ソーシャルエンジニアリングとは？手口10種類・攻撃の4ステップ・AI新手口・企業と個人の対策を徹底解説

7/16開催セキュリティエンジニアの方が多数参加する交流会開催！@東京駅詳細はこちら→

「銀行員を名乗る電話でパスワードを聞き出された」「上司になりすましたメールで振込してしまった」——これらはすべてソーシャルエンジニアリングの被害です。

ソーシャルエンジニアリングとは、ハッキングや不正プログラムを使わず、人間の心理・感情・行動の隙を突いて機密情報を騙し取る攻撃手法の総称です。フィッシング・なりすまし電話・ショルダーハッキングなど多様な手口があり、現在のサイバー攻撃の98%に関与しているとされます。

本記事では、ソーシャルエンジニアリングの仕組み・心理的な攻撃メカニズム・主要な手口・攻撃の4ステップ・AI時代の新手口・企業と個人の対策まで徹底解説します。

ソーシャルエンジニアリングとは？

ソーシャルエンジニアリングとは、技術的な脆弱性ではなく「人間」を攻撃対象にして、機密情報・パスワード・金銭を騙し取る手法の総称です。

「鍵を壊す」より「鍵を持つ人を騙す」ほうが簡単
どれだけ強固なシステムを作っても、管理者本人からパスワードを聞き出せばシステムを破る必要がありません。ソーシャルエンジニアリングはサイバーセキュリティの「最大の弱点は人間」という事実を突いた攻撃です。

ソーシャルエンジニアリングの特徴

技術的な知識が不要：高度なプログラミングやハッキング技術なしに実行できる
誰でも被害者になる：IT知識の有無に関わらず、人間の心理を突くため専門家も騙される
検知が困難：正規のユーザーが操作するため、技術的なセキュリティ対策をすり抜けやすい
他の攻撃の入口になる：標的型攻撃・ランサムウェア・BECなどのサイバー攻撃の事前準備として使われる

深刻な被害統計

サイバー攻撃の98%にソーシャルエンジニアリングが関与（Proofpoint調査）
データ侵害の70%以上がフィッシングまたはソーシャルエンジニアリングから始まる
FBIによると、ソーシャルエンジニアリングは世界中の組織に16億ドル以上の損失をもたらしている

攻撃者が使う心理的なトリック

ソーシャルエンジニアリングが効果的なのは、人間心理の普遍的な弱点を突くからです。

心理的な弱点	攻撃者の利用方法	具体例
緊急性・焦り	冷静な判断をさせない	「今すぐ対応しないとアカウントが停止」
権威への服従	上司・役員・公的機関を装う	「社長からの指示で今日中に振込を」
信頼・親近感	知人・取引先になりすます	「先日お会いした○○社の田中です」
好奇心・欲	魅力的なオファーで釣る	「当選しました。確認のため個人情報を」
恐怖・脅し	損失や訴訟をちらつかせる	「今払わないと法的措置を取ります」
親切心・助けたい気持ち	困っているように装う	「パスワードを忘れて困っています」

ソーシャルエンジニアリングの主要な手口

なりすまし電話（ビッシング）

最も古典的な手口です。銀行・警察・IT部門・取引先などになりすまして電話をかけ、パスワード・口座番号・個人情報を聞き出します。近年はAIによる声変えソフトを使ったビッシング（ボイスフィッシング）も増加しています。

対策：電話口でパスワードや機密情報を伝えるルールを社内で禁止する。不審な電話があれば、一旦切って公式番号に折り返して確認する。

フィッシング（Phishing）

偽のメールやWebサイトでIDとパスワードを騙し取る最も一般的な手口です。フィッシングメールの約43%がMicrosoftなどの大企業になりすましています。

スピアフィッシング：特定の人物・企業を標的にした精密なフィッシング。事前調査で個人情報を入手して「あなた専用」に見せる
スミッシング：SMSを使ったフィッシング。「不在連絡票」「荷物の確認」などを装う
ホエーリング：CEO・CFOなど経営幹部を狙った高額詐欺（BEC：ビジネスメール詐欺）

