ソーシャルエンジニアリングと聞くと、政治学の学位の一種や、ソーシャルメディア管理の専門分野のように聞こえるかもしれません。 しかし、ソーシャルエンジニアリングの実態は、それよりもはるかに不気味なものです。
ソーシャルエンジニアリングとは、心理的な操作を用いて、個人に機密情報を漏らさせたり、不正なアクセスを許可させたりするサイバー攻撃のことです。
組織の攻撃対象領域が拡大するにつれ (新しいタブで開きます) — リモートワークの増加や、クラウドサービスおよびデジタル通信チャネルの拡大により — ソーシャルエンジニアリング攻撃の機会も同様に増加しています。 一度侵入すると、攻撃者は正当なユーザーを装い、ネットワーク内を自由に行き来しながら、セキュリティの脆弱性を探り、バックドアを仕掛け、通信を盗聴し、機密データを盗み出します。
こうした攻撃により、被害者が被る経済的負担も年々増大しています。 例えば、ビジネスメール詐欺（BEC）（ソーシャルエンジニアリングの一般的な手口の一つ）に関する苦情は、 2014 FBIインターネット犯罪苦情センター（IC3）の報告書『 』（新しいタブで開きます）に初めて盛り込まれましたが、同報告書にもある通り、この種の詐欺は早ければ 2010年頃から出現し始めていた可能性があります。 IC3 年以降、BEC詐欺による損失額（226 百万ドル）の算出が2014 年に開始されて以来、その被害額は13x近くまで増加しています。
この包括的なガイドでは、ソーシャルエンジニアリングの定義を説明し、脅威アクターが一般的に用いる手口を探り、実際に成功したソーシャルエンジニアリング攻撃の実例を取り上げ、組織を保護するための対策について解説します。
ソーシャルエンジニアリングの簡潔な定義
技術的な脆弱性を悪用する他のサイバーセキュリティ上の脅威とは異なり、ソーシャルエンジニアリングは人間を標的としています。人間の反応は予測できないため、この手口はとりわけ陰湿で効果的です。
ソーシャルエンジニアリング攻撃では、サイバー犯罪者は被害者の恐怖心や感情を巧みに利用します。 この種の攻撃に見られる一般的な危険信号には、次のようなものがあります：
- 送信元ドメインは、公式ブランドを装っており、これは「スプーフィング」とも呼ばれます。これにより、被害者が送信元のメールアドレスにある些細な不自然さを見逃すことを狙っています。
- 攻撃者は、乗っ取られたメールアカウントを利用して、被害者の連絡先に対してスパムや不審な要求を送信する場合があり、そのため、ソーシャルエンジニアリング攻撃はしばしば正当なもののように見えることがあります
- 詐欺師は、あまりにも良すぎて信じられないような報酬を約束したり、個人情報を要求したりすることがあります
なぜソーシャルエンジニアリングはサイバーセキュリティにとって重大な脅威となるのでしょうか？
たとえ最も堅牢なセキュリティ対策を講じていたとしても、たった一人の従業員がソーシャルエンジニアリング攻撃に騙されてしまえば、組織全体が危険にさらされる可能性があります。 一度侵入に成功すると、攻撃者は を介して横方向の移動を行い、 （新しいタブで開きます） を通じて、インフラストラクチャ内を密かに探り回り、セキュリティ上の脆弱性を発見したり、盗み出したり悪用したりできる重要な資産やデータを特定したりすることが可能になります。
彼らはバックドアやその他の悪意のあるソフトウェアをインストールし、自由に出入りしてデータを盗み出し（その結果、罰金、法的措置、信頼の喪失を招きます）、ファイルを破壊する（そしてあなたの評判を傷つける）ことが可能になります。
最後の攻撃として、彼らは自ら設置したバックドアを通じて再び侵入し、貴社のインフラを利用してマルウェアを拡散させたり、フィッシングメールを送信したり、サービス拒否攻撃を仕掛けたりします。そのすべてにおいて、あたかも貴社組織に責任があるかのように見せかけるのです。
ソーシャルエンジニアリング攻撃による被害額はどれくらいでしょうか？
ソーシャルエンジニアリング攻撃による金銭的損失は、途方もないものになる可能性があります。 2023年、の「Verizonデータ侵害調査報告書（DBIR）」 （新しいタブで開きます）によると、米国におけるデータ侵害の 17％およびサイバーインシデントの 10％が、ソーシャルエンジニアリングによって引き起こされていたことが判明しました。
しかし、それだけでは 全 ではありません。定量化が難しい、長期にわたる無形の損害も生じることになります。その中には、次のようなものがあります：
- 顧客、パートナー、投資家は信頼を失い、その結果、事業規模やブランド価値の低下につながります
- 罰金、違約金、違反の通知、および訴訟の可能性は、多大な金銭的・法的な負担をもたらす可能性があります
- 調査や是正措置に伴う操業停止は、生産性や事業継続に重大な影響を及ぼす可能性があります
