IT用語
技術ではなく、人の心理のすきや油断を突いて、パスワードなどの情報を聞き出したり操作をさせたりする手口。
ソーシャルエンジニアリングは、コンピューターの技術ではなく、人の心理のすきや油断を突いて、パスワードなどの秘密の情報を聞き出したり、攻撃に必要な操作をさせたりする手口の総称です。
主な例
- フィッシング：実在の企業を装ったメールや偽のサイトで、情報を入力させる
- ビジネスメール詐欺：取引先や経営者を装い、偽の口座に送金させる
- サポートを装った電話やチャットで、パスワードや確認コードを聞き出す
- 偽の警告画面を表示し、遠隔操作のソフトウェアを入れさせる
- 肩越しにパスワードを盗み見る、捨てられた書類から情報を得る
よく使われる心理
「至急」「重要」などで急がせる、上司や公的機関などの権威を装う、「あなただけ」と特別感を出す、といった方法で冷静な判断をさせないようにします。
対策
- パスワードや確認コードは、誰に聞かれても教えない
- 送金や設定の変更の依頼は、別の連絡手段で本人に確かめる
- 多要素認証 で、情報が漏れても不正ログインされにくくする
- 手口の例を共有し、相談しやすい雰囲気を作る