ソーシャルエンジニアリングとは ― 手口の分類

「情報システム部です。確認のためパスワードを教えてください」という電話は、ソーシャルエンジニアリングの典型です。ソーシャルエンジニアリングとは、人の心理的な隙を突いて、パスワードなどの情報を盗み出す手口です。マルウェアやソフトウェアの欠陥は使いません。電話や対面、ゴミ箱や画面への表示など、身近な手段で仕掛けます。

IPAの説明では、人間の心理や社会の盲点を突いて機密情報を入手する方法です。ネットワークやコンピュータの技術は使いません。アメリカの国立標準技術研究所（NIST）の用語集にも定義があります。相手の信用を得て、機密情報を明かさせたり不正なアクセスや詐欺を行ったりする行為です。

DoS攻撃・DDoS攻撃やSQLインジェクションは、ソフトウェアやプロトコルの仕組みを攻撃します。ソーシャルエンジニアリングは、人の判断や行動を攻撃の対象にします。

どちらも、最終的には不正アクセスやデータの持ち出しにつながることがあります。盗んだIDやパスワードを本人になりすまして入力すれば、不正アクセス行為に当たります。手口の種類が違うだけで、被害は重なる場合があります。

ソーシャルエンジニアリングは、接触する経路によって手口が変わります。次の図で経路を1つ選ぶと、その経路で使われる手口の名前と、突いている心理的な隙が表示されます。

電話では権威や緊急性を突きます。対面では信頼を、ゴミ箱では不注意を突きます。画面では不安や好奇心を、SNSでは投稿する側の不注意を突きます。同じ情報を盗む行動でも、経路によって呼び方が変わります。肩越しに見ればショルダーハッキング、捨てた書類を探せばトラッシングです。

なりすまし電話は、システム管理者などを名乗って電話をかけ、IDやパスワードを聞き出す手口です。電話の自動音声を悪用する手口は、ビッシングと呼びます。銀行を名乗る自動音声で番号を押させ、続く会話でメールアドレスなどを聞き出す例があります。警察庁は、これをボイスフィッシングと呼んで注意を呼びかけています。

対面では、社員になりすまして近づき、盗み見や盗み聞きをします。ショルダーハッキングは、肩越しに画面やキー入力を盗み見る手口です。トラッシングは、捨てられた書類や記録媒体から情報を探し出す手口で、ゴミ箱あさりとも呼びます。

偽のセキュリティ警告は、ブラウザに本物そっくりのウイルス感染の警告を出し、表示した番号に電話をかけさせる手口です。サポート詐欺とも呼びます。電話をかけると、PCを遠隔操作され、有償のサポート契約や支払いに誘導されます。

SNSの悪用では、投稿から勤務先や仕事の内容を集め、その情報を使って本物らしいメールを送ります。IPAの情報セキュリティ10大脅威2026は、電話・メール・SNSで情報を集めてから標的にメールを送る手口を挙げています。差出人のドメインを偽ったメールを受信側で見分ける仕組みは、SPF・DKIM・DMARCの記事で説明しています。

ソフトウェアの更新のような技術的な対策だけでは防げません。組織として確認の手順を決め、全員が守ることが対策の中心になります。

• 電話や対面で情報を求められたら、名乗った組織の代表番号などにかけ直して確認する
• 偽のセキュリティ警告に表示された番号には電話をかけない
• 急がせる言い方には、いったん手を止めて確認する
• 書類や記録媒体を捨てるときは、シュレッダーや初期化を必ず行う
• パスワードを入力する画面は、周りから見えにくい向きにする

多要素認証は、もう1つの要素がなければログインできないようにする対策です。ビッシングやフィッシングでパスワードを言わされたり入力させられたりしても、それだけではログインされません。盗まれたIDやパスワードを使う段階で、不正アクセスを食い止めます。

偽サイトへの入力そのものをなくすのがパスキーです。鍵は作ったサイトのドメインでしか使えないので、偽サイトでは使われません。

• IPA「情報漏えい対策のしおり」
• IPA「情報セキュリティ10大脅威2025 個人編」解説書
• IPA「情報セキュリティ10大脅威2026 組織編」解説書
• IPA 情報セキュリティ安心相談窓口「安心相談窓口だより」の偽セキュリティ警告（サポート詐欺）に関する記事
• 総務省「国民のためのサイバーセキュリティサイト」アカウント管理
• 警察庁「Cyber Police Agency Letter 2026 Vol.6」
• NIST Computer Security Resource Center 用語集「social engineering」掲載のSP 1800-21B・SP 800-63-4の定義