- 営業秘密や専有情報が失われると、市場での優位性が損なわれる恐れがあります
しかし、こうした脅威に対する予防、検知、および効果的な対応への投資を行うことで、攻撃が成功した場合の長期的な影響を最小限に抑えることができます。
ソーシャルエンジニアリング攻撃の代表的な種類
ソーシャルエンジニアリングの攻撃者は、人間の心理的弱点を突くためにさまざまな手口を用います。 これらは、単独で使用することも、効果を最大限に引き出すために戦略的に組み合わせることも可能です。 マルウェアやランサムウェアは、ソーシャルエンジニアリングの手法と組み合わせて、サイバー攻撃を仕掛けたり、悪意のあるソフトウェアを配布したりするために利用されることが多く、その結果、業務に重大な支障をきたしたり、金銭的損失や評判の低下を招いたりする可能性があります。
以下に、最も一般的なソーシャルエンジニアリングの手法を10個ご紹介します：
- ベイト攻撃
ベイト攻撃は、人間の好奇心や「タダ」への欲求につけ込み、被害者をだまして機密情報（社会保障番号や生年月日など）を明かさせたり、マルウェアに感染したUSBメモリ、偽の無料コンテンツ、フィッシングサイトなどを通じてマルウェアをインストールさせたりするものです。 - ビジネスメール詐欺 （新しいタブで開きます）
BEC詐欺では、しばしば経営幹部になりすまして、緊急性を煽り、権威を確立しようとします。 また、被害者をだまして、攻撃者の口座へ資金を送金させたり、機密情報を明かさせたりすることも可能です。 - フィッシング攻撃 （新しいタブで開きます）
銀行や政府機関などの正規の組織を装ったフィッシングキャンペーン、ウェブサイト、またはインスタントメッセージは、被害者をだましてクレジットカード番号や銀行口座番号などの情報を漏洩させてしまいます。 - プリテクスティング
攻撃者は、法執行機関、税務当局、ITサポートなどの権威ある立場の人物を装い、被害者に機密情報を明かさせるよう説得することがあります。 - クイド・プロ・クオ
クイド・プロ・クオ攻撃は、恩返しをしたくなるという人間の傾向や、権威ある人物を信頼してしまう傾向を悪用するものです。 攻撃者は、ログイン情報や個人情報を引き換えに、サービスや贈り物を提示してくる場合があります。 - スミッシング
スミッシング（SMSフィッシング）は、テキストメッセージを利用します。 この手法が効果的なのは、人々がメールよりもSMSを信頼していること、また、モバイル端末はパソコンに比べてセキュリティ機能が不十分な場合が多いからです。 - スピアフィッシング
スピアフィッシングとは、特定の個人や組織を標的とした、極めて的を絞ったフィッシング攻撃のことです。 攻撃者は標的を調査し、説得力のあるメッセージを作成します。一般的なフィッシング詐欺に見られるような明らかな不審な点がないため、こうしたメッセージは発見されにくいのです。 - テールゲート攻撃／ピギーバック攻撃
テールゲート攻撃やピギーバック攻撃とは、許可された人物に物理的に付いていき、立ち入り制限区域に侵入する攻撃です。この対面型の攻撃は、人が助けたいと思う心理を悪用し、許可された区域にいる人物はそこにいるべきだという私たちの前提を利用しています。 - ヴィッシング （新しいタブで開きます）
ヴィッシング（ボイスフィッシング）の攻撃者は、正規の組織の担当者を装うことで、信頼性を築き、信頼を得ようとします。 彼らは電話や音声メッセージを利用し、被害者に早急に機密情報を明かさせたり、セキュリティを侵害させたりするよう仕向けるために、緊急性や恐怖心を大いに利用しています。 - ウォーターホール攻撃
ウォーターホール攻撃では、攻撃者は特定のグループ（企業の従業員や業界関係者など）が頻繁にアクセスするウェブサイトを乗っ取り、被害者がそのサイトに対して抱く信頼を悪用するマルウェアや悪意のあるスクリプトを仕込みます。
ソーシャルエンジニアリング攻撃の実例
BEC：ナイジェリア — ノースカロライナ州 — テキサス州 （新しいタブで開きます）
Two Nigerian scammers used a BEC scheme to attempt a $5 million fraud from North Carolina and Texas universities and businesses. 大学の建設プロジェクトが、ある大手企業1社によって管理されていることを知った後、彼らは同様のドメイン名を登録しました。 Using a spoofed email address, they convinced university employees in North Carolina to wire more than $1.9 million to a fraudulent bank account. They used the same methods to try to steal more than $3 million in Texas.
