ソーシャルエンジニアリング
読み方：ソーシャルエンジニアリング
ソーシャルエンジニアリングとは
ソーシャルエンジニアリングとは、サーバやネットワークへのアクセス情報を入手する際に、コンピュータではなく人間を標的とする攻撃手法です。
攻撃の内容は、フィッシングメールやSNSを利用したネットワーク上の手口に限らず、来訪者を装って職場内のホワイトボードや掲示物などから情報を盗み見るといった物理的な手法も含まれます。
具体的手法
- ・なりすまし電話
なりすまし電話は、ユーザの社会的関係性を利用する手法です。たとえば、ユーザを装ってシステム管理者にパスワードを尋ねる、あるいは逆に管理者を装ってユーザにパスワードの変更を依頼するなど、関係者を名乗ることで相手の信頼を得て情報を引き出すことを目的としています。
- ・ショルダーハッキング（ショルダーサーフィン）
ショルダーハッキングとは、ディスプレイやキーボードの入力内容を背後から肩越しに盗み見る手法です。具体例としては、友人のスマートフォンのロック解除をのぞき見する、カフェでパソコンを操作している人のクレジットカード番号を盗み見る、といった行為が該当します。
- ・トラッシング（スキャベンジング）
トラッシングは、ゴミ箱を漁って情報を収集する手法です。対象となるのは、書類、付せん紙、名刺、HDDやDVDなどの記録メディアなどです。これらを廃棄する際には、復元不可能な形で処理することが求められます。
- ・のぞき見（Physical Snooping/Information Snooping）
- のぞき見は、デスク上の書類やFAX、プリンタに放置された印刷物などから情報を窃取する手法です。過去には、清掃業者や見学者を装った外部の人物によるのぞき見被害も報告されています。
- 対策としては、顔認証システムなどの本人認証が可能なセキュリティ機器の導入が有効です。
