ソーシャルエンジニアリングとは、デジタルではなく社会的な手がかりに依存する詐欺の一種です。詐欺師はお客様のビジネス、従業員、プロジェクトなどに関する詳細な知識を利用して、パスワードのリセットや支払いの承認をさせようとします。また、多くの場合、こうした知識に緊急性を組み合わせることで、迅速な判断を促してきます。

どれほど警戒すべき兆候のリストを用意しても、十分な備えにはなりません。なぜなら、その誘導はテクノロジーを通じてではなく、人が判断を下す頭の中で行われているからです。

Protonではすでに、定義、一般的な攻撃カテゴリー、純粋に技術的な攻撃と心理誘導に基づく攻撃の大まかな仕組みなど、ソーシャルエンジニアリングとは何かについて基本的な内容を取り上げました。効果的なセキュリティ意識向上プログラムの構築、トレーニングの構成方法、実施頻度の設定、そしてそれらが機能しているかの測定方法についても、別の記事で解説しています。

本記事はその中間に位置するものです。定義やプログラムの設計ではなく、実際の従業員トレーニングに何を組み込むべきか、つまり攻撃者が依存する心理的メカニズムや、スライドで読むだけでなく、その場に直面した際に実際にどのように対処すべきかについて掘り下げます。

ソーシャルエンジニアリングが機能する理由：6つのレバーと1つの盲点

ソーシャルエンジニアリングが成功するのは、従業員が不注意だからではありません。人間の脳が日常的な判断を迅速に行うために日々利用しているショートカットを借用し、それを誤った標的に向けるからです。ロバート・チャルディーニ氏による説得に関する研究では、何十年も前にこれら7つのショートカットが特定されており、そのうち6つは企業が遭遇するほぼすべてのソーシャルエンジニアリング攻撃に当てはまります：

  • 返報性
  • 希少性
  • 権威
  • 一貫性
  • 社会的証明
  • 一体感

権威

詐欺師が最も頻繁に利用するのが権威です。上層部、IT管理者、規制機関やサプライヤーなどの外部組織から送られてきたように見える要求に対しては、その権威が本物かどうかを確認することなく、人はより迅速に従ってしまいます。

緊急性

緊急性はそれをさらに悪化させます。締め切り、ロックされたアカウント、銀行の窓口が閉じる前に処理しなければならない支払いなどは、人々を確認から遠ざけ、行動へと駆り立てます。一時停止して確認することが、攻撃者が脅しているまさにその問題を引き起こしてしまうように感じられるためです。

希少性

希少性も形を変えて同様に機能します。期間限定のオファー、一度限りのアクセス機会、躊躇すると損をすることを示唆するメッセージなどがこれに当たります。

社会的証明

社会的証明は、「財務部門の他のメンバーはすでにこれを承認した」という主張や、社内の本物の会話のように見えるスレッドなど、他の人たちもすでに応じているように見せることで、要求が正当であると信じ込ませます。好意は親密さを利用します。親しみやすく、褒め上手で、オフィスの文化に精通しているように見える攻撃者は、単に接しやすい態度をとるだけで標的の警戒心を解いてしまいます。

返報性

返報性は6つの中で最も巧妙です。小さな親切、一見役立ちそうな情報、まず最初に述べられた褒め言葉などが、相手にお返しをしなければならないという、わずかで往々にして無意識の義務感を生み出します。

これらのレバーはいずれも高度に複雑なものではありません。職場の日常的な協力を可能にしているものと同じ本能です。これらの原則の1つ以上を利用した要求は、通常の、少し緊急性のある要求のように見えます。これは、人々がキャリア全体を通じて、迅速かつ親身に対応するよう訓練されてきた種類の要求です。

従業員がビジネスの現場で実際に遭遇する攻撃

多くの組織はフィッシング対策に注力しており、Protonでもフィッシング攻撃への防御について記事を公開しています。しかし、メール対策にとどまるソーシャルエンジニアリングのトレーニングでは、従業員が実際に直面するリスクの大部分を見落としてしまいます。特に、電話、訪問者、物理的なアクセスが依然として日常業務の一部であるオフィスやハイブリッド型の職場環境ではなおさらです。

ビッシング

ボイスフィッシング（ビッシング）は、偽の電話や音声メモを利用します。発信者は、システムの更新前にパスワードの確認を求めるITサポートや、取引を確認する銀行、配達完了のためにワンタイムコードを必要とする配達員などを装うことがあります。

人の声は、テキストでは真実味をもって偽装できない緊急性や権威を付加します。これこそが、フィッシングメールに警戒している自負がある人に対しても有効であり続ける理由です。さらに攻撃者は、実際の同僚や役員の声を模倣するために音声クローンツールを使用することが増えており、英国の国家サイバーセキュリティセンター（NCSC）はこれを個人および組織の双方にとって高まりつつあるリスク(新しいウィンドウ)として警告しています。また、Protonではディープフェイク対策についても解説しています。