共犯者たちは現在、長期の懲役刑に直面しており、損害賠償および金銭的賠償を支払わなければなりません。 しかし、賠償は遅々として進まないでしょう――もし行われるとしても――、そして損害の全額を賄うことは決してできません。
Cottage Grove, Minnesota, city administrators fell victim to a phishing scam costing taxpayers more than $1.2 million. The city had a $3.5 million contract with Geislinger & Sons for a sewage treatment project.
詐欺師たちは偽のメールドメインを使用し、管理者を騙して不正な銀行口座へ資金を送金させました。この詐欺は、本物の企業が未払いの支払いを請求したことで発覚しました。 連邦捜査官らは、資金の一部が英国に流れたことを突き止め、その回収に向けて取り組んでいます。
米国証券取引委員会（SEC）への義務付けられた規制報告書によると、シーザーズ・エンターテインメント社（Caesars Entertainment Inc.） は、数千万の身代金を （新しいタブで開きます）をの「Scattered Spider」 （新しいタブで開きます）に支払いました。 「Bring Your Own Vulnerable Driver（BYOVD）」を利用して、 のエンドポイント検出・対応ソリューション を回避し、ネットワークへの侵入を図ったハッカーグループです。 ハッカーたちはまず、ソーシャルエンジニアリングの手口を用いて外部のITベンダーのシステムに侵入し、その後、シーザーズのネットワークにアクセスして、個人を特定できる情報（PII）を含むロイヤリティプログラムのデータベースをコピーしました。
数日以内に、Scattered SpiderはAlphVと連携し、、MGM International （新しいタブで開きます）、、 に対して、精巧なプリテクスティング詐欺を仕掛けました。
LinkedInで調査したMGMリゾーツの従業員を装い、MGMのITヘルプデスクを説得して、MGMのOktaおよびAzureテナント環境への管理者権限を取得するのに十分な情報を引き出しました。翌日、MGMのセキュリティ部門が異常なトラフィックを検知したため、AlphVはOktaサーバー上のパスワードを盗聴したことを認め、直ちにランサムウェアを展開しました。 MGM’s SEC filing reported $100 million in losses (opens in a new tab).
