> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# ブログ - ソーシャルエンジニア：羊の皮をかぶった狼

> ソーシャルエンジニアリングという言葉は、これまでにニュースで一度や二度は目にされたことがあるのではないでしょうか。なにしろ、ソーシャルエンジニアリングはサイバー侵害の原因として群を抜いて多いのです。

ソーシャルエンジニアリングという言葉は、これまでにニュースで一度や二度は目にされたことがあるのではないでしょうか。なにしろ、ソーシャルエンジニアリングはサイバー侵害の原因として群を抜いて多いのです。

では、ソーシャルエンジニアリングとは本当は何を意味するのでしょうか。

### ソーシャルエンジニアリングとは

ソーシャルエンジニアリングとは、サイバー犯罪者が、テクノロジーではなく人を操ることで、本来得るべきではないアクセス権、情報、またはリソースを入手する手法です。ハッカーがシステムに侵入する最も一般的な方法は、ファイアウォールを突破することや、高度なパスワード解読アルゴリズムを使用することだと思われるかもしれません。しかし、実際には侵害の多くがソーシャルエンジニアリングの結果として発生しています。

ハッカーは技術的な防御を標的にするのではなく、組織内の人間こそが企業にとって最大のセキュリティ上の弱点であると考え、その人々を操る方法を「設計（エンジニアリング）」します。悪意ある攻撃者は「ソーシャル」な状況（多くの場合、ハッカー自身が作り出した問題です）を作り上げます。これがソーシャルエンジニアリングという名前の由来です。

簡単に言えば、ソーシャルエンジニアは非常にもっともらしい作り話を用意し、相手をだまして自分のために行動させたり、非公開の情報へのアクセスを許可させたりするのです。

![Resource image](https://media2.giphy.com/media/XAa0QJ3sZXO3P3ppsO/giphy.gif)

### どのように機能するのか

サイバー犯罪者は、さまざまな心理的テクニックを使って、相手の信頼を勝ち取り、そしてその信頼を裏切ります。ここではその一部をご紹介します。

#### プライミング

プライミングとは、ソーシャルエンジニアが会話に感情的な色付けをして場を和ませ、より信頼できる人物であるかのように見せる手法です。これにより、被害者は質問に答えやすくなります。たとえば、今朝はひどい一日だったという話から会話を始めたり、背景で子どもたちが走り回る音声ファイルを流し、パパ／ママが電話中だから静かにしてほしいと言うふりをしたりします。子どもって、そういうものですよね。

#### フレーミング

テレビの通販番組を覚えていますか（ビリー・メイズが好きだからという理由で、OxiCleanの20分間のCMを見ていた頃のことです）。彼らは商品の価格をそのまま伝えることはまずありませんでした。代わりに、「たったの49.99ドル」や「12.99ドルの6回払い！」と言っていたのです。これがフレーミングであり、情報の受け取られ方を操作するような形で提示されています。78ドルは法外に高く感じられても、13ドルの6回払いなら破格に思えるのです。

サイバー犯罪者も同じことを行います。相手の反応を意図的に誘導するよう、巧妙な形で情報や依頼を提示してきます。見知らぬ人から、iTunesギフトカードを送ってくれないと家族を養えないというメールが届いたら、「もし彼が率直にこれを頼んできたとしても、自分は承諾しただろうか」と考えてみてください。

#### 損失回避

マリー・コンドウの「Tidying Up」が大流行していた頃に片付けに取りかかったものの、結局ほとんど何も手放せなかったという方は、決してあなただけではありません。人間は、自分が所有しているものを手放すことを非常に嫌う性質があります。ソーシャルエンジニアは、何か（多くの場合は金銭）を失う可能性を潜在的な被害者の目の前にちらつかせることで判断力を鈍らせ、協力や個人情報の提供に応じやすくさせるという形でこの性質を利用します。

#### 権威バイアス

ご両親がいつも正しいとは限らないと気づくまでに、どのくらいかかりましたか。人は、自分より権威のある人の意見を反射的に信頼する傾向があります。また、権威ある立場の人から求められると、自分自身の利益に反する行動を取る可能性もはるかに高くなります。ソーシャルエンジニアは、潜在的な被害者が依頼内容を精査する気持ちをなくすよう、経営幹部などの権威ある人物になりすますことがよくあります。

#### 親近性バイアス

ダイナーで炭酸飲料を注文したところ、ウェイトレスに「コーラとデイシー・フィズのどちらにしますか」と聞かれました。どちらを選びますか。コーラですよね。選択を迫られたとき、人は最もなじみのある選択肢を選び（そして信頼し）がちです。ソーシャルエンジニアは、複数の行動の選択肢を提示し、あなたが最もなじみのある選択肢、つまり自分が選ばせたいものを選ぶと見込むことで、この性質を利用します。

![Resource image](https://media0.giphy.com/media/l0HlxoXbk3BNVz2IU/giphy.gif)

### どのような例があるのか

ハッカーがシステムに侵入する最も一般的な方法は、ファイアウォールを突破することや、高度なパスワード解読アルゴリズムを使用することだと思われるかもしれません。しかし、実際には侵害の多くがソーシャルエンジニアリングの結果として発生しています。

#### フィッシング

フィッシングは、ソーシャルエンジニアリングの中で群を抜いて最も一般的な形態であり、最も多いのはメールによる詐欺です。こうしたメールは、非公開情報を共有させたり、リンクをクリックさせたり、デバイスをマルウェアに感染させる添付ファイルを開かせたりするように誘い込みます。フィッシングについては、来月さらに詳しくお話しします。

スミッシングとビッシングは、それぞれショートメッセージと音声通話を介して行われるフィッシングの一種です。発信者番号に任意の名前を表示させることができるため、信頼できる人物になりすまし、新しい番号に変わったと伝えたり、何かをしてほしいと依頼したりします。

例：別の支店にいるジャネットから、データベースがダウンしていて、特定の顧客のアカウント情報が至急必要だという「緊急」のボイスメールを受け取ります。「ジャネット」に折り返し電話をかけると、フィッシング詐欺師に個人情報を伝えてしまい、その情報を使ってこの顧客の銀行口座が不正に侵害されます。

#### 物理的な侵入

ソーシャルエンジニアは、従業員や配達員のような親しみやすい人物になりすまして建物内に入り込み、無人になったところでコンピューターを不正に操作したり、機密書類を物色したりすることがあります。

例：郵便配達員の制服を着た人物が、荷物の山を抱えてよろよろしながら後ろから近づいてきます。あなたは親切心からオフィスに入る際にドアを押さえておきますが、その配達員は実は変装したサイバー犯罪者でした。荷物の中身は何でしょうか。ハッキング用のデバイスで、これを社内のコンピューターやサーバーに接続してネットワークを侵害するのです。

### 知識は力なり

ソーシャルエンジニアは人を操る達人ですが、マインドコントロールを行うわけではありません。確かにハッカーはあなたをだまそうとしますが、組織をより適切に守る力はあなた自身が持っています。ソーシャルエンジニアリングの手口について学ぶことで、悪意ある攻撃者を見抜くために必要な知識を身につけることができます。

ご自身の貢献に誇りを持ち、新たに得た知識を同僚（そして大切な方々）にも広めて、みんなが安全に過ごせるようにしましょう。

![Resource image](https://media0.giphy.com/media/S64lALNmPWIWloPJ9L/giphy.gif)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.