プレテキスティング

プレテキスティングとは、架空のシナリオ（口実）を作り上げ、それを利用して異常な要求を正当化する手法です。攻撃者は、支払いのセットアップにアカウントの詳細が必要な新しいサプライヤー、アクセスログを要求する監査人、身元調査のために人事担当者に個人情報の確認を求める求職者などを装うことがあります。

シナリオは多くの場合、役職やサプライヤー名など、公開されている細かな情報を組み合わせることで、もっともらしく作られています。

ベイティング

ベイティング（罠の設置）は、デバイスやアカウントを侵害するアクションと引き換えに、無料のリソース、ロゴ入りUSBドライブやハードドライブ、「第3四半期給与改定」と題されたドキュメントなど、従業員が欲しがるものを提供します。フィッシングメールのように信頼を求めるのではなく、好奇心によって行動を促すため、効果を発揮します。

テールゲーティング

テールゲーティング（またはピギーバッキング）は、本リストの中で画面とは無関係な唯一の攻撃です。攻撃者は、荷物の箱を持っていたり、制服のようなものを着ていたり、あるいは単にドアを開けて押さえておくのが礼儀とされるタイミングを見計らって、バッジ認証が必要なドアから従業員の後について侵入します。職場の礼儀正しさを直接利用するため、受信トレイ周辺のみに焦点を当てたプログラムでは物理的なセキュリティトレーニングが見落とされがちです。

ソーシャルエンジニアリング攻撃に対する実際の防御策

従業員に単に「もっと疑い深くあれ」と伝えるだけでは、実際のプレッシャーの前では役に立ちません。 疑念は感情であり、攻撃者はまさにそれを上書きしようとしています。トレーニングでは、その曖昧な指示を、その瞬間に操られていることに気づけるかどうかに依存しない、具体的で反復可能な行動に置き換える必要があります。

常に確認する

別のチャンネルを通じた確認は、企業が導入できる最も有用な習慣です。メールで要求が届いた場合は、メッセージ自体に記載された連絡先ではなく、あらかじめファイルに記録されている電話番号や連絡先を使用して、電話や直接対面で確認します。この行動1つで、最初の接触がどれほど説得力のあるものであっても、多くのなりすましを阻止できます。検証のステップに対する攻撃者のコントロールを排除できるためです。

立ち止まる

緊急性は手順をスキップする理由ではなく、立ち止まるための合図として扱わなければなりません。プロセスの遵守よりもスピードを優先させようとする要求に気づくよう、従業員を訓練する必要があります。そのようなプレッシャーが偶然生じることは稀だからです。本当に緊急で正当な要求であれば、2分間の確認電話にも耐えられます。そのわずかな遅延を許容できない要求は、誰からの連絡に見えようとも疑ってかかるべきです。

確認をとる

財務や認証情報に関する要求には、高額取引のための例外としてではなく、標準的な業務手順として別の担当者による確認を必須とすべきです。これにより、1人の従業員を孤立させて単独で行動させようとする攻撃者の心理的圧力を排除でき、その従業員は非協力的または不信感を抱いていると思わせることなく、「他の担当者に確認します」と堂々と言えるようになります。

ヒヤリハットを報告する

ヒヤリハットの報告はプロセスを完結させます。要求の一部に応じてしまった従業員、躊躇したものの最終的に応じてしまった従業員、あるいは後から違和感を覚えた従業員に対しては、事後であっても、また何も問題が発生していないように見えても報告を促すべきです。こうした報告は企業が標的にされていることを知らせる最初の警告となることが多く、報告しても恥ずかしい思いをしたり責められたりしない組織文化においてのみ表面化します。

実際に金銭やデータが移動してしまった場合にも、同じ対応が適用されます。英国の詐欺およびサイバー犯罪の国家報告センターであるAction Fraud(新しいウィンドウ)が存在するのは、インシデントが早期に報告されるほど、同じ手口で標的にされている他のすべての組織にとって有益となるためです。

スライドでは耐性が身につかず、シミュレーションが有効な理由

説得の6つのレバーについて読むことは背景の理解に役立ちますが、実際のプレッシャー下での行動を変える力はありません。これは、避難訓練について読んだだけでは最寄りの非常口を見つける準備ができないのと同じです。心理誘導への耐性はスライド資料から記憶した知識ではなく、実践によって身につくスキルです。そのため、最も効果的なソーシャルエンジニアリングトレーニングは、座学だけでなくシミュレーションを活用しています。

効果的なシミュレーションでは、アカウントの変更を要求するベンダーからの模擬電話、マネージャーを名乗る人物からの緊急の要求、セキュリティドアの通過を求める不審な訪問者の実演など、従業員が実際に直面するプレッシャーをリアルに体験させ、単なる合否判定ではなく、具体的で即時性のあるフィードバックを提供します。

