Hello there, ('ω')ノ
ソーシャルエンジニアリングとは？
簡単に言うと：
“人の行動や心理の隙”を悪用して情報を盗み出す手口
です。
例えば：
- 見知らぬ人が「○○部の新人です」と言ってオフィスに入ってくる
- なりすましメールで社内リンクを踏ませようとする
- サポートセンターになりすましてパスワードを聞き出す
技術対策では防げない“人由来の脆弱性”
ソーシャルエンジニアリングはコードではなく人を狙うため、以下のような場面で発生します：
| シーン | 影響するシステム側の弱点 |
|---|---|
| なりすまし電話 | サポートの本人確認が甘い |
| 釣りメール（フィッシング） | リンク先に正規サイトとそっくりの画面がある |
| パスワードを付箋に書く | ローカルPCに管理情報が漏れる |
| 物理侵入（社員になりすます） | 管理画面がLAN内でノーガード状態 |
よくある社内システムの“誘導ポイント”
ソーシャルエンジニアリングを受けたときに、システム側が手助けしてしまうケースもあります：
- 誰でもアクセス可能な社内管理画面（例：IP制限なし、認証なし）
- ログイン画面でエラーが詳細すぎる（ユーザー名の有無がわかってしまう）
- 初期パスワードが使い回し（人事や総務部で同じ設定にしてしまう）
- Slackなどに重要情報を投稿している（Webhookから抜き取れる）
実例：技術と心理が交差する場面
▶ フィッシング＋IDOR（アクセス制御ミス）
- 社員をだまして偽ログインページに誘導
- 入力されたIDを使って実際のURLにアクセス
- アクセス制限が緩ければ、その人になりすましてデータ閲覧が可能に
対策すべきは「技術だけ」ではない
| 分野 | 対策内容 |
|---|---|
| 人 | 社員教育・なりすまし対応マニュアル・不審行動の報告習慣 |
| システム | アクセス制限・通知設定・認証強化（2FAなど） |
| 組織 | 社内セキュリティポリシー・定期点検の仕組み |
社内チェックリスト例
- [ ] 管理画面にはIP制限や認証が設定されているか？
- [ ] 社員は不審なメールや電話に対する対応ルールを知っているか？
- [ ] アカウント初期設定が一律になっていないか？
- [ ] 不正ログインや異常操作時の通知設定はあるか？
- [ ] パスワードや機密情報がチャットに残っていないか？
まとめ
- ソーシャルエンジニアリングは「人」が起点となる攻撃
- システム側が“手助け”してしまわないように、設計・設定にも注意が必要
- 社内教育・技術対策・運用ルールの三本柱で守ることが重要
Best regards, (^^ゞ