ショルダーハッキング

肩越しにパスワードや画面を覗き見る物理的な攻撃です。カフェ・電車・空港など人が多い場所で発生します。最近は望遠カメラで離れた場所から画面を撮影するケースも報告されています。

トラッシング（Trashing）

捨てられた書類・メモ・記憶媒体から情報を収集する手口です。ネットワーク構成図・パスワードメモ・顧客リストなど、ゴミ箱に捨てた書類から重要情報が漏れます。ポストから郵便物を盗む「メールハント」も含まれます。

プリテキスティング（Pretexting）

「銀行の審査担当者」「IT調査員」など、もっともらしい口実（プリテキスト）を作って標的の信頼を得てから情報を引き出す手口です。単純ななりすましより時間をかけて信頼関係を構築します。

テールゲーティング・ピギーバッキング

セキュリティゲートや入退室管理のある施設に、社員の後ろについて一緒に入り込む物理的な侵入手口です。「荷物を持っているので」「急いでいるので」などと言って扉を開けてもらいます。

ベイティング（Baiting）

「賞品が当選」「無料でもらえる」などの餌（ベイト）を使って行動させる手口です。また、マルウェアを仕込んだUSBメモリを駐車場に落としておき、拾った人がPCに挿入するのを待つ手口も「ベイティング」に分類されます。

スケアウェア

「ウイルスに感染しています」「ハッキングされています」などの偽の警告を表示して恐怖を煽り、偽のセキュリティソフトの購入や個人情報の入力を促す手口です。

水飲み場型攻撃（Watering Hole）

標的グループがよく訪問するWebサイトにマルウェアを仕込み、アクセスしてきたユーザーに感染させる手口です。特定の業界・企業の社員を狙う際に使われます。

リバースソーシャルエンジニアリング

攻撃者が積極的に接触するのではなく、ターゲットが自分から連絡してくるように仕向ける手口です。「パスワードをリセットしてください」という偽のシステム通知を送り、ターゲットが記載の連絡先に電話してくることで情報を入手します。

攻撃の4ステップ

ステップ	フェーズ	攻撃者の行動
Step 1	情報収集（偵察）	LinkedInや公式サイト・SNSなどから組織図・担当者名・業務フローを調査する
Step 2	信頼の構築	取引先・上司・IT部門などになりすまして接触し、徐々に信頼を獲得する
Step 3	悪用・実行	獲得した信頼を利用して、送金・パスワード開示・マルウェア実行を指示する
Step 4	逃走・証拠隠滅	目的達成後、連絡を絶ちログを消去してセキュリティ検知を回避する

偵察フェーズが最重要
攻撃者が収集する情報が詳細なほど、なりすましの精度が上がります。SNSやLinkedInへの投稿、会社公式サイトの組織図・社員紹介ページは攻撃者の情報源になります。

AI時代のソーシャルエンジニアリング

ディープフェイク詐欺

生成AIを使って実在の人物の声・顔・文体を精巧に再現し、なりすまし攻撃を行います。2024年には、香港のある企業で、CFOのディープフェイク動画を使ったビデオ会議で社員を騙し、約34億円を送金させる事件が発生しました。

AI生成フィッシングメール

ChatGPTなどの大規模言語モデルを使い、文法的に完璧で自然な日本語のフィッシングメールが大量生成できるようになりました。これまで「日本語がおかしい」というフィッシングの見分け方が通用しなくなっています。

SNSを使った偵察の高度化

AIがSNS・公式サイト・プレスリリースを自動分析し、組織の内部情報・担当者・業務フローを素早く収集します。サプライチェーン攻撃では、セキュリティが手薄な中小企業のSNSから大企業への侵入口を探します。

