Hello there, ('ω')ノ
〜「情報の隙」が“人”を突く攻撃の入口になる〜
🧠 ソーシャルエンジニアリングとは？
ソーシャルエンジニアリングとは、 人間の心理や行動の隙を突いて情報を引き出す手口です。
フィッシング、なりすまし電話、偽のサポートメールなど、 “技術よりも人間を狙った攻撃”が増えています。
📌 OSINTを使えば、「攻撃者がどのように情報を集めるか」を逆に知ることができ、予防につなげられます。
🔍 ソーシャルエンジニアリングの典型的な流れ
- 公開情報からターゲットを特定（OSINT）
- 関係者・部署・立場を把握
- 本人やその周囲になりすまし、信頼を装って情報取得
- ログイン情報・社内資料・業務手順などを引き出す
例：SNSで「社内IT担当者」を名乗りSlackに接触
→ 本人確認を装ってパスワードを聞き出す
🕵️ 攻撃者が使うOSINT情報の例
| ターゲット情報 | 入手元例 |
|---|---|
| 氏名・部署・役職 | LinkedIn、会社HP、プレスリリース |
| 業務内容・使用ツール | 求人票、イベント資料、技術ブログ |
| メールアドレス | GitHub、名刺交換サービス、資料PDF |
| 上司・同僚の名前 | SNSのつながり、登壇者一覧 |
🛡 ソーシャルエンジニアリングを防ぐためのOSINT活用法
✅ 1. 自社・社員情報の“見える化”
- OSINTで自社の外部露出情報を棚卸し
- 「この情報をもとに、どう攻撃されそうか」を疑似的に考える（レッドチーム視点）
✅ 2. 過去事例から“攻撃手口”を学ぶ
- フィッシング報告サイト、SNSの被害報告、過去のインシデント分析を参考に
- 実例を社内教育に反映
✅ 3. 想定シナリオを作って訓練
- 「誰かになりすまして、どんな情報を取ろうとするか？」
- 自社の公開情報を使った模擬攻撃訓練（セキュリティ演習）
✅ 防御策のチェックリスト
| 対策 | 内容 |
|---|---|
| 社員教育 | 「すぐに答えず、確認する」文化づくり |
| 最小権限の原則 | 不要な情報・権限を絞る |
| OSINT監視 | 外部への情報露出を定期チェック |
| 二要素認証（2FA） | なりすまし対策の基本 |
| 詐欺事例の共有 | 他社・他業界の例も含めて定期的に学習 |
✅ まとめ：攻撃者の目線を持つことが最大の防御
- ソーシャルエンジニアリングは技術ではなく人間を狙う攻撃
- OSINTを使って「攻撃されやすい情報」を先に見つけ、リスクを減らす努力が必要
- 攻撃の出発点を遮断する＝防御の出発点になる
Best regards, (^^ゞ