ソーシャルエンジニアリング攻撃から身を守るにはどうすればよいでしょうか？
ソーシャルエンジニアリング攻撃から組織を守り、「人的ファイアウォール」を強化するためには、従業員への教育、シームレスなセキュリティ対策、そして効果的な のIDおよびアクセス管理 （新しいタブで開きます）を組み合わせた多角的なアプローチを採用する必要があります。
ソーシャルエンジニアリング攻撃に対する「人間によるファイアウォール」を展開する4 の方法
1. 従業員向けのセキュリティ意識向上研修を頻繁に実施してください
- ソーシャルエンジニアリングの手口の特定、安全なインターネット利用、および機密データの取り扱いについて含める
- ゲーミフィケーションや双方向的な手法を活用して、記憶に残る研修を実現しましょう
- 独自のセキュリティ上の課題に対処するため、役割に応じた研修を実施する
2。 セキュリティに関するベストプラクティスに従ってください サイバー衛生に関するベストプラクティス
- シングルサインオン（SSO）とパスワード管理を導入し、強固なパスワードを確保してください
- の適用 ゼロトラスト （新しいタブで開きます） による多要素認証（MFA） （新しいタブで開きます） 重要なシステムおよびアプリケーション向け
- リスクベースの認証を活用して、利用の障壁を軽減しましょう
3。 アクセス制御を強化する
- 従業員が業務を行う上で必要なリソースやデータへのアクセスのみを許可し、権限を定期的に見直して更新してください
- ユーザーの活動やアクセスパターンを監視し、異常な行動を検知します
- アクセス管理を自動化することで、人的ミスを最小限に抑え、ITチームの負担を軽減しましょう
[関連記事：Active Directoryのセキュリティとは？ リスクとベストプラクティス] （新しいタブで開きます）
4。 のインシデント対応 および報告 プロセスを確立する
- 攻撃の疑いがある場合の対応および報告に関する明確な手順を定めてください
- フィッシングメールなどの不審な活動について、躊躇なく報告するよう促してください
- リスクの監視エンドポイント （新しいタブで開きます） などを活用することで、インシデントの検出、調査、追跡をより容易に行い、発見された脅威をリアルタイムで封じ込め、被害を軽減することができます
増大するソーシャルエンジニアリングの脅威に対抗する方法
残念ながら、ますます巧妙化・悪質化するこうした攻撃から完全に身を守るための、単一の解決策や戦略は存在しません。脅威に最善の対策を講じるためには、組織は「ゼロトラスト」を基盤とした、包括的で多層的なセキュリティポリシーを採用する必要があります。ゼロトラストとは、事前に検証されない限り、いかなるユーザー、デバイス、ネットワークも信頼しないという考え方です。 ゼロトラストを導入することで、組織は機敏なセキュリティモデルをより容易に維持できるようになります。これにより、機密データへのアクセスを、それを必要とするユーザーのみに限定することで、攻撃対象領域とセキュリティリスクを低減することができます。
次の段階として、「人的ファイアウォール」の強化に取り組むべきでしょう。 教育はその防護策の一部ですが、ユーザーによる導入を成功させるためには、優れたデジタル従業員体験（DEX）も不可欠です。 従業員にとって、業務を行うために必要な情報やツールを見つけることが、ますます困難になってきています。 効果的な従業員体験戦略がなければ、組織では生産性の低下、離職率の急上昇、そしてサイバー衛生に関するベストプラクティスの遵守が完全に無視される事態を招く恐れがあります。
最後に、組織では、潜在的な脅威を迅速に検知・調査・是正するためには、効果的なアクセス制御ポリシーと、環境全体を包括的に把握できる可視性が不可欠です。 適切な人物のみが、適切なタイミングで適切なアクセス権限を行使できるようにし、システム上の活動を明確に監視・管理することで、組織はリスクを大幅に低減し、ソーシャルエンジニアリングによるインシデントへの対応能力および復旧能力を高めることができます。
Taniumのプラットフォーム「 」（新しいタブで開きます）は、現代のIT課題を解決するために構築された数多くのソリューションを備えており、単一のコンソールからエンドポイントを管理・保護することを可能にします。 例えば、当社の「」DEXソリューション（ （新しいタブで開きます） ）は、エンドポイントやアプリケーションデータの追跡、従業員の感情の測定とレポート作成など、従業員のデジタル上のやり取りをリアルタイムで把握できる機能を提供します。また、これらの洞察を活用して課題に対処し、従業員の生産性を先を見越して維持することも可能です。 組織内でシームレスなデジタル環境を確保するために積極的な姿勢をとることで、従業員体験管理はIT戦略の基盤となります。
Taniumを利用することで、 のエンドポイントデバイス (新しいタブで開きます) に対するリアルタイムの可視性を確保できるほか、ビジネスに不可欠な資産を保護するための業務を効率化・簡素化し、その体制を支援するために必要なツールもご利用いただけます。 これには、自律型エンドポイント管理（AEM）に関する当社のビジョンも含まれており、 の複合型人工知能 （新しいタブで開きます） を活用し、ITエンドポイントの管理に向けたインテリジェントな自動化および意思決定機能を提供します。 からデモをご請求いただけます。 （新しいタブで開きます） ぜひ今日、ご自身でその様子をご確認ください。
