技術ではなく人を狙う手口を、なぜ効いてしまうのかという観点から整理。なりすましの電話、ビジネスメール詐欺、のぞき見や持ち出しへの備え、教育ではなく手順で守るという考え方まで解説します。
どれだけ技術的な対策を積んでも、人が正規の手順で情報を渡してしまえば、そこは通過されます。ソーシャルエンジニアリングは、この「人」を狙う手口の総称です。システムの脆弱性ではなく、組織の手順の隙と、人が持つ性質を突きます。防御側としては、個人の注意力に頼らない仕組みをどう作るか、という話になります。
手口の多くは、判断の余裕を奪うことで成立します。急かす（今すぐ対応しないと大変なことになる）、権威を借りる（役員からの指示だ）、例外だと思わせる（今回だけ特別に）、断りにくくする（親切にされた後で頼まれる）。どれも、普段なら踏むはずの確認の手順を飛ばさせるための仕掛けです。
ここが重要な点です。騙される人が不注意だから起きるのではなく、確認を飛ばさせる状況が作られているから起きます。だから対策も「気をつけましょう」ではなく、「急いでいても確認が飛ばせない手順」を用意する方向になります。
| 手口 | 狙い | 手順としての対策 |
|---|---|---|
| なりすましの電話 | パスワードの再設定、情報の聞き出し | 折り返しの電話で本人確認する（かかってきた番号にかけ直さない） |
| ビジネスメール詐欺 | 振込先の変更 | 金額や振込先の変更は、メール以外の経路で必ず確認する |
| ショルダーハック | 画面や手元の盗み見 | 画面フィルタ、離席時のロック、席の向き |
| トラッシング | 廃棄物からの情報収集 | 書類の裁断、記憶媒体の物理的な破壊 |
| 共連れ | 正規の入館者に続いて入る | 一人ずつの認証、共連れを検知する扉 |
折り返し確認は、電話でのなりすましに対する定番です。かかってきた番号にかけ直すと相手のところへ繋がってしまうため、名簿に登録された番号へ自分からかけます。「相手が用意した経路を使わない」というのが原則で、メールでの振込先変更も同じ考え方です。
取引先や自社の役員を装って、振込先の変更を依頼する手口です。マルウェアを使わないため、技術的な検知にかかりにくいのが特徴です。事前にメールのやり取りを盗み見て、実際の取引の文面や時期に合わせてくるため、内容だけでは見分けがつきません。
有効なのは、内容の真偽を見抜こうとするのではなく、手順で止めることです。振込先の変更には別の経路での確認を必須にする、一定額以上は複数人の承認を要する、変更の依頼は所定の書式でしか受け付けない。「メールの内容を疑う」ではなく「メールだけでは実行できない」形にします。
教育は必要ですが、それだけを対策にはできません。人は疲れますし、忙しい日には判断が甘くなります。教育で目指すのは「見抜けるようになること」ではなく、「おかしいと思ったときに、ためらわず止められること」と「報告しやすい空気を作ること」です。
報告のしやすさは、実は決定的な要素です。騙されたことに気づいた人が、叱られることを恐れて黙っていると、対応が遅れて被害が広がります。「報告した人を責めない」という方針を明示し、報告窓口を分かりやすくしておく——これが技術的対策と同じくらい効きます。
外部から仕掛けられるものばかりではありません。権限を持つ人が、正規の手順で情報を持ち出す形もあります。退職を控えた時期、処遇に不満がある状況、金銭的な事情——きっかけはさまざまですが、共通するのは「その人には元々アクセスできた」という点です。だから、権限を必要な範囲に絞ること、操作の記録を残して定期的に見ること、退職時に速やかに権限を消すことが備えになります。
委託先を経由する形も増えています。守りの厚い組織を正面から狙わず、取引のある会社を通じて入る。相手は正規の連絡経路を持っているため、疑われにくくなります。委託先の管理体制を選定時に確かめること、接続に使う権限を必要な範囲に限ること、契約に事故時の報告を明記することが対策になります。自組織だけを見ていては足りない、という点が問われます。
午前Ⅱでは、各手口の名称と内容の対応が問われます。午後では、事例を示して「この手口をどう防ぐか」「手順のどこを変えるか」を書かせる形が出ます。答えを書くときは、「注意喚起する」「教育する」だけで終えないことです。誰が、いつ、何で確認するのか——手順として書けると、採点で求められる具体性を満たせます。
IPA 公式：過去問題（情報処理安全確保支援士試験） ↗各年度の問題冊子・解答例・採点講評の PDF を、公式サイトで確認できます。