、いかに危険かを示す事例です。

電話でのなりすまし

ある県立病院に医師を名乗る人物から電話があり「研修医の氏名と電話番号を教えてほしい」と要求されました。電話を受けた事務員は相手を疑わず、そのまま口頭で情報を伝えてしまい、研修医52名分の氏名と携帯電話番号が流出しています。

この手口はビッシング（電話を使った詐欺）と呼ばれ、攻撃者側に高度なITスキルをほとんど必要としません。医師という権威ある立場を名乗られると、確認なしに応じてしまいやすい心理が悪用されました。

ソーシャルエンジニアリングは人間の判断を狙う攻撃です。ファイアウォールなどの技術的な防御だけでは防ぎ切れないため、人やシステム、物理環境の3つの層を組み合わせた対策が求められます。

「人・組織」による対策

ソーシャルエンジニアリングで攻撃者が狙いやすい入口は、システムではなく従業員です。ここでは、組織の防衛力を高めるために、人と組織の側から取り組む対策を紹介します。

定期的なセキュリティ教育・啓発活動

ソーシャルエンジニアリングの手口は、社会情勢や技術の変化にあわせて日々進化しています。一度の研修で終わらせず、定期的に最新事例を共有し続けることが、組織全体のリテラシーを維持するうえで欠かせません。

研修では、実際に発生したフィッシングメールの文面例や、プリテキスティングなどの具体的なやり取りを取り上げると、座学よりも実感を持って学べます。最新トレンドにあわせて、教育内容を定期的に更新しましょう。

標的型攻撃メール（フィッシング）の訓練

フィッシング対策として効果的なのが、実際に本物そっくりの無害な偽メールを従業員へ送る標的型攻撃メール訓練です。

訓練用メールに記載された偽リンクをクリックしてしまった従業員には、その場でフィードバックを提示します。実際に引っかかりそうになった体験は、机上の学習よりも強い気付きを与えるでしょう。

社内ルールの明確化と徹底

ソーシャルエンジニアリングへの対策として、例外を作らない運用ルールの策定が有効です。判断を個人の裁量に委ねるほど、心理的な隙が生まれやすくなるためです。

具体的には、以下のようなルールを組織として明文化します。

• 電話・メールでパスワードや認証情報を聞かない、教えない
• 振込先の変更依頼があった場合は、別の連絡手段で本人確認を行う
• 上司からの指示であっても、金銭や情報の移動は所定の承認フローを経る

ルールの必要性を全員が理解してこそ、抑止力として機能します。

「システム・技術」による対策

人が騙されてしまったあとでも、被害の発生や拡大を防ぐ防衛線がシステム側にも必要です。技術的なアプローチから組織を守る3つの対策を紹介します。

多要素認証（MFA）の導入

多要素認証とは、パスワードに加えて別の認証手段を組み合わせる機能です。認証方法の種類として利用される代表例は、以下のとおりです。

• SMSで届くワンタイムコード
• 指紋・顔認証
• プッシュ通知による承認
• 音声通話による認証コード案内

フィッシングなどでパスワードが盗まれても、MFAを導入していれば不正アクセスの抑止につながります。設定の負担はあるものの、費用対効果が高いため優先して取り組みたい対策です。

メールフィルタリング・スパム対策の強化

メールフィルタリングとは、不審な送信元や悪意のあるリンク・添付ファイルを含むメールを、受信前にシステムが自動で検知・遮断する仕組みです。

フィッシングメールの多くは、送信元ドメインの偽装や特定のキーワードパターンといった共通の特徴を持っています。フィルタリングシステムはこれらを機械的に判定するため、従業員が目にする前に排除できます。

メール攻撃の増加を踏まえると、目視確認だけでは限界があり、システムによる入口対策の重要性が高いといえるでしょう。

ゼロトラスト・セキュリティの構築

ゼロトラストとは、社内ネットワーク内だから安全という前提を排除し、すべてのアクセスに対して認証と認可を求めるセキュリティの考え方です。

従来型のセキュリティは、社内ネットワークへの侵入を防ぐことを前提に設計されていました。しかし、テレワークの普及やソーシャルエンジニアリングによる内部からの侵害が増えた現在、従来の前提は成り立ちにくくなっています。

ゼロトラストを導入すれば、侵入を許した場合でもアクセス範囲を制限でき、被害の拡大を抑えられます。

「物理・環境」による対策

オンライン対策だけでなく、オフィスや外出先での情報漏えい対策も必要です。日常のなかで意識したい具体的な対策を紹介します。

クリアデスク・クリアスクリーン・ポリシーの徹底

クリアデスク・クリアスクリーンとは、離席時にパソコンをロックし、机上に機密情報を放置しないというルールです。物理的な情報漏えいを防ぐ基本的な習慣として、多くの企業で導入されています。

具体的には、以下のような行動基準を組織で統一しましょう。

• 席を離れる際はパソコンの画面をロックする
• 机の上に機密書類やパスワードを書いた付箋を残したまま退席しない
• 印刷物はその場で回収し、不要なものはシュレッダーにかける