企業のソーシャルエンジニアリング対策

従業員教育とセキュリティ意識向上

ソーシャルエンジニアリングの最大の対策は人間の「免疫」を高めることです。定期的なフィッシング模擬訓練・セキュリティ研修・事例共有を実施し、「緊急」「至急」などの言葉に反射的に動かない習慣を身につけさせます。

情報管理の社内ルール整備

電話口でのパスワード・機密情報の提供を厳格に禁止する
送金依頼・振込先変更は必ず別の経路（電話）で二重確認する
廃棄書類は必ずシュレッダー・記憶媒体は完全消去または物理破壊する
SNSや公開情報での社内情報・役員情報の発信を制限する

多要素認証（MFA）の導入

パスワードが漏洩してもMFAがあれば不正アクセスを防げます。SMS認証・認証アプリ・生体認証などを社内システム・リモートアクセスすべてに導入します。

テールゲーティング対策の物理セキュリティ

入退室管理システムの徹底・訪問者の本人確認ルール・不審者への声かけ習慣（「どなたですか？」と自然に声をかける社内文化）が重要です。

インシデント報告体制の整備

怪しい電話・メールを受けた社員が「相談しやすい」体制を作ることが重要です。「報告しなかった結果より、とりあえず報告」を奨励し、インシデント発生時の連絡フローを事前に決めておきます。

個人のソーシャルエンジニアリング対策

緊急・至急のキーワードに慌てない：今すぐ行動を求める連絡は詐欺の可能性が高い。一旦立ち止まる
メールのリンクから直接ログインしない：必ずブラウザのアドレスバーに公式URLを直接入力する
見知らぬUSBメモリを拾ってもPCに差さない：マルウェアが仕込まれている可能性がある
重要操作の前に別の手段で確認する：送金・パスワード変更は必ず電話で本人確認する
SNSでの個人情報の発信を最小限にする：会社名・役職・業務内容の詳細は攻撃者の情報源になる

ソーシャルエンジニアリングに関連する被害・注意事例2選

事例1：ビジネスメール詐欺（BEC）による送金被害

BEC（Business Email Compromise）は、取引先や経営者、社内の上司などになりすまして、従業員に不正送金や機密情報の提供を行わせる攻撃です。サイバーセキュリティ.comの記事でも、BEC攻撃は企業の信用や内部コミュニケーションを悪用して従業員を騙す「ソーシャルエンジニアリング攻撃」の一種であり、メールによるフィッシング詐欺、なりすまし、偽装指示などが主な手法だと説明されています。

このような攻撃では、メールの文面や差出人名が自然でも、それだけで信用してはいけません。振込先変更や高額送金の依頼があった場合は、メールに返信するのではなく、事前に登録された電話番号など別の経路で本人確認を行うことが重要です。送金承認の複数人チェック、DMARC・SPF・DKIMなどのメール認証、多要素認証を組み合わせることで被害リスクを下げられます。

BEC

2024.9.8

BEC（Business Email Compromise）とは、ビジネスメール詐欺やビジネスメール侵害と呼ばれる、企業のメールを悪用したサイバー攻撃の一種です。BEC攻撃では、攻撃者が従業員や経営者のメ

事例2：AIディープフェイクを使った経営者なりすまし詐欺

2024年初頭、香港の多国籍企業の支社で、AIによって生成されたCFO（最高財務責任者）のディープフェイク映像を使ったビデオ会議により、約2億香港ドル（約38億円）が送金される被害が発生しました。攻撃者は、公開情報などから企業情報を収集し、複数の人物になりすましてビデオ会議に参加していたとされています。

この事例は、ソーシャルエンジニアリングがAIによって高度化していることを示しています。従来は「声が本人に似ている」「ビデオ会議で顔が見える」といった確認が安心材料になっていましたが、生成AIやディープフェイクの普及により、それだけでは本人確認として不十分です。重要な送金や機密情報の共有は、ビデオ会議とは別の独立した経路で確認する運用が必要です。