その目的は、安全な環境で従業員にプレッシャーの瞬間を体験させ、どのレバーが使われたかに気づかせ、重大な事態に発展する前に一時停止して確認する直感を養うことです。

難易度は徐々に引き上げ、シナリオは実際の役割を反映させる必要があります。財務担当者が直面する口実は受付担当者とは異なります。また、演習の最後には、単に合格したかどうかだけでなく、使用された仕組みを解説する振り返りを行うべきです。

適切に実施されたシミュレーションは、6つの心理的レバーを従業員が認識できる分かりやすい概念へと変換します。これこそが、研修室の外でも通用するよう設計されたトレーニングの真の目的です。

ポリシーだけでなく人を訓練する

ソーシャルエンジニアリングは、権威への信頼、緊急性への迅速な対応、目上の人や親しい人に質問することへの気後れなど、日常のチームワークを支えている本能を狙うことで成功します。これらの攻撃を定義したりカテゴリーを列挙したりするだけのトレーニングでは、従業員は以前と同じように無防備なままです。定義を知ることと、実際の心理誘導の試みに気づくことは全く別のスキルだからです。

6つの心理的レバーを明確にし、ビッシング、プレテキスティング、ベイティング、テールゲーティングが職場の環境で実際にどのように現れるかを順を追って説明し、従業員に具体的で練習済みの行動（個別に確認する、緊急性を締め切りではなく警戒すべき兆候と捉える、別の担当者を巻き込む、ヒヤリハットであっても報告するなど）を身につけさせるカリキュラムは、プレッシャーの下で実際に活用できる力を提供します。

スライドではなくシミュレーションによって強化され、万一攻撃が成功した場合でも被害の範囲を制限する固有のパスワードとMFAによって支えられたこの組み合わせこそが、意識を強固な耐性へと変える力となります。

もちろん、これらはトレーニングプログラム自体の構築（実施頻度、構成、反復間隔、効果の測定方法など）に代わるものではありません。そうした基本事項については、セキュリティ意識向上プログラムの構築に関する関連ガイドで解説しています。本記事で扱うのは、そのプログラムの基盤となる層です。すなわち、従業員が実際に直面する心理的メカニズムと、仮定ではなく現実のプレッシャーに直面した際に役立つ、具体的で実践的な習慣です。

使われている説得の手口をその場で見抜き、行動を起こす前に誰に相談すべきかを正確に理解しているチームは、単に警戒するよう指示されているだけのチームよりも、標的として格段に攻略が困難です。このようなトレーニングによって、そのギャップを埋めることができます。

認証情報のつながり：ミスが発生した後でも被害の封じ込めが重要な理由

トレーニングによってソーシャルエンジニアリングの成功率は下がりますが、ゼロにすることはできません。その目標を掲げて構築されたプログラムは必ず失敗します。誰かがいつか、電話でパスワードを教えてしまったり、偽装されたログインページをクリックしてしまったり、伝えるべきではない詳細を確認してしまったりするものです。その時点で被害を限定できるのは、意識ではなく、連絡が始まる前からすでに導入されていたアクセス制御です。

ソーシャルエンジニアリングによって奪われた認証情報であっても、単一のサービス専用であり、多要素認証（MFA）によって保護されていれば、攻撃者にとっての有用性は大幅に低下します。固有のパスワードは、侵害された1つの認証情報が他のサービスへのアクセスに再利用されるのを防ぎ、MFAは盗まれたパスワード単体で該当アカウントへのアクセス権を与えてしまう事態を防ぐことができます。

これは、強固な職場のセキュリティ文化の構築や強固なパスワードポリシーの策定に関するガイドで取り上げている封じ込めの論理と同じです。ソーシャルエンジニアリングとパスワードの適切な管理は別個の問題として扱われがちですが、実際には同一の攻撃における2つの段階であるため、ここで改めて強調する価値があります。

Proton Pass for Businessのようなビジネス向けパスワードマネージャーを使用すれば、個々の従業員がポリシーを忘れずに遵守することに頼るのではなく、大規模な組織でも現実的に封じ込めを維持できるようになります。

認証情報が記憶、ブラウザ、スプレッドシートではなく、管理されたパスワード保管庫を通じて保管、生成、安全に共有されていれば、一度ソーシャルエンジニアリングが成功したとしても、その従業員がアクセスできるすべてのシステムへの侵入経路となるのを防ぐことができます。

Proton Pass for Businessは、ITチームだけでなく、すべてのチームメンバーにとって認証情報の管理を容易にします：

安全なビジネス向けパスワードマネージャーで、ソーシャルエンジニアリングに対するチームのリスクを軽減しましょう。