ルールとして明文化し、全員が日常的に実践する体制を整えることで、トラッシングやショルダーハッキングへの抑止力になります。

オフィスへのアクセス制御（入退室管理）

部外者の不正侵入を防ぐには、ICカードや生体認証を用いた入退室管理システムの導入が有効です。

正規の社員のみがゲートを通過できる仕組みを整えると、テールゲーティング（共連れ）による侵入リスクを低減できます。

さらに、一人ずつしか通過できないセンサー付きのドアを設置すると、物理的に共連れを防ぐ効果が高まります。不正侵入を防ぐうえで、入退室の管理体制の整備は欠かせません。

覗き見防止フィルターの活用

カフェや新幹線など人目のある場所で作業する際は、パソコンやスマートフォンに覗き見防止フィルターを装着すると効果的です。

覗き見防止フィルターは、正面以外の角度から画面を見ても内容が判別できなくなる構造になっています。ショルダーハッキングを物理的に遮断できるため、テレワークや外出先での作業機会が多い組織では特に導入を検討したい対策です。

フィルターを装着するだけで万全とはいえませんが、画面の覗き見を防ぐ手段としてすぐに実践できる点がメリットです。

対策を講じても、被害をゼロにするのは現実的には困難です。被害が疑われたときの対応を確認し、損害の最小化につなげましょう。

被害の隔離

被害が疑われた場合、まず行うべきは、それ以上の被害を広げないことです。まずは原因の特定よりも、被害の拡大防止を優先します。具体的には、以下の対応を速やかに実施してください。

• 該当のパソコンやデバイスをネットワークから切断する
• 侵害された可能性のあるアカウントのパスワードを即座に変更する
• 不審なメールや添付ファイルを開いた端末を隔離する

被害状況が把握できていなくても、遮断を最優先に行う必要があります。対応の迅速さが、社内ネットワークへの影響拡大や二次流出の防止につながります。

関係各所への迅速な報告と相談

被害の隔離とあわせて、社内外の関係各所へ迅速に報告できる体制を整えることが重要です。

社内では、まずセキュリティ担当部門や上長への報告を行います。個人情報が流出した可能性がある場合は、個人情報保護委員会への報告義務が生じるケースもあります。

取引先や顧客への影響が考えられる場合は、状況を整理したうえで早期に連絡を取ることが信頼維持の観点からも欠かせません。自分だけで抱え込んだり報告が遅れたりすると、二次被害や法的リスクが拡大する原因になります。

参考：個人情報の保護に関する法律｜e-Gov法令検索

原因の究明と再発防止策の策定

被害が収束したあとに、なぜ攻撃が成立したのかを組織として検証するフェーズに入ります。感情的な非難ではなく、再発を防ぐための客観的な分析に取り組むことが大切です。

確認すべき主なポイントは以下のとおりです。

• どの手口が使われたか（フィッシング・なりすまし電話など）
• どの段階でルールやシステムによる防御が機能しなかったか
• ルールや教育に抜け漏れがなかったか

分析結果をもとに、社内ルールの改定やシステム設定を見直しましょう。研修内容の見直しまで具体的に反映すれば、同様の手口による被害を防げる体制を整えられます。

従業員教育でリテラシーを高めても、人間が判断を誤るリスクをゼロにするのは困難です。

ヒューマンエラーをシステム側で補う仕組みとして、Zoomのセキュリティ機能が有効な選択肢になります。Zoomには、なりすましや不正アクセスを防ぐための機能が標準で備わっています。

例えば、ホストが承認した参加者のみ入室できる「待機室機能」を利用すれば、部外者のミーティングへの侵入を未然に防ぐことができます。

また、パスワードに加えて追加の認証を求める「2要素認証（2FA）」は、アカウントへの不正アクセス防止に強力な効果を発揮します。

さらに、通話内容や共有データを保護する「256ビットAES暗号化」も標準搭載されており、通信の傍受による情報漏洩リスクを最小限に抑えられます。

人への対策とシステムによる防御を組み合わせることで、ソーシャルエンジニアリングへの対策をさらに強化できます。Zoomは、人とシステムの両面を支えるプラットフォームとして、全社展開にも適した設計となっています。

セキュリティ強化やコミュニケーション基盤の見直しをご検討中の方は、以下の詳細ページをご確認ください。

>>Zoomの機能詳細はこちら

>>Zoomのセキュリティについての詳細はこちら

ソーシャルエンジニアリングは、システムの脆弱性ではなく人間の心理を狙う攻撃手法です。フィッシングやなりすまし電話、ディープフェイクを使った偽装など、手口は年々巧妙化しています。

対策は「人・組織」「システム・技術」「物理・環境」の3つの層を組み合わせる必要があります。従業員教育だけでは限界があるため、多要素認証やゼロトラストなどの技術的対策による補完は欠かせません。

人とシステムの両面から対策を強化したい場合、待機室機能や2要素認証、暗号化技術を備えたZoomの導入も選択肢の一つとして検討してみてください。