ソーシャルエンジニアリング
更新日:
用語解説
人の信頼、権威への服従、焦り、好奇心、親切心などの心理・行動特性を利用し、情報開示、送金、認証、機器接続、施設入場等を行わせる攻撃手法の総称です。
■ 試験で押さえるポイント
フィッシング、電話で役職者を装うプリテキスティング、USB等を使うベイティング、共連れ、盗み見、廃棄物から探すトラッシングがあります。
公開情報やSNSから組織図、取引、出張、文体を調べて話を具体化し、技術的な脆弱性がなくても正規利用者を操作します。
秘密情報を電話・メールだけで渡さない、重要変更を登録済み別経路で確認する、共連れを許さない、廃棄物を破砕するなど手口別の手順を設けます。
教育だけでなく、MFA、最小権限、複数承認、送金限度、メール認証、報告しやすい窓口を組み合わせ、だまされても重大被害へ進みにくくします。
■ 過去問での着眼点
技術だけでなく人の心理・行動を悪用する点が決め手です。トラッシングやショルダーサーフィンも代表例です。
例: 「緊急の保守担当」と名乗る電話でパスワードを聞かれても伝えず、社内台帳の連絡先へ折り返し、疑わしい依頼を窓口へ報告します。